01 ·
Isoler, ne pas éteindre
Déconnectez les systèmes touchés du réseau (câble, Wi-Fi, segmentation) sans les éteindre : la mémoire volatile contient des preuves sur l'attaquant et sur ce qui a été touché.
Attaque ransomware : que faire dans les premières minutes.
Une entreprise touchée dispose de peu de temps et de décisions irréversibles à prendre. La règle d'or : isoler sans éteindre, ne pas payer sous le coup de l'impulsion, activer la réponse à incident. Le SOC européen Fortgale appuie la réponse 24·7·365, de la containment aux notifications.
Standards IR
ISO/IEC 27001
MITRE ATT&CK
NIST IR
Notifications
CSIRT national · NIS2
Autorité de contrôle · RGPD art. 33
No More Ransom
Les 60 premières minutes
Que faire maintenant, dans l'ordre.
Les actions qui réduisent les dommages et préservent les preuves nécessaires pour comprendre ce qui s'est passé et ce qui a été exfiltré.
02 ·
Activer la réponse à incident
Appelez l'équipe IR : containment, éradication, reconstitution de la chaîne d'attaque. Le SOC européen Fortgale est opérationnel 24·7·365, containment médiane <30 min.
03 ·
Évaluer les sauvegardes, pas la rançon
Vérifiez les sauvegardes intactes et isolées avant d'envisager tout paiement. Un déchiffreur gratuit existe souvent déjà (No More Ransom). Payer ne garantit ni les données ni le silence.
La question décisive
Payer la rançon ? Presque jamais la bonne réponse.
Le paiement ne garantit pas la récupération, ne garantit pas la suppression des copies exfiltrées, finance l'écosystème criminel et peut créer une exposition réglementaire. D'abord : sauvegardes, déchiffreur, réponse à incident.
Après la containment · les notifications
Deux obligations distinctes, souvent ensemble.
Un cas de ransomware avec exfiltration de données personnelles déclenche les deux notifications. Ce sont des procédures différentes, avec des autorités et des délais différents.
NIS2 ·
Notification au CSIRT national
Pour les entités essentielles et importantes : alerte précoce 24 heures, notification 72 heures, rapport final 30 jours. Voir NIS2 expliquée.
RGPD ·
Notification à l'autorité de contrôle
Si des données personnelles sont en jeu : notification sous 72 heures (art. 33) et communication aux personnes si le risque est élevé. Voir notification de violation de données.
Technique ·
Le travail forensique
Établir quelles données ont réellement été exfiltrées et collecter les preuves qu'exigent les notifications : le volet technique de la digital forensics dans la réponse à incident.
Au-delà de l'urgence
Comment gérer une attaque ransomware : les cinq phases.
Les 60 premières minutes limitent les dégâts. La gestion complète de l'incident, du diagnostic au retour en production, suit cinq phases à parcourir dans l'ordre : en sauter une se paie dans les semaines qui suivent.
1 · Confinement et diagnostic
Les systèmes touchés une fois isolés, l'équipe reconstruit le périmètre réel de l'attaque : quelle variante de ransomware, quel point d'entrée, quels comptes compromis, depuis combien de temps l'attaquant est dans le réseau. Cette phase décide de toutes les autres : confiner uniquement les systèmes chiffrés en ignorant les accès persistants de l'attaquant, c'est rouvrir l'incident après la restauration. Dans l'Operation Storming Tide, la chaîne Matanbuchus 3.0 → Astarion → SystemBC a été coupée avant le chiffrement précisément parce que le diagnostic couvrait la chaîne entière, pas un seul hôte.
2 · Éradication
Suppression de toute présence de l'attaquant : malware, backdoors, comptes créés, identifiants volés, mécanismes de persistance. Les groupes ransomware achètent souvent leur accès initial à des brokers spécialisés, comme le documente l'analyse Nebula Broker : éradiquer, c'est fermer aussi ce canal d'entrée, pas seulement supprimer la payload. La digital forensics établit ce qui a été touché et exfiltré, et produit les preuves qu'exigeront les notifications.
3 · Restauration depuis les sauvegardes
La restauration ne démarre qu'une fois l'éradication vérifiée : restaurer avec l'attaquant encore présent mène au re-chiffrement, l'une des erreurs les plus fréquentes des gestions improvisées. Ordre de retour par criticité métier, vérification d'intégrité des sauvegardes (les groupes ransomware les cherchent et les chiffrent en premier), surveillance renforcée sur les systèmes fraîchement restaurés.
4 · Notifications et communication
En parallèle des phases techniques courent les obligations vues plus haut : le CSIRT national pour les entités NIS2 (alerte précoce sous 24 heures) et l'autorité de contrôle pour les données personnelles (72 heures). S'y ajoute la communication interne aux équipes et à la direction, et le cas échéant aux clients et fournisseurs : tenir des discours différents à des interlocuteurs différents, ou nier l'exfiltration avant que la forensique ne l'ait exclue, aggrave la position juridique comme la position réputationnelle.
5 · Revue post-incident
L'incident clos : comment l'attaquant est-il entré, pourquoi n'a-t-il pas été détecté plus tôt, quels contrôles manquaient. Le vecteur initial est presque toujours connu et répétable, phishing avec kits AiTM qui capturent le jeton de session après l'authentification, identifiants achetés, systèmes exposés sans correctifs : si la revue ne le ferme pas, la deuxième attaque passe par la même porte. C'est là que la gestion d'urgence devient prévention structurelle, typiquement avec un service de managed detection and response ou un SOC géré.
Qui doit la gérer : l'expérience ne se remplace pas
Une attaque ransomware ne se gère pas avec la seule équipe informatique interne, si compétente soit-elle : il faut une équipe de réponse à incident qualifiée, qui a déjà affronté et vaincu de vrais groupes ransomware. La différence est concrète à chaque phase : reconnaître la variante et les TTP de l'acteur réduit le diagnostic de jours en heures, savoir où les groupes cachent leur persistance évite les éradications incomplètes, avoir déjà conduit les notifications réglementaires évite les erreurs formelles sous pression. L'équipe de réponse à incident Fortgale opère depuis son SOC de Milan 24·7·365 sur des cas documentés contre des acteurs actifs en Europe, avec 287 groupes adverses et outils d'attaque profilés à l'appui de l'attribution : connaître l'adversaire avant de le rencontrer, c'est ce qui transforme une crise en incident géré.
Cas réel · ransomware empêché
Lors de l'Operation Storming Tide, l'équipe Fortgale a contenu une intrusion multi-étapes (acteur Mora_001, chaîne Matanbuchus 3.0 → Astarion → SystemBC) : exfiltration RClone et ransomware empêchés par la containment.
Lire l'analyse →FAQ · attaque ransomware
Les questions des moments critiques.
Dois-je payer la rançon ?
Payer ne garantit pas la récupération des données ni la suppression des copies exfiltrées, finance le groupe criminel et peut constituer un manquement. D'abord : isoler, évaluer les sauvegardes, activer la réponse à incident. Parfois le déchiffreur est déjà gratuit sur No More Ransom.
Dois-je éteindre les PC touchés ?
Non. Isolez-les du réseau sans les éteindre : l'extinction détruit les preuves en mémoire (RAM) nécessaires pour reconstituer l'attaque et comprendre quelles données ont été exfiltrées.
Qui dois-je notifier ?
La direction et l'informatique en interne. En externe : CSIRT national sous 24h si vous êtes une entité NIS2, et l'autorité de contrôle sous 72h si des données personnelles sont en jeu. Ce sont des notifications distinctes : voir NIS2 expliquée et notification de violation de données.
Puis-je récupérer les données sans payer ?
Souvent oui, avec des sauvegardes intactes et isolées ou un déchiffreur gratuit lorsqu'il existe. L'équipe IR vérifie d'abord que les attaquants ont été éradiqués, pour éviter un nouveau chiffrement après restauration.
En combien de temps la réponse à incident peut-elle démarrer ?
L'équipe IR Fortgale est opérationnelle 24·7·365 avec un SOC européen : appui immédiat dès l'appel, containment médiane <30 min, appui à la notification au CSIRT et collecte des preuves pour l'autorité de contrôle.
Prochaine étape
Du guide à l'action.
Cette page explique quoi faire. Les deux étapes opérationnelles : activer l'intervention si l'attaque est en cours, construire le dispositif pour que cela ne se reproduise pas.
Urgence · maintenant
Demander une intervention urgente
Hotline IR 24·7·365 : réponse opérationnelle en 30 min, containment médian <30 min, appui à la notification CSIRT sous 24h NIS2.
Activer l'urgence →Prévention
Protection ransomware
Le SOC européen intercepte l'attaquant dans les quatre premières phases, pendant les 21 jours de dwell time, avant qu'il ne touche données ou sauvegardes.
Découvrir la protection →Dispositif 24·7
SOC géré
Surveillance, triage et réponse continus sur les groupes ransomware actifs en Europe. Le dispositif qui rend l'incident rare.
Découvrir le SOC →
Sous attaque ou envie de vous préparer ?
Une urgence ransomware se gère en quelques minutes.
Si l'attaque est en cours, appelez la hotline IR. Si vous voulez vous préparer, parlez à nos analystes : containment, runbooks et appui aux notifications, avec un SOC européen dans votre fuseau horaire.