- Restaurer après un ransomware n’est pas qu’une question technique : l’ordre des opérations compte autant que la disponibilité des sauvegardes.
- Ne jamais restaurer directement sur le système compromis sans avoir identifié et neutralisé la cause de l’intrusion initiale.
- Une procédure de reprise documentée à l’avance fait gagner un temps précieux dans les premières heures, souvent les plus critiques.
Découvrir un ransomware est déjà éprouvant ; improviser la restauration dans la panique l’est encore davantage. Ce guide détaille les étapes à suivre dans l’ordre pour restaurer son activité après une attaque, en évitant les erreurs les plus fréquentes.
1. Isoler avant de restaurer
La toute première action reste l’isolement des systèmes touchés du reste du réseau, pour stopper la propagation. Restaurer des données sur un système encore connecté à un réseau compromis expose les données fraîchement restaurées au même risque de chiffrement.
2. Identifier la cause avant de tout remettre en service
Restaurer des données sans avoir identifié comment l’attaquant est entré revient à laisser la porte ouverte : il pourrait revenir chiffrer à nouveau les données, y compris les sauvegardes fraîchement restaurées. Une analyse, même sommaire, de l’origine de la compromission doit précéder la remise en production complète.
3. Ordre de priorité de restauration
- Systèmes d’identité et d’authentification (annuaire, contrôleurs de domaine) — vérifiés et sécurisés en premier.
- Systèmes critiques identifiés par le RPO/RTO définis en amont (facturation, production).
- Messagerie et outils de communication.
- Fichiers et documents de travail courants.
- Systèmes secondaires et archives.
4. Changer tous les identifiants concernés
Après une compromission, tous les mots de passe des comptes ayant pu être exposés doivent être changés, y compris les comptes de service et les identifiants stockés dans des applications tierces connectées. Un attaquant qui a eu accès au système pendant plusieurs jours ou semaines a pu collecter bien plus d’identifiants que ceux directement liés à l’attaque visible.
5. Documenter la procédure avant d’en avoir besoin
Une procédure de reprise après incident, même simple (qui contacter, dans quel ordre restaurer, où se trouvent les sauvegardes), rédigée à froid, fait gagner un temps considérable comparé à une improvisation complète sous pression le jour de l’incident.
❓ FAQ
❓ Faut-il payer la rançon si aucune sauvegarde n’est disponible ?
Les autorités (ANSSI, gendarmerie) déconseillent fortement le paiement, qui ne garantit pas la récupération des données et finance l’écosystème criminel. Un accompagnement professionnel reste recommandé pour évaluer les options disponibles.
❓ Combien de temps prend une restauration complète en moyenne ?
Cela dépend énormément du volume de données, de la qualité des sauvegardes et de la préparation en amont — d’où l’intérêt de définir un RTO réaliste et de le tester avant qu’un incident ne survienne.
📚 Pour aller plus loin
Besoin d'aide pour passer à l'action ?
Un expert peut vous rappeler pour vous accompagner sur ce sujet, sans engagement.
Être rappelé par un expert →
Sauvegarde, ransomware et continuité d'activité : Léa s'assure que vos données survivent au pire scénario, avec des méthodes concrètes plutôt que des grands discours.
