Guide opérationnel de réponse aux rançongiciels : la première heure, 24 heures et 72 heures

Un guide opérationnel chronométré pour les rançongiciels : ce qu'il faut faire dans la première heure, les premières 24 heures et les premières 72 heures, de l'isolement et la préservation des preuves à la notification, la décision de rançon et une restauration propre.

Ce guide opérationnel est destiné aux responsables informatiques, aux RSSI, aux MSP et aux équipes de direction qui doivent prendre des décisions lors d'une attaque par rançongiciel. Il transforme le guide opérationnel de réponse aux incidents en une séquence chronométrée pour la première heure, les premières 24 heures et les premières 72 heures, puis couvre la restauration et le renforcement. Utilisez-le en parallèle avec votre plan de réponse aux incidents et le guide opérationnel de signalement des incidents, qui contient les délais réglementaires détaillés.

Avant de commencer

Le rançongiciel fonctionne en exerçant une pression sur vos décisions. Préparez ces éléments pendant que vous êtes calme :

• Feuilles de contact imprimées : votre contrat de rétention DFIR, votre assureur cyber, votre conseil juridique, le CSIRT national, la police et les principaux fournisseurs.
• Un canal hors bande, tel qu'un espace de travail de messagerie distinct ou un pont téléphonique, qui ne dépend pas de votre fournisseur de messagerie ou d'identité.
• Des sauvegardes hors ligne ou immuables, avec un test de restauration documenté au cours des six derniers mois.
• Une matrice de décision pré-approuvée qui définit qui peut arrêter la production, qui peut contacter l'attaquant et qui décide du paiement.

Fenêtre	Résultats prioritaires
Première heure	Incident déclaré, propagation arrêtée, sauvegardes et identité protégées, preuves préservées, équipe principale en ligne
Premières 24 heures	Périmètre connu, exfiltration évaluée, sauvegardes validées, alerte précoce NIS2 et toute notification initiale DORA déposées, police informée, déclaration de principe prête.
Les 72 premières heures	Cause première identifiée, plan d'éradication convenu, restauration en cours, notification NIS2 et notification RGPD déposées, décision de rançon documentée.

Phase 1 : Déclarer et isoler (première heure)

La rapidité est primordiale à ce stade, mais gardez les actions contrôlées. Le conseil du CCB est de déconnecter les ordinateurs infectés d'Internet et du réseau sans les éteindre^[1]. L'arrêt détruit les preuves en mémoire et parfois les clés de chiffrement.

• Déclarez l'incident, désignez le gestionnaire d'incident et enregistrez l'heure.
• Isolez les hôtes affectés via l'isolement réseau EDR, ou en les débranchant ou en désactivant le port du commutateur.
• Déconnectez les dépôts de sauvegarde et protégez les identifiants de la console de sauvegarde. Vérifiez si les tâches de sauvegarde ou les instantanés sont en cours de suppression.
• Désactivez les chemins d'accès à distance (VPN, passerelles RDP, outils de gestion à distance) jusqu'à ce que vous sachiez lequel l'attaquant a utilisé.
• Protégez l'identité : suspendez les comptes privilégiés suspects et surveillez les nouveaux comptes administrateur et les modifications de la stratégie de groupe.
• Déplacez toutes les communications vers le canal hors bande.

Phase 2 : Préserver les preuves (premières heures)

Les preuves vous indiquent comment l'attaquant s'est introduit et ce qu'il a pris. Elles soutiennent également une plainte pénale et une réclamation d'assurance. Capturez-les avant de reconstruire quoi que ce soit.

• Capturez les images mémoire et disque d'un échantillon d'hôtes chiffrés, au moins un contrôleur de domaine et le point d'entrée probable.
• Exportez les journaux d'audit du pare-feu, VPN, EDR, fournisseur d'identité et cloud avant que la rétention ne les supprime.
• Conservez une copie de la note de rançon, les coordonnées de l'attaquant, toute URL de site de fuite et les adresses de crypto-monnaie.
• Hachez chaque élément et enregistrez la chaîne de traçabilité.

Phase 3 : Établir le périmètre et tester les sauvegardes (premières 24 heures)

De nombreux groupes de rançongiciels volent les données avant de les chiffrer. Vous avez donc deux problèmes à résoudre : la disponibilité et la confidentialité.

• Mettez en correspondance les systèmes, sites et locataires cloud qui sont chiffrés et ceux qui ne sont pas affectés.
• Recherchez des signes d'exfiltration : transferts sortants volumineux, outils d'archivage, outils de synchronisation cloud et les affirmations propres de l'attaquant sur un site de fuite.
• Identifiez le vecteur d'accès initial. Les vecteurs courants sont les VPN ou RDP exposés, les identifiants volés et les appareils de périphérie non corrigés.
• Testez vos sauvegardes : sont-elles intactes, quand ont-elles été bonnes pour la dernière fois et précèdent-elles la première activité de l'attaquant ?
• Consultez No More Ransom (nomoreransom.org) pour un décrypteur gratuit pour la souche identifiée. L'initiative a été fondée par Europol et la police néerlandaise avec des partenaires privés, et la Police fédérale belge a publié des clés par son intermédiaire.^[5].

Phase 4 : Notifier et signaler (24 à 72 heures)

Un ransomware au sein d'une entité NIS2 sera souvent un incident important ; traitez donc l'alerte précoce de 24 heures comme la règle, non l'exception. Les entités financières vérifient d'abord la classification DORA, car la notification initiale doit intervenir dans les 4 heures suivant le classement d'un incident comme majeur. Si des données à caractère personnel ont été chiffrées ou volées, évaluez la notification RGPD dans les 72 heures. La police néerlandaise note explicitement qu'un ransomware affectant des données à caractère personnel est susceptible de constituer une violation de données^[3]. Le plan de réponse aux incidents contient le flux de décision et la liste des destinataires.

• Déposez une plainte pénale. En Belgique, déposez-la auprès de la police (le CCB oriente les entreprises vers leur commissariat local)^[1]. L'Unité fédérale de la criminalité informatique de la Police fédérale traite les cybercrimes graves et collabore avec le CCB sur les ransomwares^[7]. Aux Pays-Bas, une entreprise peut signaler en ligne avec eHerkenning ou prendre rendez-vous au 0900-8844^[3]. Au Luxembourg, déposez plainte auprès de la Police grand-ducale.
• Notifiez votre assureur cyber dans le délai prévu par la police, et avant d'engager tout prestataire qu'il devrait approuver.
• Informez les clients et partenaires concernés avec un message factuel approuvé par le conseil juridique.

Phase 5 : Décider du paiement de la rançon

Le CCB et la police néerlandaise déconseillent le paiement. Le paiement ne garantit pas que vous récupérez vos données ou que les données volées sont supprimées, et il finance d'autres attaques^[2][3]. Si la direction envisage toujours le paiement, faites-en une décision documentée au niveau du conseil d'administration, prise avec :

• Contrôle des sanctions : le régime de sanctions cybernétiques de l'UE (Règlement (UE) 2019/796 du Conseil) gèle les actifs des personnes inscrites sur la liste et interdit de mettre des fonds à leur disposition^[6]. D'autres régimes de sanctions de l'UE et les règles américaines, si vous avez une exposition aux États-Unis, peuvent également s'appliquer. Le conseil juridique doit vérifier si le groupe peut être lié à une personne inscrite sur la liste.
• Forces de l'ordre : informez la police si vous envisagez un paiement. La police néerlandaise indique que les informations de paiement aident les enquêtes^[3].
• Assurance et comptabilité : vérifiez les conditions de la police et enregistrez tout paiement de manière transparente.
• Vérification de la réalité : même si un déchiffreur fonctionne, il est lent et imparfait. La restauration à partir de sauvegardes saines est souvent plus rapide.

Le paiement n'élimine aucune obligation de notification en vertu de NIS2, DORA ou du RGPD.

Phase 6 : Éradiquer et restaurer (72 heures et au-delà)

Restaurez dans un environnement sain. Remettre les systèmes sur un réseau que l'attaquant contrôle toujours ne fait que les chiffrer à nouveau.

• Reconstruisez d'abord la base d'identité : contrôleurs de domaine sains ou reconstruits, compte KRBTGT réinitialisé deux fois, tous les mots de passe de comptes privilégiés et de service renouvelés.
• Restaurez les systèmes dans l'ordre d'impact métier à partir de sauvegardes validées, en analysant chacun avant de le reconnecter.
• Fermez le vecteur d'accès initial : corrigez-le, appliquez l'authentification multifacteur (MFA) sur tous les accès distants et supprimez le RDP exposé.
• Maintenez une surveillance renforcée en place pendant au moins 30 jours et surveillez les indicateurs de compromission connus.

Phase 7 : Renforcer et examiner

Dans les deux semaines suivant le rétablissement, tenez un examen sans recherche de responsabilité et transformez les constats en actions financées. Les résultats typiques sont des sauvegardes immuables avec des identifiants distincts, une authentification multifacteur résistante au phishing pour les administrateurs, une administration à plusieurs niveaux, une couverture EDR sur chaque serveur et une application plus rapide des correctifs sur les équipements en périphérie de réseau. Le modèle d'accompagnement comprend une liste de contrôle chronométrée pour les 72 premières heures, un journal des décisions, une feuille de contacts et une évaluation des sauvegardes que vous pouvez utiliser lors d'un exercice ou lors d'un incident réel. Dans Secrato, les actions de renforcement deviennent des traitements des risques suivis, de sorte que leur progression est visible par la direction.

Comment cela se connecte à d'autres référentiels

La préparation aux ransomwares repose sur des contrôles que la plupart des référentiels partagent : sauvegardes (contrôle ISO/IEC 27001 8.13), gestion des incidents (5.24 à 5.28), contrôle d'accès et authentification multifacteur, et gestion des vulnérabilités. L'article 21(2) de NIS2 énumère explicitement la gestion des sauvegardes, le traitement des incidents et l'authentification multifacteur. Les évaluations CyFun et NIS2 récompensent donc la même préparation.

Questions fréquemment posées

Le paiement d'une rançon est-il illégal en Belgique, aux Pays-Bas ou au Luxembourg ?

Au moment de la rédaction, il n'existe pas d'interdiction statutaire générale de paiement dans ces pays. Un paiement peut toujours violer la loi sur les sanctions s'il atteint une personne ou une entité inscrite, et les autorités déconseillent le paiement. Demandez un avis juridique avant toute décision.

Devrions-nous contacter les attaquants pour gagner du temps ?

Uniquement par l'intermédiaire d'un négociateur désigné et expérimenté, et uniquement après que le conseil juridique et la police ont été informés. Un contact non planifié peut révéler des informations et augmenter la pression sur vous.

Nos sauvegardes ont également été chiffrées. Et maintenant ?

Vérifiez les copies hors ligne, les instantanés cloud, les répliques sur d'autres sites et les exportations SaaS. Consultez No More Ransom pour un déchiffreur. Demandez à votre prestataire DFIR si la souche a des faiblesses connues.

Devons-nous signaler si aucune donnée n'a été volée ?

C'est possible. En vertu de NIS2, une perturbation opérationnelle grave à elle seule peut rendre un incident significatif. Le RGPD couvre également les violations de disponibilité, de sorte qu'une perte d'accès aux données à caractère personnel peut constituer une violation à notifier.