Un lundi matin de janvier, un cabinet comptable de la région me rappelle : tous leurs fichiers étaient en .locked, et le message demandait 4 000 €. Leur backup était sur un NAS branché au réseau. Le ransomware l'avait chiffré aussi, à 15 h 38. Je m'en souviens parce que c'est l'heure du dernier fichier intact.
D'abord : ce qu'il ne faut surtout pas faire
Payer. Pas par morale, par calcul. Ce qui se passe réellement :
30 % des entreprises qui paient ne récupèrent pas tout. C'est le chiffre honnête qui circule dans les rapports sur les ransomwares. Les attaquants ne sont pas des acheteurs de bonne foi. Certains laissent volontairement des fichiers corrompus pour empêcher les redirections morales.
Vous devenez une cible renforcée. Pour les cybercriminels, une entreprise qui paie est une entreprise qui peut repayer. Ils reviennent souvent dans les 6 mois. La rançon grimpe.
La rançon n'est qu'une partie du coût. Il y a l'arrêt d'exploitation : souvent 2 à 4 semaines pour une PME sans backup. Vous payez des gens pour ne pas travailler. C'est bien plus cher que la rançon.
La seule vraie protection
Un backup externalisé. Hors réseau, hors site, testé. La condition est simple : si votre backup est accessible depuis votre réseau, il n'est pas un backup. Il peut être chiffré par le même ransomware, exactement comme le NAS de mon client comptable.
Le backup doit être dans un datacenter indépendant, avec des accès séparés, et une restauration testée régulièrement. Chez nous, c'est mensuel, et le client reçoit le rapport. Si jamais vous n'avez pas ce niveau, la méthode que je décris après ne fonctionne pas. Commencez par là.
Comment récupérer sans payer, en 4 étapes
Étape 1 : isolez tout. Débranchez le réseau, le WiFi, les VPN. Objectif : empêcher la propagation et couper le contact avec le serveur de commande. Ne tentez pas de trier les fichiers chiffrés, ça peut être bouclée qui revient.
Étape 2 : datez l'infection. Regardez les logs, les dates de modification des fichiers chiffrés, le premier .locked rencontré. Vous devez restaurer depuis un backup antérieur à cette date. Si votre backup est quotidien, vous perdez au mieux la journée.
Étape 3 : restaurez depuis le backup externalisé. Depuis un poste sain, rechargez les fichiers et les bases. Restaurer les applications, remonter les données. Bien souvent, la restauration complète prend moins de 2 heures si le backup est bien testé. C'est le moment où l'on sait si votre prestataire est sérieux.
Étape 4 : vérifiez avant de relancer. Scannez chaque poste avant de le rebrancher. Changez tous les mots de passe, révoquez les sessions, vérifiez que le ransomware n'a pas laissé de porte dérobée. Une entreprise qui rebranche trop vite se fait rechiffrer. J'ai vu le cas.
Le scénario sans backup
Sans backup, il reste deux options, les deux mauvaises :
Reconstruire à la main. Des semaines pour reconstituer les fichiers, les devis, les contrats. Les clients attendent, certains partent. C'est souvent la véritable fin de l'entreprise, même si elle ne ferme pas.
Payer sans garantie. 30 % de ne pas récupérer tout, et en plus vous financez la prochaine attaque contre un autre confrère.
Mon conseil pour les PME du Nord
Un backup externalisé testé mensuellement coûte environ 1 500 € par an pour une PME standard. Une attaque sans backup coûte au bas mot plusieurs dizaines de milliers d'euros en perte d'exploitation, hors rançon. Le rapport de force est sans commune mesure.
Chez WebSentinel, on a un Backup as a Service qui fait exactement ça : sauvegarde quotidienne hors site, stockage en France, restauration testée chaque mois, avec un humain au bout du fil quand vous êtes dans la galère. C'est un filet de sécurité. Pas de fausse promesse : ça ne vous empêchera pas de vous faire attaquer. Ça vous permet d'en sortir sans payer.
