Plan d’intervention rançongiciel Exercice en direct Ce que c’est
Un logiciel malveillant qui chiffre vos données et, de plus en plus souvent, les copie avant de les chiffrer pour faire pression avec la menace de les publier.
Cybersécurité
Rançongiciel en PME : prévention, détection et quoi faire dans les premières heures
Un rançongiciel chiffre vos fichiers et exige un paiement pour vous les rendre. Pour une PME, le problème n’est presque jamais le chiffrement lui-même : c’est de découvrir, ce matin-là, que personne ne sait qui appelle qui, ni si les sauvegardes fonctionnent. Cette page décrit ce qui prévient une attaque, ce qui permet de la voir tôt, et l’ordre exact des gestes des premières heures.
Un rançongiciel se prépare avant qu’il arrive. Les organisations qui s’en remettent le mieux ne sont pas celles qui ont le plus d’outils : ce sont celles qui ont une sauvegarde hors de portée et testée, une détection capable d’isoler un poste, et une liste d’appels écrite qui reste lisible quand le réseau est coupé.
L’essentiel
Les rançongiciels en trois points
Ce qui distingue une organisation qui repart d’une organisation qui négocie tient à trois choses, et aucune ne s’achète le matin de l’incident.
Pour qui
Toute organisation qui a des données dont l’absence arrête le travail, ce qui comprend les PME de quelques employés, les OBNL et les cabinets professionnels.
Ce que ça change
Avec une sauvegarde hors ligne testée, une détection sur les postes et un plan écrit, un incident devient une interruption gérée plutôt qu’une négociation avec un inconnu.
Comprendre
Comment un rançongiciel entre dans une PME
L’entrée se fait presque toujours par un des trois mêmes chemins : un courriel qui amène quelqu’un à ouvrir un fichier ou à donner son mot de passe, un accès distant exposé sur Internet avec un mot de passe faible et sans deuxième facteur, ou une faille non corrigée sur un serveur ou un équipement réseau visible depuis l’extérieur.
Ce qui suit l’entrée est moins connu, et c’est là que tout se joue. L’attaquant reste d’abord discret : il regarde, il élargit ses droits, il cherche les sauvegardes et il les supprime ou les chiffre en premier. Le chiffrement des fichiers, celui qu’on voit, arrive à la toute fin. Quand l’écran de rançon apparaît, l’intrus est déjà dans le réseau depuis un moment.
C’est la raison pour laquelle une sauvegarde branchée en permanence sur le réseau ne protège de rien, et pour laquelle la détection compte autant que la prévention : c’est pendant cette phase discrète qu’on peut encore arrêter l’attaque sans perdre de données.
- Le courriel qui obtient un mot de passe ou fait ouvrir un fichier
- L’accès distant exposé, sans deuxième facteur
- La faille publiée et jamais corrigée sur un serveur visible
Prévention
Ce qui empêche un rançongiciel d’aboutir
Aucune mesure prise seule n’est suffisante. Ce sont les mêmes six qui reviennent dans tous les mandats, parce qu’elles ferment les chemins d’entrée et coupent la propagation.
Des sauvegardes hors de portée et testées
Ce que c’est. Au moins une copie que l’attaquant ne peut ni modifier ni supprimer avec les droits qu’il obtient sur le réseau, et une restauration éprouvée à intervalle régulier plutôt qu’un rapport vert qu’on ne vérifie jamais.
Ce que ça donne. La décision de payer ou non ne se pose plus dans les mêmes termes. C’est la mesure qui change le plus le déroulement d’un incident.
La détection et la réaction sur les postes
Ce que c’est. Un agent de détection sur chaque poste et chaque serveur, capable d’isoler une machine du réseau dès qu’un comportement de chiffrement massif est reconnu.
Ce que ça donne. L’attaque est arrêtée sur la première machine au lieu de se propager à toute l’organisation pendant la nuit.
L’authentification multifacteur partout
Ce que c’est. Un deuxième facteur sur les courriels, sur le VPN, sur les accès distants et sur les consoles d’administration, sans exception pour les comptes de direction ou de service.
Ce que ça donne. Un mot de passe volé ne suffit plus pour ouvrir la porte, et c’est la porte la plus utilisée.
Les correctifs appliqués sans retard
Ce que c’est. Les mises à jour des postes, des serveurs, des pare-feu et des logiciels tiers sont déployées selon un calendrier suivi, pas au moment où quelqu’un y pense.
Ce que ça donne. Les failles publiées, celles que les attaquants balayent en premier, ne restent pas ouvertes pendant des mois.
La séparation des droits d’administration
Ce que c’est. Personne ne travaille au quotidien avec un compte administrateur, et les comptes d’administration sont distincts, nommés et surveillés.
Ce que ça donne. Un poste infecté ne donne pas immédiatement les clés de tout le domaine.
Un plan écrit et une liste d’appels
Ce que c’est. Une page qui dit qui appeler, dans quel ordre, avec quels numéros, et où sont les copies des informations d’accès si le réseau est inaccessible.
Ce que ça donne. Les premières heures servent à agir plutôt qu’à chercher un numéro de téléphone dans une boîte de courriel qu’on ne peut plus ouvrir.
La sauvegarde reste le dernier rempart. Le détail de la mise en place, du rythme des copies et des restaurations éprouvées est sur notre page sauvegarde et reprise après sinistre. Pour les données de Microsoft 365 en particulier, voir la sauvegarde de Microsoft 365.
Les premières heures
Quoi faire dans les premières heures après un rançongiciel
L’ordre compte plus que la vitesse. Le Centre canadien pour la cybersécurité publie un guide public sur la prévention et le rétablissement en cas de rançongiciel, la fiche ITSAP.00.099, et recommande de ne pas payer la rançon. Voici la séquence qu’on applique.
Isoler, sans éteindre
Débranchez le réseau des machines touchées et coupez le lien vers Internet, mais n’éteignez pas les postes : la mémoire vive contient des traces utiles, et un redémarrage peut déclencher une seconde phase de chiffrement. Débranchez aussi tout disque de sauvegarde encore relié.
Appeler les bonnes personnes, dans l’ordre
Votre fournisseur TI, la direction, puis votre assureur si vous avez une cyberassurance : plusieurs polices exigent d’être avisées avant toute intervention, sous peine de refus de couverture. Signalez ensuite l’incident aux autorités compétentes. Ne communiquez pas avec l’attaquant sans avoir pris ces appels.
Établir l’étendue avant de restaurer
Il faut savoir quelles machines sont touchées, par où l’entrée s’est faite et si des données ont été copiées avant d’être chiffrées. Restaurer sur un réseau où l’accès de l’attaquant est encore ouvert, c’est se faire chiffrer une deuxième fois.
Évaluer l’obligation de déclarer
Si des renseignements personnels sont en cause, la Loi 25 impose de consigner l’incident et d’aviser la Commission d’accès à l’information ainsi que les personnes concernées lorsqu’il y a un risque de préjudice sérieux. Cette évaluation se fait en parallèle de la remise en service, pas après.
Remettre en service par ordre d’importance
On rebâtit les systèmes qui font tourner l’organisation en premier, à partir de copies vérifiées, sur un environnement assaini et avec les mots de passe changés. Les postes secondaires suivent.
Écrire ce qui s’est passé
Un compte rendu qui dit par où c’est entré, ce qui a fonctionné, ce qui a manqué et ce qui change ensuite. Sans ce document, la même faiblesse reste ouverte et l’assureur comme le client se retrouvent sans preuve.
Détection
Les signaux qui précèdent le chiffrement
Ces signaux apparaissent pendant la phase discrète, avant l’écran de rançon. Ce sont ceux qu’une surveillance continue permet de voir, et qu’une PME sans surveillance ne voit jamais.
- Un compte d’administration créé ou modifié en dehors des heures de travail
- Des tentatives de connexion répétées sur le VPN ou sur un accès distant
- La désactivation soudaine de l’antivirus ou de l’agent de détection sur un poste
- Des tâches de sauvegarde qui échouent ou qui disparaissent de la console sans explication
- Un outil d’administration à distance installé sur un poste sans que personne sache par qui
Par où commencer si rien n’est en place. Un audit de cybersécurité établit l’état des sauvegardes, des accès distants, des correctifs et des droits d’administration, et donne une liste de correctifs classée par urgence.
Le chemin d’entrée le plus fréquent. La protection des courriels vient juste après l’audit, parce que c’est par là que passe la majorité des attaques. La surveillance continue, elle, fait partie de nos services TI gérés.
Ce que la loi impose ensuite. Le registre d’incidents et l’avis aux personnes concernées sont détaillés sur notre page conformité à la Loi 25.
- Des copies volumineuses de fichiers vers un service externe pendant la nuit
- Des journaux d’événements effacés sur un serveur
Foire aux questions
Questions fréquentes sur les rançongiciels
Faut-il payer la rançon ?
Le Centre canadien pour la cybersécurité recommande de ne pas payer, dans sa fiche publique ITSAP.00.099 sur les rançongiciels. Payer ne garantit pas la clé de déchiffrement, ne garantit pas que les données copiées seront détruites, et désigne votre organisation comme une cible qui paie. La décision revient à la direction, avec l’assureur, mais elle ne devrait jamais être prise dans les premières minutes ni sans avis externe.
Mes sauvegardes suffisent-elles à me protéger ?
Seulement si elles sont hors de portée et testées. Un attaquant qui obtient les droits d’administration cherche les sauvegardes en premier : un disque branché en permanence, un partage réseau accessible ou une console de sauvegarde protégée par le même mot de passe que le reste seront détruits avec le reste. Ce qui compte est d’avoir au moins une copie que ces droits ne permettent pas de modifier, et une restauration déjà mise à l’épreuve.
Une petite entreprise est-elle vraiment visée ?
La plupart des attaques ne visent personne en particulier : elles balayent Internet à la recherche d’un accès distant mal protégé ou d’un serveur non corrigé, puis exploitent ce qu’elles trouvent. Une organisation de dix personnes est donc atteinte par le même mécanisme qu’une de mille, avec beaucoup moins de moyens pour s’en remettre.
Combien de temps prend un retour à la normale ?
Nous n’annonçons pas de délai unique, parce qu’il serait trompeur. La durée dépend de l’étendue du chiffrement, de l’état des sauvegardes et de l’enquête nécessaire pour être certain que l’accès de l’attaquant est fermé. Nous vous donnons une estimation dans les premières heures, une fois l’étendue connue. Une organisation qui a une sauvegarde testée et une documentation à jour repart beaucoup plus vite qu’une organisation qui doit d’abord reconstituer ce qu’elle possédait.
Mon assurance couvre-t-elle un rançongiciel ?
Une cyberassurance couvre souvent l’intervention, la remise en service et certaines pertes, mais presque toutes les polices imposent des conditions : authentification multifacteur en place, sauvegardes vérifiées, avis à l’assureur avant toute intervention. Il faut lire ces conditions avant l’incident, parce que c’est à ce moment-là qu’on peut encore les remplir.
Que doit-on déclarer au Québec après une attaque ?
Lorsque des renseignements personnels sont en cause, la Loi 25 impose de tenir un registre des incidents de confidentialité et d’aviser la Commission d’accès à l’information ainsi que les personnes concernées quand l’incident présente un risque de préjudice sérieux.
Par où commencer si on n’a rien en place ?
Par savoir où vous en êtes. Un audit de cybersécurité établit l’état des sauvegardes, des accès distants, des correctifs et des droits d’administration, et donne une liste de correctifs classée par ordre d’urgence. La protection des courriels vient ensuite, parce que c’est le chemin d’entrée le plus fréquent.
Se préparer avant d’en avoir besoin
On regarde vos sauvegardes, vos accès distants et vos droits d’administration, et on vous remet une liste de correctifs classée par urgence. Si vous êtes présentement en train de vivre un incident, appelez-nous plutôt que d’écrire.