Si votre ordinateur affiche un message indiquant que vos fichiers sont chiffrés et réclame un paiement en cryptomonnaie, la première action consiste à débrancher le câble Ethernet et à désactiver le Wi-Fi sans cliquer sur quoi que ce soit. Cette coupure empêche le chiffrement de se propager vers d’autres appareils du domicile ou un éventuel NAS. Ne payez pas : les autorités canadiennes et le projet No More Ransom rappellent qu’aucune garantie de récupération n’existe une fois le paiement effectué. Une fois le réseau isolé, notez l’extension ajoutée aux fichiers et le nom du fichier de rançon (souvent readme.txt ou decrypt_instructions.html) afin d’identifier la famille de ransomware. La suite de l’article détaille la procédure à suivre et les réglages qui réduisent fortement le risque de récidive.
Couper le réseau avant toute autre manipulation
Dès l’apparition de la note de rançon, le chiffrement peut encore se poursuivre sur les lecteurs partagés ou les disques connectés. Débranchez le câble réseau et désactivez le Wi-Fi via le bouton physique ou les paramètres rapides. Sur Windows, le mode avion offre une solution rapide ; sur macOS, la même fonction est accessible dans le centre de contrôle. Cette isolation protège également les sauvegardes locales qui resteraient branchées. Une fois la machine isolée, redémarrez-la en mode sans échec si possible pour limiter l’exécution de processus malveillants pendant l’analyse.
Comment le chiffrement des fichiers se déclenche
Le ransomware exploite généralement une macro Office piégée, une pièce jointe exécutable, un logiciel craqué ou une clé USB infectée. Dans le cas d’un télétravailleur, un protocole RDP exposé sans mot de passe fort permet à des scans automatisés d’accéder directement à la machine. Une fois lancé, le programme chiffre les fichiers avec une clé forte et remplace souvent l’extension d’origine par .locked ou une variante propre à la souche. Le processus peut s’étendre aux disques externes détectés avant que l’utilisateur ne remarque les premiers ralentissements du disque dur.
Signes avant-coureurs et infection active
Un ralentissement soudain des opérations d’écriture sur le disque, l’apparition massive d’extensions inconnues et la présence d’un fichier texte ou HTML sur le bureau constituent les indices les plus fréquents. Contrairement à un simple blocage de navigateur, le chiffrement réel modifie le contenu des fichiers ; il devient impossible de les ouvrir même après fermeture du message. Les observateurs rapportent que certains ransomwares affichent la note seulement après avoir traité plusieurs centaines de fichiers, ce qui laisse peu de temps pour réagir.
Pourquoi le paiement ne constitue pas une solution
Le Centre canadien pour la cybersécurité et le projet No More Ransom indiquent qu’aucune statistique officielle ne garantit la récupération après paiement. Les groupes criminels ont tout intérêt à conserver les clés ou à re-cibler la même victime une fois le paiement effectué. Verser des fonds alimente également l’écosystème de développement et de distribution des ransomwares. En pratique, les victimes qui paient doivent souvent réinstaller le système plus tard parce que des traces du programme persistent.
Utiliser les outils de déchiffrement gratuits disponibles
Le site nomoreransom.org propose des utilitaires gratuits classés par famille de ransomware identifiée. Ces outils fonctionnent uniquement lorsque la souche est connue et que la clé n’a pas été effacée. Téléchargez-les depuis un autre appareil sain, puis analysez un fichier chiffré échantillon. Si aucun outil ne correspond, la restauration passe par une réinstallation complète du système d’exploitation suivie d’une récupération depuis une sauvegarde externe déconnectée au moment de l’attaque.
Restauration après infection confirmée
Une réinstallation propre du système reste la méthode la plus fiable. Sur Windows, l’option « Réinitialiser ce PC » avec suppression des fichiers personnels permet de repartir d’un disque vierge. Sur macOS, la réinstallation via la récupération Internet produit le même résultat. Les sauvegardes doivent provenir d’un support débranché pendant l’incident ; les copies locales connectées risquent d’avoir été chiffrées elles aussi. La règle 3-2-1 de sauvegarde reste pertinente ici, mais son application doit intégrer une déconnexion physique régulière des supports.
Cinq réglages qui limitent fortement les infections domestiques
| Réglage | Plateforme | Effet principal |
|---|---|---|
| Mises à jour automatiques activées | Windows et macOS | Corrige les failles exploitées par les ransomwares |
| Accès contrôlé aux dossiers | Windows Defender | Bloque les modifications non autorisées des dossiers protégés |
| RDP désactivé ou protégé par mot de passe fort | Windows | Élimine les scans automatisés sur les ports exposés |
| Sauvegarde externe déconnectée après chaque session | Toutes | Empêche le chiffrement des copies |
| Macros Office désactivées par défaut | Windows et macOS | Neutralise les pièces jointes piégées reçues par courriel |
Ces mesures s’activent sans compétence avancée et concernent directement les vecteurs les plus courants observés chez les particuliers.
Distinguer un ransomware réel d’une simple arnaque écran
Un faux blocage de navigateur affiche un message mais ne modifie pas les fichiers ; il suffit souvent de fermer le navigateur ou de vider le cache. Un ransomware authentique chiffre réellement les données et laisse une note persistante même après redémarrage. Pour confirmer, tentez d’ouvrir un fichier personnel avec une application différente de celle proposée par le message. Si le fichier reste illisible, le chiffrement est effectif et les étapes d’isolation décrites plus haut s’appliquent.
Scénarios concrets rencontrés par les lecteurs
Un particulier reçoit un courriel se présentant comme une facture de fournisseur et contenant un document Word. L’ouverture de la pièce jointe et l’activation de la macro déclenchent le chiffrement dans les minutes suivantes. Ce scénario ressemble à celui d’une page d’hameçonnage bancaire, à la différence que la pièce jointe déclenche un chiffrement plutôt qu’un vol d’identifiants. Un autre cas fréquent concerne un télétravailleur qui laisse le Bureau à distance accessible sans mot de passe robuste pour dépanner un proche ; des scans automatisés exploitent alors la faille en quelques heures.
Signaler l’incident aux bonnes autorités
Au-delà de la restauration technique, signaler une attaque de ransomware contribue à la vigilance collective, même pour un incident domestique. Le Centre canadien pour la cybersécurité recommande de rapporter tout incident significatif, et le Centre antifraude du Canada centralise les signalements liés à l’extorsion numérique. Ce signalement ne débloque généralement pas la situation individuelle, mais il alimente les statistiques qui permettent d’identifier de nouvelles souches actives et d’alerter le public sur les vecteurs d’infection en circulation. Pour une petite entreprise ou un travailleur autonome, ce signalement peut aussi devenir pertinent en cas de réclamation d’assurance couvrant les incidents numériques.
Le cas particulier des sauvegardes cloud synchronisées
Un piège fréquent concerne les services de synchronisation cloud grand public (OneDrive, Google Drive, iCloud Drive) configurés pour synchroniser automatiquement un dossier local. Si le ransomware chiffre les fichiers de ce dossier avant que l’utilisateur ne coupe le réseau, la version chiffrée peut se synchroniser vers le cloud et écraser la version saine. La bonne nouvelle : la plupart de ces services conservent un historique de versions pendant une période limitée (généralement 30 jours pour OneDrive et Google Drive), ce qui permet de restaurer une version antérieure à l’infection directement depuis l’interface web du service, sans même avoir besoin d’une sauvegarde externe séparée. Cette fonction de restauration de version doit être vérifiée et testée avant qu’un incident ne survienne, pour confirmer qu’elle est bien activée sur le compte utilisé.
Le rôle du pare-feu et du réseau domestique
Un réseau domestique mal segmenté facilite la propagation d’un ransomware d’un appareil infecté vers les autres appareils connectés au même Wi-Fi, notamment les partages réseau activés sur un NAS familial ou un second ordinateur. Activer le pare-feu natif de Windows ou de macOS, désactiver le partage de fichiers sur les réseaux publics, et isoler les appareils IoT (caméras, imprimantes connectées) sur un réseau Wi-Fi invité distinct du réseau principal réduisent la surface d’attaque en cas d’infection d’un seul appareil du foyer.
Point de vigilance : Activez l’accès contrôlé aux dossiers via les paramètres de Windows Security avant tout incident. Cette fonction, documentée par Microsoft, empêche les programmes non autorisés d’écrire dans les dossiers Documents, Images et Bureau sans intervention supplémentaire.
Pour les ordinateurs qui contiennent des données particulièrement sensibles, chiffrer le disque dur avec BitLocker ou FileVault reste une protection complémentaire utile — même si elle ne bloque pas un ransomware actif pendant une session ouverte.