Lorsqu’un rançongiciel perturbe l’activité, les décisions techniques et métier arrivent en même temps. Faut-il arrêter un service ? Comment contacter les équipes ? Quelles commandes peuvent encore être traitées ? Préparer ces questions réduit l’improvisation.
Une attaque à traiter comme un incident majeur
Un chiffrement de fichiers peut s’accompagner d’autres actions malveillantes. Le périmètre doit être évalué par l’équipe de réponse. Évitez les tentatives de nettoyage ou de restauration non coordonnées qui pourraient compliquer l’analyse ou réintroduire la compromission.
Connaître les premiers interlocuteurs
Prévoyez les contacts de l’équipe IT, des prestataires, de la direction et de l’assureur selon le contrat. Les mesures de confinement, la préservation des éléments utiles et les démarches de signalement doivent être coordonnées. Le paiement d’une rançon ne garantit pas la récupération des données.
Exercer les arbitrages
Exemple fictif : la facturation et le partage de fichiers deviennent indisponibles. En réunion, demandez quelle activité doit reprendre en premier et quelles dépendances sont nécessaires. Une réponse comme « restaurer le serveur » est insuffisante si l’équipe ne sait pas quelles données valider.
Le regard Aztechnix
Un exercice court peut produire trois livrables : une liste de contacts utilisable hors ligne, une répartition des décisions et un ordre de reprise validé par les métiers. Vérifiez ensuite les écarts constatés au lieu de considérer l’exercice comme une formalité.
Source et méthode
Cybermalveillance.gouv.fr — Rançongiciels : organisation victime. Source consultée le 1er novembre 2026. Synthèse et recommandations pratiques : Aztechnix. Les mises en situation sont fictives ; elles ne constituent pas des références clients.