La première heure d'un incident de rançongiciel

Un écran verrouillé, des fichiers renommés, une note de rançon. Ce qui se passe dans l'heure qui suit décide de la suite : combien de systèmes seront touchés, si les preuves survivront, si les sauvegardes tiendront et si vous respecterez vos obligations légales. Voici l'ordre des opérations, tiré du Guide sur les rançongiciels du Centre canadien pour la cybersécurité (ITSM.00.099) et de la liste de vérification #StopRansomware de la CISA, adapté au contexte québécois.

Avant tout : présumez que l'attaquant est encore là

Le Centre pour la cybersécurité le rappelle : une fois l'infiltration connue, présumez que l'auteur de menace est toujours dans votre réseau et qu'il observe vos communications. La CISA précise que les attaquants surveillent l'activité de l'organisation pour savoir s'ils ont été détectés. Deux conséquences immédiates : ne parlez pas de l'incident dans le courriel ou le clavardage de l'entreprise, et isolez de façon coordonnée plutôt que système par système.

Minute 0 à 10 : isoler

• Déterminez quels systèmes et dispositifs sont touchés.
• Déconnectez-les d'Internet et du réseau interne : câble débranché, Wi-Fi coupé. Si plusieurs systèmes ou sous-réseaux semblent atteints, la CISA recommande de mettre le réseau hors ligne au niveau du commutateur, parce qu'il n'est pas réaliste de débrancher chaque poste.
• N'éteignez pas les machines si vous pouvez les débrancher : l'extinction efface la mémoire vive et des preuves avec elle. Éteignez seulement si la déconnexion est impossible.
• Pour les ressources infonuagiques, prenez un instantané (snapshot) des volumes pour l'analyse ultérieure.
• Priorisez l'isolement des systèmes essentiels aux opérations.

Minute 10 à 20 : alerter hors bande

Réunissez l'équipe d'intervention prévue à votre plan (si vous n'avez pas de plan, la personne responsable des TI, la direction et votre fournisseur de sécurité). Utilisez le téléphone ou des messages personnels, jamais les outils de l'entreprise. Désignez une personne qui note tout : heure, systèmes, actions, décisions. Ce journal servira à l'enquête, à l'assureur et à la Commission d'accès à l'information.

Minute 20 à 30 : couper les accès qui restent

Le Centre pour la cybersécurité recommande de désactiver le RPV (VPN), les serveurs d'accès à distance, l'authentification unique (SSO) et les biens infonuagiques ou accessibles au public, comme mesures supplémentaires de confinement. Réinitialisez les mots de passe des comptes d'administrateur et d'utilisateur, mais pas ceux dont vous aurez besoin pour restaurer les sauvegardes. Créez des comptes d'administrateur temporaires pour la reprise, afin de savoir si l'attaquant exploite encore les comptes d'origine.

Minute 30 à 45 : préserver et signaler

• Préservez les journaux (pare-feu, serveurs, antivirus ou EDR, Microsoft 365 ou Google Workspace) : l'incident est souvent le dernier acte d'une intrusion plus ancienne, et les journaux montrent par où l'attaquant est entré.
• Vérifiez vos sauvegardes hors ligne avant tout : sont-elles intactes, à quelle date, et l'attaquant y a-t-il eu accès ?
• Signalez l'attaque au service de police local : c'est un crime, et une enquête peut suivre. Signalez-la aussi au Centre antifraude du Canada et au Centre pour la cybersécurité (Mon cyberportail). Pour un rançongiciel connu, les forces policières peuvent parfois fournir une clé de déchiffrement.
• Prévenez votre assureur si vous avez une cyberassurance ; la police impose souvent des délais et des fournisseurs.

Minute 45 à 60 : la Loi 25

Si des renseignements personnels (clients, employés, patients, citoyens) sont touchés, chiffrés ou exfiltrés, vous entrez dans le régime des incidents de confidentialité. La Commission d'accès à l'information résume vos devoirs : réagir rapidement pour limiter les risques, évaluer si l'incident présente un risque de préjudice sérieux et, dans ce cas, aviser la Commission et les personnes concernées dans les plus brefs délais, selon le contenu prévu au Règlement sur les incidents de confidentialité. Dans tous les cas, l'incident doit être inscrit au registre, même s'il ne présente pas de risque sérieux. Cette évaluation commence pendant la première heure ; l'avis, lui, suit dès que les faits sont établis.

Ce qu'il ne faut pas faire

• Payer ou négocier avant d'avoir parlé à la police et à un professionnel. Le Centre pour la cybersécurité rappelle que la décision revient à l'organisation, mais que le paiement comporte des risques : aucune garantie de récupération, possibilité que l'auteur de menace utilise un effaceur, et les données volées restent volées.
• Restaurer les sauvegardes sur le réseau infecté. La restauration se fait sur un environnement propre et isolé, après balayage des sauvegardes.
• Effacer ou réinstaller avant d'avoir préservé les preuves.
• Annoncer publiquement sans savoir ce qui s'est passé ; préparez une déclaration, mais prenez le temps d'établir les faits.

Après la première heure

Vient ensuite l'éradication (effacer et réinstaller les systèmes touchés, mettre à jour micrologiciels et correctifs), la reprise à partir de sauvegardes vérifiées, la correction du point d'entrée, puis l'analyse de la cause fondamentale. Un incident de rançongiciel est presque toujours le symptôme d'une faille antérieure : un accès à distance sans authentification forte, un correctif manquant, un compte compromis par hameçonnage.

C'est exactement ce que notre surveillance et réponse aux incidents vise à voir avant que l'écran ne se verrouille. Et si c'est déjà fait : incident en cours ?