Modèle à télécharger

Liste de vérification : réponse à un rançongiciel

À imprimer et à ranger avec votre plan d'intervention, hors de vos systèmes habituels. Elle suppose que vos systèmes principaux peuvent être inaccessibles.

Comment l'utiliser

Utilisez cette liste comme aide-mémoire, pas comme plan complet. Les décisions de fond (payer ou non, notifier qui, redémarrer quand) appartiennent à votre direction, avec vos conseillers juridiques et votre assureur. Préparez les coordonnées à l'avance : en pleine crise, personne ne retrouve un numéro de téléphone.

Télécharger (Word, .docx)

1. Dans la première heure : contenir

Isolez les appareils touchés du réseau (débranchez le câble, coupez le Wi-Fi) sans les éteindre, afin de préserver les preuves en mémoire.
Désactivez les comptes compromis et, si nécessaire, coupez les accès à distance (VPN, bureau à distance).
Protégez les sauvegardes : déconnectez-les ou verrouillez-les avant qu'elles ne soient chiffrées ou effacées.
Activez votre équipe de crise et ouvrez un journal horodaté de chaque constat et décision.
Communiquez hors bande (téléphone, messagerie personnelle) : supposez que votre courriel et votre clavardage sont lus par l'attaquant.

2. Dans les 24 premières heures : évaluer

Identifiez ce qui est touché : systèmes, données, sites, fournisseurs et clients concernés.
Repérez le point d'entrée probable et vérifiez si des données ont été copiées avant le chiffrement (double extorsion).
Faites un instantané de ce qui est touché (images disques, journaux) avant toute remise en état.
Prévenez votre assureur cyber et votre cabinet juridique ; respectez les délais de déclaration de votre police.
Faites appel à une équipe d'intervention sur incident, interne ou externe, si vous n'avez pas l'expertise.

3. Décisions et notifications

Signalez l'incident aux autorités policières et aux organismes de cybersécurité compétents de votre pays.
Déterminez les obligations de notification : régulateurs, personnes touchées, clients, partenaires (DORA, NIS2, RGPD, Loi 25, règles sectorielles).
Consignez la décision sur la rançon : qui décide, sur quelle base, avec quels conseils. Vérifiez au préalable les risques de sanctions.
Préparez une communication unique et factuelle pour le personnel, les clients et les médias.

4. Reprise

Rebâtissez à partir de sources saines : images validées, sauvegardes testées et analysées avant restauration.
Réinitialisez tous les identifiants (comptes de service, administrateurs, clés d'accès) avant de reconnecter quoi que ce soit.
Restaurez par ordre de priorité d'affaires, en vous appuyant sur vos analyses d'impact et vos objectifs de reprise (RTO/RPO).
Surveillez de près les systèmes restaurés : l'attaquant peut avoir laissé des accès persistants.

5. Après l'incident

Tenez un retour d'expérience sans reproche dans les deux à quatre semaines suivantes.
Corrigez la cause racine et les écarts constatés (accès, segmentation, sauvegardes, détection).
Mettez à jour le plan d'intervention, les coordonnées et les scénarios d'exercice.
Planifiez un exercice qui rejoue le scénario pour confirmer que les correctifs fonctionnent.

Sources

Cette liste s'inspire de bonnes pratiques publiques, dont les guides ci-dessus ; elle n'est ni approuvée ni publiée par ces organismes.

Modèle général fourni comme point de départ. Adaptez-le à votre organisation et faites-le valider par vos conseillers juridiques, de conformité et de sécurité avant usage. Il ne constitue pas un avis juridique.