Reprise après une attaque par ransomware

Comment elle est déployée

1. 1Première intervention et confinement.
2. 2Inventaire des dommages et des sauvegardes disponibles.
3. 3Plan de reprise par ordre de criticité.
4. 4Restauration et validation avec les responsables de chaque service.
5. 5Rapport et plan de renforcement pour éviter une récidive.

Ce que fait Seintec pendant et après l’incident

Pendant l’incident, Seintec le contient, évalue l’état des sauvegardes, planifie la récupération par ordre de priorité et l’exécute, en vérifiant que l’environnement restauré est sain avant de le remettre en production. Ensuite, Seintec remet un rapport technique présentant la chronologie, les éléments restaurés et les mesures correctives avec leurs échéances. L’analyse forensique approfondie et l’évaluation juridique nécessitent des compétences spécifiques: si le cas l’exige, ce besoin est signalé dès le départ et l’intervention est coordonnée avec les spécialistes concernés plutôt que de s’engager sur un périmètre impossible à couvrir.

Ce qui est en jeu si rien n'est fait

• Restaurer dans un environnement compromis

  Restaurer les données sur un réseau auquel l’attaquant a toujours accès conduit à un second chiffrement quelques jours plus tard.

• Sauvegardes touchées par l’attaque

  Les sauvegardes accessibles avec les identifiants du domaine sont une cible prioritaire. La sauvegarde doit être hors de portée des comptes compromis.

• Absence de contact d’urgence

  Sans savoir qui appeler et avec quelle autorisation, des heures sont perdues au moment où elles sont les plus précieuses.

Questions fréquentes

¿Récupère-t-on toujours toutes les données?

Ce n’est pas garanti. Le résultat dépend de l’étendue du chiffrement ainsi que de la qualité et de l’ancienneté des sauvegardes disponibles.

¿Recommandez-vous de payer la rançon?

Non. Payer ne garantit pas la récupération et alimente l’activité criminelle; l’approche consiste à restaurer les données à partir de sauvegardes fiables.

¿La notification est-elle obligatoire?

Elle peut l’être selon le type de données et le secteur. Cette évaluation juridique relève du conseil juridique de l’entreprise.

¿Combien de temps faut-il pour reprendre le travail?

Cela dépend du volume, de l’état des sauvegardes et du nombre de systèmes. La priorité est donnée à ce qui permet de facturer.

¿Faut-il payer la rançon?

Payer ne garantit ni la récupération des informations ni la non-publication des données, et alimente le modèle économique de l’attaquant. Les autorités compétentes recommandent généralement de ne pas payer et de porter plainte. La décision revient à la direction de l’entreprise, de préférence avec un accompagnement juridique et après évaluation de l’état réel des sauvegardes.

¿Faut-il notifier l’incident?

Si des données personnelles sont touchées, des obligations de notification dans des délais définis s’appliquent, et il est souvent également recommandé de porter plainte. Seintec fournit les informations techniques sur l’incident et le détail des éléments restaurés; l’évaluation juridique et la notification relèvent de l’entreprise et de son conseil juridique.

¿Comment éviter que cela se reproduise?

En appliquant les mesures qui font souvent défaut sur le terrain: authentification à deux facteurs pour tous les accès distants, sauvegardes hors de portée du domaine, segmentation du réseau, révision des droits d’administration, mises à jour régulières et surveillance des alertes. Après l’incident, les défaillances sont documentées et chaque mesure corrective est planifiée avec une échéance.

¿Peut-on faire appel au service de récupération sans être déjà client?

Oui, même si l’intervention est toujours plus efficace lorsque l’environnement est déjà connu. Pour un nouveau client, la première phase consiste à cartographier les systèmes et à établir l’état réel des sauvegardes, ce qui détermine les éléments récupérables et les délais. Ce diagnostic est remis avant tout engagement sur un plan de récupération.