Qwik 
Un rançongiciel (ransomware) chiffre vos fichiers et réclame une rançon pour les rendre. Souvent, les attaquants ont aussi copié des données et menacent de les publier. Les PME sont touchées autant que les grandes entreprises, parce que les attaques sont automatisées.
Les dix premières minutes
- Couper le réseau des machines touchées : câble débranché, Wi-Fi désactivé. C’est ce qui arrête la propagation.
- Ne pas éteindre si vous pouvez l’éviter : la mémoire contient des traces utiles pour comprendre ce qui s’est passé.
- Débrancher les sauvegardes encore reliées : disque externe, disque réseau.
- Prévenir tout le monde de ne rien ouvrir et de ne rien « essayer ».
- Photographier le message à l’écran.
Ce qu’il ne faut pas faire
Ne payez pas dans la précipitation : rien ne garantit que vous récupérerez vos fichiers, et vous serez noté comme bon payeur. N’effacez rien, ne réinstallez rien avant d’avoir compris par où c’est entré, sinon la même porte resservira. Ne répondez pas aux attaquants sans avis.
Qui appeler
- Votre prestataire informatique, en premier
- Votre assurance, si vous avez une couverture cyber : elle impose souvent sa propre marche à suivre
- La police cantonale, pour déposer plainte
- L’Office fédéral de la cybersécurité (OFCS), qui recueille les signalements et publie des conseils
Les données personnelles
Si des données de clients, de patients ou de collaborateurs ont pu être copiées, la loi sur la protection des données (nLPD) peut vous obliger à l’annoncer au Préposé fédéral (PFPDT) dans les meilleurs délais, et à informer les personnes concernées quand c’est nécessaire à leur protection. Notez dès le début ce que vous constatez et à quelle heure : ce journal servira.
Redémarrer
Tout dépend des sauvegardes. S’il en existe une hors d’atteinte et récente, on nettoie ou on réinstalle les machines, on ferme la porte d’entrée, on change tous les mots de passe, puis on restaure. Comptez de deux jours à deux semaines selon la taille. Sans sauvegarde, il reste à vérifier si un outil de déchiffrement existe pour cette famille de rançongiciel : le projet No More Ransom, soutenu par Europol, en publie gratuitement. Ce n’est pas toujours le cas.
Par où c’est entré
Dans les petites structures, presque toujours par l’une de ces trois portes : un e-mail d’hameçonnage, un accès à distance exposé sur Internet sans double authentification, ou un logiciel qui n’était plus mis à jour. Les trois se ferment à peu de frais, avant.
Se préparer
Une sauvegarde hors site testée, la double authentification, des mises à jour suivies, et une page qui dit qui appeler et dans quel ordre. Imprimée, parce que le jour venu l’ordinateur ne s’ouvrira pas.
En résumé : isoler, ne rien effacer, appeler. Et si vous lisez ceci à froid, c’est le bon moment pour un audit de sécurité et un test de restauration.