GuidePremières 4 heures d'un ransomware
Guide de résilience · novice · intermédiaire · expert

Ransomware : les 4 premières heures qui décident du reste.

Il est 14h. Vos écrans affichent une demande de rançon. Vos fichiers se chiffrent en temps réel. Que faire à H+5, à H+15, à H+1 heure ? Ce guide donne la réponse minute par minute, pour les dirigeants, les DSI et les experts.

0chapitres
0de réponse
0actions clés
0termes
0cas réels
Les plages horaires indiquées sont théoriques. Sur le terrain, plusieurs actions se font en parallèle. Le séquencement présenté ici sert de repère pédagogique, pas de marche à suivre rigide. Le schéma ci-dessous illustre la réalité du terrain — beaucoup d'acteurs travaillent simultanément sur les premières heures.
Vue d'ensemble · 4 couloirs · H+0 → H+4
Vue swim-lane des premières 4 heures d'un ransomware Techs IT DSI ↔ DG Cellules Forensic + externes H+0 H+15 H+30 H+45 H+1h H+1h30 H+2h H+2h30 H+3h H+4 Acteurs et bascules clés sur les 4 premières heures Détection postes / serveurs Confinement + audit serveurs isolation, gel naturel Support CCOTI · exécution opérationnelle aide forensic, préservation logs Qualification DSI confirme Brief SIMPA cadre de remontée Remontée DG décision activation Activation CCD + CCOs DSI · pont CCD ↔ CCOTI arbitrages, briefs continus — en attente de l'activation — CCD activée DG, juridique, com 1ère réunion priorités, mandats Décisions com + continuité validation message + canaux Suivi · points / 30 min arbitrages, escalades Appel forensic + assurance Forensic en route prépare outils, IOCs Arrivée + enquête capture preuves Forensic = pilote technique on ne touche à rien sans lui CERT · Police · Assurance déclarations, IOCs partagés

Vue simplifiée. Les couloirs montrent l'enchaînement principal mais les actions s'entrelacent dans la pratique. Les flèches magenta marquent les bascules critiques (déclenchement du confinement, décision d'activation, mobilisation forensic, arrivée sur site).

1Détection et qualificationH+0 → H+15 (indicatif)

Confirmer que c'est bien un ransomware actif

Un ransomware en cours signifie que des fichiers sont chiffrés en temps réel. La première décision est brutale mais nécessaire : couper tout ce qui est touché. Pas de panique, pas de réflexe destructeur — on isole d'abord, on analyse ensuite.

Reconnaître l'attaque sans la nourrir

Le ransomware se propage à la vitesse du réseau. Chaque minute compte. L'objectif des 15 premières minutes : stopper la propagation et préserver les preuves, sans détruire les indices nécessaires à l'investigation.

Novice Ce qu'il faut faire

  • Déconnecter physiquement les postes et serveurs affichant un message de rançon (câbles réseau et Wi-Fi).
  • N'éteindre PAS les machines : cela efface des preuves utiles pour l'enquête.
  • Interdire l'accès au réseau à tous les employés le temps d'évaluer la situation.
  • Appeler immédiatement le prestataire IT ou l'infogérance.
  • Prendre en photo les messages de rançon affichés à l'écran.

Intermédiaire Ce qu'il faut regarder

  • Désactiver toutes les connexions Wi-Fi et débrancher les câbles Ethernet des postes/serveurs compromis.
  • Isoler immédiatement les sauvegardes (déconnecter NAS, arrêter la réplication cloud, couper l'accès aux bandes).
  • Désactiver les tâches automatiques (nettoyage temporaire, rotation logs) qui effaceraient des indices.
  • Bloquer les comptes administrateurs compromis ou suspectés (ne pas les supprimer encore).
  • Documenter heure de détection, nombre de machines touchées, utilisateurs connectés au moment T.

L'isolation réseau doit être technique et immédiate pour éviter le déploiement latéral via GPO, PSExec ou tâches planifiées. Les attaquants peuvent réagir en temps réel s'ils détectent une réponse : il faut couper leur accès avant qu'ils n'accélèrent le chiffrement ou ne détruisent les sauvegardes. La capture mémoire est critique pour récupérer les clés de chiffrement volatiles.

Isoler sans détruire
  • Isolation au niveau switch / VLAN sur les segments touchés (préservation RAM).
  • Suspendre les VM plutôt que les arrêter (préservation état mémoire).
  • Bloquer les sorties Internet suspectes (C2 potentiels) via firewall.
Capturer les preuves
  • Captures d'images mémoire (dump RAM) des serveurs critiques avant toute extinction.
  • Identifier les processus malveillants actifs (Process Explorer) et prendre des captures d'écran.
  • Vérifier les IOC connus (hash, extensions, ransom note).
Couper les accès
  • Suspendre les connexions VPN et accès distants (RDP, Citrix).
  • Identifier la variante (LockBit, Conti, BlackCat, Clop) via extensions et note de rançon.
  • Soumettre les échantillons à VirusTotal et ID Ransomware.

Sources : ANSSI · Attaques par rançongiciels · Cybermalveillance · Fiche réflexe · CISA · StopRansomware Guide

2Bloc parallèle · 4 actions en 15 minutesH+15 → H+30 (indicatif)

Quatre acteurs, quatre actions menées en même temps

Ce chapitre est différent des autres : dans la vraie vie, ces quatre actions ne se suivent pas, elles se déroulent en parallèle. Personne n'attend que la suivante commence. C'est ce qu'on appelle un bloc parallèle — et c'est ce qui distingue une équipe préparée d'une équipe en panique.

Le sprint des 15 minutes : confinement, audit, forensic, brief

À H+15, la détection est confirmée. À H+30, on doit avoir : réseau isolé, premier inventaire des serveurs touchés, forensic et cyber-assurance prévenus, brief SIMPA prêt pour le DG. Pas séquentiellement : en parallèle, par quatre acteurs distincts, qui se synchronisent à H+30 pour la remontée.

Tech IT 1
Confinement réseau

Isole les VLAN compromis, coupe les flux suspects au firewall, bloque les C2 connus. L'isolation produit le gel naturel des systèmes : ce n'est pas une action du forensic, c'est la conséquence du confinement. Les machines sont laissées allumées pour préserver la RAM.

Livrable H+30Réseau segmenté, propagation stoppée, machines préservées
Tech IT 2
Audit serveur par serveur

Passe en revue chaque serveur : chiffré ? sain ? suspect ? Note l'extension des fichiers, les heures de modification, les comptes ayant agi. Identifie le périmètre réel sans toucher aux données. Cas typique d'attention : les contrôleurs de domaine — voir le cas d'école AD au Ch. 3.

Livrable H+30Liste serveurs touchés, périmètre d'impact
RSSI / DSI
Appel forensic + cyber-assurance

Mobilise le prestataire forensic (sous contrat ou via l'assureur) — arrivée typique 60-90 min après l'appel. Déclare formellement à la cyber-assurance dans le délai contractuel (souvent 30 min à 24 h selon contrat). L'assureur valide les prestataires admis pour la prise en charge.

Livrable H+30Forensic en route, assurance prévenue
DSI
Brief SIMPA en temps réel

Pendant que les techs et le RSSI agissent, le DSI prépare la remontée au DG selon la méthode SIMPA (cadre Crise et Resilience). Pas d'envolée technique : un cadre net en cinq points, prêt pour un DG qui n'est pas IT. Le format SIMPA est détaillé au Ch. 3.

Livrable H+30Document de remontée structuré pour le DG
Synchronisation à H+30. Les quatre acteurs se retrouvent (téléphone, war room, canal sécurisé) pour consolider en une vision unique. C'est cette synthèse qui sert de base au brief que le DSI portera au DG juste après.

Détails techniques pour chacune des quatre voies. Le confinement doit s'appuyer sur la segmentation existante (zone rouge / orange / verte) et sur l'EDR pour l'isolation à distance. L'audit serveur s'appuie sur les logs EDR/SIEM et l'inventaire CMDB. L'appel forensic doit être documenté dans la main courante (heure, interlocuteur, ETA). Le brief SIMPA se prépare en notes structurées.

Confinement avancé
  • Suspension VM (préservation état mémoire) plutôt que shutdown.
  • Isolation EDR (containment à distance) sans casser la collecte logs.
  • Conservation des logs SIEM/EDR avant rotation.
  • Réinitialisation Kerberos des comptes de service compromis.
Audit + appels
  • Identification de la variante (LockBit, Conti, BlackCat, Clop) via extensions et note.
  • Soumission échantillons à VirusTotal et ID Ransomware.
  • Capture mémoire des serveurs critiques (dump RAM) avant tout shutdown.
  • Activation contrat forensic + ouverture sinistre cyber-assurance.
Brief SIMPA
  • Préparation du brief pendant l'action, pas après.
  • Capture d'écran ransom note + photos écrans pour preuve.
  • Premier estimé d'impact métier (production, paie, facturation).
  • Identification des comptes admin compromis suspectés.

Sources : CERT-FR · Mesures d'urgence ransomware · NIST SP 800-61 Rev. 2 · Méthode SIMPA · Crise et Resilience

3Brief DSI → DG · décision d'activationH+30 → H+45 (indicatif)

Le brief SIMPA : cadre du dialogue DSI ↔ DG

À H+30, le DSI doit pouvoir tenir un brief structuré devant le DG, en moins de 10 minutes, sans jargon. C'est sur la base de ce brief que le DG prend la décision d'activer la gestion de crise (CCD + CCOs). Pour rendre ce brief tenable et reproductible, Crise et Resilience utilise la méthode SIMPA.

SIMPA · le brief type que tout DSI doit savoir produire

SIMPA n'est pas un acronyme inventé pour faire bien : c'est l'ordre logique de ce qu'un dirigeant non-technique doit entendre. Services d'abord (parlez de ce qui marche encore), Impacts ensuite (ce que ça coûte), Mesures déjà prises (ce que vous maîtrisez), Parties prenantes touchées (qui voit la crise), Actions à venir (votre demande de mandat).

SServicesCe qui fonctionne encore vs ce qui est down. Liste claire : production OK, ERP down, messagerie down, téléphonie OK, badges OK. Le DG visualise immédiatement où l'entreprise tient et où elle ne tient plus.
IImpactsImmédiats puis secondaires. Immédiats : 200 personnes ne peuvent plus travailler, facturation arrêtée, ligne de production X stoppée. Secondaires : si la paie doit tomber demain, si un client critique attend une livraison, si un fournisseur ne peut plus être réglé.
MMesuresCe qui a déjà été fait, dans les 30 dernières minutes. Réseau isolé, comptes admin compromis désactivés, forensic appelé (ETA 60-90 min), assurance prévenue, sauvegardes mises à l'abri. Ça rassure et ça montre que la DSI ne demande pas un mandat à blanc.
PParties prenantesQui est impacté ou va l'être. Salariés, clients, fournisseurs, partenaires, autorités (CERT, police, assurance), médias potentiels. C'est ce que le DG doit avoir en tête pour décider qui communique à qui et quand.
AActionsCe que la DSI propose pour les 1, 2 et 4 h à venir. Activer la CCD et les CCOs, mobiliser le forensic à l'arrivée, préparer un mode dégradé sur les métiers prioritaires, geler la communication externe avant validation. Le DG arbitre.

Cas d'école · serveur AD attaqué (à intégrer dans la partie Services + Impacts)

Quand le brief SIMPA porte sur un AD compromis (DC01, contrôleur de domaine principal), le DSI doit pouvoir restituer ce qui suit en quelques phrases au DG :

Conséquences immédiates
  • Authentification cassée sur l'ensemble du domaine.
  • GPO non appliquées correctement.
  • Comptes admin du domaine potentiellement compromis.
Conséquences secondaires
  • Tous les serveurs membres en perte d'authentification.
  • RDP cassé pour les admins.
  • Partages SMB inaccessibles, applications métiers KO.
Points à vérifier en priorité
  • Compte krbtgt : a-t-il été dumpé ?
  • Membres de Domain Admins : ajouts récents ?
  • GPO modifiées dans les dernières 72 h.
  • Réplication AD entre DC : cohérente ?
  • Journaux Security (4624, 4672, 4720, 4728).
Au-delà du brief
  • L'AD est rarement un dégât collatéral : c'est souvent l'objectif.
  • Une compromission AD signifie reconstruction lourde post-crise.
  • Pas de restauration AD dans les 4 premières heures.

Pour aller plus loin sur l'audit et la résilience d'AD, consultez le Guide de résilience Active Directory de Crise et Resilience.

Novice Ce qu'il faut faire

  • Le DSI prend 5 minutes pour structurer le brief avant d'aller voir le DG.
  • Suivre l'ordre SIMPA : Services → Impacts → Mesures → Parties prenantes → Actions.
  • Pas de jargon technique. Parler en services et en impacts métier.
  • Demander explicitement le mandat d'activation : « Je propose d'activer la CCD et la CCOTI, validez-vous ? »
  • Repartir avec une décision écrite (oui / non / périmètre) tracée dans la main courante.

Intermédiaire Ce qu'il faut regarder

  • Préparer un format papier ou Word d'une page, structuré SIMPA, partageable.
  • Anticiper les questions du DG : « est-ce qu'on paye ? » (réponse : pas maintenant), « est-ce qu'on communique ? » (réponse : après validation CCD).
  • Identifier dès le brief les arbitrages que le DG seul peut trancher (mode dégradé, fermeture site, communication client).
  • Avoir un délai concret pour le prochain point : « je reviens dans 30 minutes avec la suite ».
  • Tracer toutes les décisions DG dans la main courante (heure, libellé, signataire).

SIMPA s'appuie sur la même logique qu'une déclaration de sinistre formelle : factuel, structuré, daté, signé. La discipline du format évite les erreurs classiques : noyer le DG sous la technique, omettre l'impact métier, ou demander un mandat sans dire ce qu'on en fera. Documenter en sortie de brief la décision DG est aussi important que le brief lui-même.

Discipline du brief
  • Format limité à une page ou 10 minutes oral.
  • Aucun acronyme sans le développer la première fois.
  • Toujours finir par une demande explicite et un délai.
Sortie du brief
  • Décision DG tracée par écrit (mail, main courante signée).
  • Mandat clair : périmètre de la CCD, CCOs activées, budget engagé.
  • Prochaine échéance fixée (ex : point H+1h).
Réutilisation
  • Le format SIMPA est réutilisé à chaque point de cellule.
  • Permet aux remplaçants de prendre le relais sans perte d'info.
  • Devient le squelette du retour d'expérience post-crise.

Sources : Méthode SIMPA · Crise et Resilience · ANSSI · Gestion de crise cyber · ISO 22301 · Continuité d'activité

4Activation CCD + N CCOsH+45 → H+1h (indicatif)

Une cellule décisionnelle, autant de cellules opérationnelles que nécessaire

Une fois la décision d'activation prise par le DG, on monte la CCD (une seule, stratégique) et on déclenche autant de CCOs que l'ampleur le justifie. En cyber, la CCOTI (TI) est toujours présente. Selon la taille du dossier, on ajoute CCO-RH, CCO-Finances, CCO-Ressources matérielles. Le DSI fait le pont entre CCD et CCOTI.

Vocabulaire CCD / CCOs · qui fait quoi, à quel rythme

Distinction fondamentale : la CCD décide, les CCOs exécutent. Ce vocabulaire est connu sur le marché mais surtout structurant chez Crise et Resilience. Sans cette séparation, on confond stratégie et exécution : la cellule s'enlise, les techs sont interrompus toutes les 10 minutes, le DG arbitre des détails techniques. Avec cette séparation, chacun reste à son niveau.

CCD 1 seule

Cellule de Crise Décisionnelle. Niveau DG, stratégique. Elle décide, elle ne fait pas.

  • Membres : DG, juridique, communication, RH, finance, métiers principaux.
  • Rythme : point toutes les 30 minutes en phase aiguë, puis toutes les heures.
  • Livrable : décisions stratégiques tracées par écrit (main courante).
  • Sujets : communication interne et externe, mode dégradé, négociation, paiement, mandats donnés aux CCOs.
  • Ne traite pas : détails techniques (laisse ça à la CCOTI).

CCOs autant que nécessaire

Cellules de Crise Opérationnelles. Niveau métier, opérationnel. Elles exécutent les mandats de la CCD.

  • CCOTI (Technologies de l'Information) : toujours présente en cyber. Membres : DSI, RSSI, forensic, SOC, infra. Rythme : technique en continu. Livrable : exécution opérationnelle, forensic, reconstruction.
  • CCO-RH : si arrêt d'activité, télétravail forcé, gestion du stress des équipes.
  • CCO-Finances : si paie, trésorerie, paiement rançon ou prestataires d'urgence en jeu.
  • CCO-Ressources matérielles : si bascule en mode papier, achats d'urgence, hébergement alternatif.
Le DSI fait le pont entre CCD et CCOTI. Il participe aux deux. À la CCD, il traduit la situation technique en termes business. À la CCOTI, il porte les arbitrages business pour orienter l'effort technique. C'est le rôle le plus exigeant du dispositif : tenir les deux niveaux sans perdre la cohérence.

Novice Ce qu'il faut faire

  • Réunir physiquement (ou en visio) la CCD : DG, juridique, com, RH, finance, métiers clés.
  • Ouvrir une main courante partagée (Teams, Google Doc, papier — pas la messagerie corporate si compromise).
  • Désigner explicitement la CCOTI avec un pilote (souvent le RSSI ou le DSI).
  • Fixer le prochain point CCD à 30 minutes maximum.
  • Communiquer aux équipes qu'une cellule est activée, sans détails sensibles.

Intermédiaire Ce qu'il faut regarder

  • Choisir si on active CCO-RH, CCO-Finances, CCO-Ressources : critère = besoin de coordination dédiée.
  • Mettre en place un canal alternatif (Signal, téléphone, salle physique) si la messagerie corporate peut être lue par les attaquants.
  • Ouvrir le contrat cyber-assurance et identifier le délai contractuel d'information (souvent 30 min à 24 h).
  • Activer le pilote CCOTI : rôle d'orchestration des techs, du forensic à l'arrivée, du SOC.
  • Préparer la salle de crise dédiée (whiteboard, paperboard, écrans, prises électriques).

Activation structurée d'une cellule de crise multi-niveaux. La CCD doit fonctionner comme un comité de direction de crise : ordre du jour court, décisions tracées, mandats clairs aux CCOs. Les CCOs fonctionnent comme des équipes projet d'urgence : un pilote, un périmètre, un livrable, un délai. Le pont DSI ↔ CCD ↔ CCOTI est ce qui empêche la dilution.

Gouvernance CCD
  • Ordre du jour SIMPA à chaque point.
  • Décisions tracées (heure, mandataire, contenu, échéance).
  • Porte-parole technique (DSI) et porte-parole métier (DG ou DirCom).
Pilotage CCOTI
  • Tableau de bord opérationnel (machines isolées, en cours d'audit, validées).
  • Synchronisation forensic ↔ équipe interne.
  • Alimentation continue de la main courante CCD via le DSI.
Continuité gouvernance
  • Suppléants désignés pour chaque rôle critique (fatigue, indisponibilité).
  • Relève planifiée (cycles de 8 h max sur la phase aiguë).
  • Anticipation du retour à la normale (sortie de cellule, RETEX).

Sources : Vocabulaire CCD / CCO · Crise et Resilience · ANSSI · Gestion de crise cyber · ISO 22301

5Arrivée forensic + début enquêteH+1h → H+1h30 (indicatif)

Le forensic devient le pilote technique. On ne touche plus à rien sans lui.

Le forensic appelé à H+15-30 arrive sur place vers H+1h à H+1h30 (sans contrat préalable, c'est plus long). À partir de cet instant, il pilote tout ce qui touche aux systèmes : pas de redémarrage, pas de restauration, pas de manipulation sans son aval. Il y a une crise judiciaire qui démarre derrière la crise technique.

Le forensic prend le pilotage technique · la CCOTI exécute

L'erreur classique : continuer à « essayer des choses » en parallèle de l'arrivée du forensic. Résultat : preuves détruites, comptes réinitialisés trop tôt, sauvegardes touchées. À partir de H+1h30, la règle est simple : tout passe par le forensic. Lui pilote, la CCOTI exécute, le DSI remonte à la CCD. Et surtout : pas de restauration dans les 4 premières heures.

Pas de restauration dans les 4 premières heures. On est sous forensic, on préserve. La restauration, c'est une bataille séparée qui démarre seulement quand le forensic a livré son périmètre et ses recommandations. Tenter de restaurer trop tôt, c'est risquer de réinfecter et de relancer le compteur à H+0.

Novice Ce qu'il faut faire

  • Accueillir le forensic et lui donner accès aux installations (badges, salle serveur, war room).
  • Présenter en 5 minutes ce qui a été fait depuis H+0 (basé sur la main courante).
  • Ne plus rien tenter sans son aval : pas de redémarrage, pas de réinitialisation, pas de restauration.
  • Continuer à isoler les nouveaux postes suspects sans les éteindre.
  • Le mot d'ordre : on préserve, on n'agit plus seul.

Intermédiaire Ce qu'il faut regarder

  • Remettre au forensic : main courante horodatée, screenshots ransom note, liste serveurs touchés, captures EDR.
  • Établir le périmètre forensic : machines à imager, comptes à analyser, fenêtre temporelle d'investigation.
  • Identifier le patient zéro : premier poste/serveur touché, vecteur initial (mail, RDP, VPN, supply chain).
  • Cartographier le mouvement latéral : connexions RDP/SMB anormales, PSExec, GPO malveillantes, escalades de privilèges.
  • Vérifier l'intégrité des sauvegardes offline (montage isolé sous contrôle forensic).

L'évaluation forensique initiale doit identifier le vecteur d'infection, la timeline d'intrusion (souvent 2-3 mois en amont), et l'ampleur réelle de la compromission. On cherche non seulement le ransomware, mais aussi les backdoors, les comptes compromis et les mécanismes de persistance. La chaîne de preuve doit être admissible en justice.

Patient zéro · timeline
  • Analyse logs EDR/SIEM : premier poste, heure, processus parent.
  • Identification des comptes admin compromis (heures inhabituelles, machines).
  • Recherche d'IOC et de mécanismes de persistance.
Mouvement latéral
  • Tracer les connexions RDP/SMB anormales, PSExec, GPO malveillantes.
  • Vérifier compromission AD (DC à isoler si nécessaire — voir Ch. 3).
  • Analyse des relations de confiance et trusts inter-domaines.
Preuves + chaîne
  • Imagerie disque + dump RAM des machines critiques.
  • Collecte event logs Security/System, prefetch, MFT, registre.
  • Recherche d'exfiltration via logs proxy/firewall (uploads massifs, IPs étrangères).
  • Documentation horodatée pour admissibilité judiciaire.

Sources : MITRE ATT&CK · CISA · Incident Response · NIST SP 800-61 Rev. 2

6Continuité business sur systèmes parallèlesdès H+1h, en continu

Faire tourner l'entreprise pendant que le SI est gelé

La crise technique ne suspend pas l'activité : les clients attendent, les patients arrivent, les caisses doivent tourner, les cours doivent avoir lieu. La CCD pilote la continuité pendant que la CCOTI gère la reconstruction. Cinq secteurs, cinq logiques de mode dégradé.

Cinq secteurs · cinq modes dégradés à connaître

Le mode dégradé n'est pas « on ne fait rien » : c'est « on fait autrement ». Chaque secteur a ses recettes éprouvées, validées par des cas réels. La capacité à basculer en mode dégradé en moins de 2 h est ce qui distingue une entreprise préparée d'une entreprise qui s'arrête.

Commerce · retail

Caisse en mode offline (ou bloc-notes), terminal CB de secours fourni par la banque, ardoises papier pour la traçabilité, gestion des stocks en manuel sur fiches. Pour les enseignes : prévoir le terminal de secours avant la crise.

Modes éprouvés sur attaques retail 2020-2023

Santé · hôpital

Dossier patient papier, ordonnances manuscrites, prescription orale (avec double validation), transfert d'urgence sur établissements voisins si plateau technique critique en panne. Cas d'école : CHU de Dax · bascule papier en 2 h, soins assurés.

CHU de Dax · 2021 · annexe C

Industrie · manufacture

OT (machines, automates) isolé du IT par segmentation préalable — c'est la condition pour continuer. Fiches de production papier, gestion qualité manuelle, contrôle visuel renforcé. Reste : la traçabilité reprendra à la remise en route du SI.

Norsk Hydro · 2019 · annexe C

Services · cabinet conseil

SaaS non touché (Office 365, Salesforce, Notion, Google Workspace) si l'attaque est on-premise. Mobiles personnels pour la communication. Télétravail forcé sur les outils non corporate. Le différentiel SaaS / on-premise sauve la mise.

Pratique courante PME tertiaire

Éducation

École ou CEGEP au QC, lycée ou université en FR. Cours en présentiel sans système (tableau, polycopiés, oral), gestion des notes papier, communication WhatsApp/SMS pour les parents et les étudiants. Cas d'école : Université de Maastricht · annexe C.

Maastricht · 2019 · annexe C

Novice Ce qu'il faut faire

  • Identifier dès H+1h les processus métier critiques (ce qui doit absolument continuer).
  • Activer les modes papier pré-existants (s'ils existent). Sinon, improviser avec discipline.
  • Prévenir les clients/patients/élèves : « mode dégradé en cours, voici ce qu'on peut faire ».
  • Tracer manuellement tout ce qui se passe, pour ressaisir au retour du SI.
  • Préserver le moral des équipes : c'est dur, c'est temporaire, on tient.

Intermédiaire Ce qu'il faut regarder

  • Distinguer ce qui peut continuer (SaaS sain, OT isolé, papier) de ce qui s'arrête réellement.
  • Mobiliser la CCO-RH pour le télétravail, les rotations, le soutien aux équipes.
  • Mobiliser la CCO-Finances pour les paiements d'urgence et les fournisseurs.
  • Préparer la ressaisie post-crise : format de fiches, double-saisie, contrôle qualité.
  • Communiquer aux clients et partenaires sur la continuité partielle (validé CCD — voir Ch. 7).

La continuité d'activité en mode dégradé est un exercice de PCA (Plan de Continuité d'Activité) qui se prépare avant la crise. Les BIA (Bilan d'Impact sur l'Activité) doivent avoir identifié les processus critiques et leur RTO/RPO. En crise, on ne fait qu'activer ce qui a été préparé. Sans BIA, on improvise et on perd du temps.

Préparation amont
  • BIA à jour (criticité processus, RTO/RPO).
  • Procédures de mode dégradé documentées et testées.
  • Stocks de fournitures papier (formulaires, registres).
Pilotage en crise
  • CCO-Métier dédiée si l'ampleur le justifie.
  • Indicateurs simples : % activité maintenue, files d'attente, retards.
  • Coordination avec la CCO-RH (équipes en place, rotations).
Sortie de mode dégradé
  • Plan de ressaisie (qui, quoi, contrôle qualité).
  • Vérification d'absence d'incohérences avant retour.
  • Capitalisation pour le RETEX.

Sources : ISO 22301 · Continuité d'activité · ANSSI · PCA · cas Norsk Hydro, CHU Dax, Maastricht (annexe C)

7Communication interne et externeH+1h30 → H+3h (indicatif)

La communication ne part qu'après validation par la CCD

Aucun message ne sort spontanément : tout passe par la CCD. La séquence est claire — la CCD se réunit, décide du message, des canaux et du timing, ensuite la communication diffuse. Trop de communication crée de la panique, pas assez crée de la méfiance, mais une communication non validée détruit la confiance.

Séquence : CCD décide → communication diffuse

Avant ce chapitre, le réflexe naturel est d'envoyer un mail ou un communiqué. C'est l'erreur. Le bon réflexe : rien ne sort tant que la CCD n'a pas tranché message + canaux + timing. Le porte-parole interne et le porte-parole externe sont désignés par la CCD, pas auto-déclarés. Et la messagerie corporate peut être lue par les attaquants — utiliser un canal alternatif.

Règle de séquence : CCD se réunit → CCD décide message + canaux + timing → ensuite la communication diffuse. Pas avant, jamais.

Novice Ce qu'il faut faire

  • Aucune communication externe sans validation CCD : ni mail, ni post, ni appel client spontané.
  • Informer les employés par SMS/téléphone (pas email) : « incident IT majeur, ne vous reconnectez pas, info dans Xh ».
  • Préparer une FAQ très courte pour le standard, le service client, la conciergerie.
  • Désigner explicitement le porte-parole interne et le porte-parole externe (souvent DG ou DirCom).
  • Rassurer sans dramatiser ni minimiser : « on a un incident, on est mobilisés, on tient au courant ».

Intermédiaire Ce qu'il faut regarder

  • Préparer trois messages prêts à diffuser dès validation CCD : salariés, clients critiques, partenaires.
  • Utiliser un canal alternatif (Signal, SMS, téléphone) si la messagerie corporate peut être lue par les attaquants.
  • Anticiper la fuite publique (leak site, presse, réseaux sociaux) — préparer le message si ça sort.
  • Coordination avec le juridique pour qualifier les obligations : CAI (Loi 25 QC), CNIL (RGPD FR), ces obligations sont à 72 h.
  • Désigner une CCO-Communication ou un sous-groupe dédié si l'ampleur le justifie.

Communication stratégique alignée juridique, assurance et autorités. Cas réels (Norsk Hydro 2019) montrent que la transparence préserve la réputation, alors que le silence ou la minimisation l'aggrave. Les notifications réglementaires (RGPD 72 h, Loi 25, sectoriel) sont à anticiper dès que l'exfiltration est suspectée.

Alignement juridique
  • Qualification de l'obligation de notification (RGPD, Loi 25, sectoriel).
  • Préparation déclaration CAI ou CNIL si exfiltration.
  • Documentation de la chaîne de décision communication.
Anticipation de la fuite
  • Surveillance des leak sites, forums, réseaux sociaux.
  • Messages clients prêts à diffuser si fuite publique.
  • Coordination avec l'assurance pour la prise en charge frais com.
Discipline opérationnelle
  • Mises à jour régulières (toutes les 2 h) par canal alternatif.
  • Brief continu de la direction pour cohérence externe.
  • « War room communication » séparée de la cellule IT si l'ampleur le justifie.

Sources : ANSSI · Communication de crise · ENISA · Crisis communication · cas Norsk Hydro 2019 (annexe C)

8Coordination externe · CERT, assurance, policeH+3h → H+4 (indicatif)

Activer la chaîne externe sous pilotage forensic

Avant H+4, les acteurs externes obligatoires doivent être engagés : cyber-assurance (déclaration formelle, validation des prestataires, couverture), CERT national (signalement, IOCs partagés), police (dépôt de plainte, nécessaire pour assurance et enquête). Le forensic, déjà sur place depuis H+1h30, pilote tout ce qui touche aux systèmes.

Forensic pilote · CERT, assurance, police suivent la chaîne

Personne ne gère seul un ransomware. La coordination externe mobilise un écosystème, mais elle se structure autour du forensic qui est devenu le pilote technique au Ch. 5. Tout passe par lui pour les actes techniques. La CCD pilote les engagements business (déclarations, plainte, assurance) avec le juridique.

Novice Ce qu'il faut faire

  • Confirmer que la cyber-assurance a bien été contactée (déjà fait au Ch. 2 normalement).
  • Déposer plainte auprès de la police : nécessaire pour l'assurance ET pour l'enquête.
  • Suivre les instructions de l'assureur sur le choix du prestataire forensic et la couverture.
  • NE PAS contacter les attaquants directement (ni paiement, ni négociation sans intermédiaire spécialisé).
  • Centraliser tous les contacts externes dans la main courante (heure, nom, contenu).

Intermédiaire Ce qu'il faut regarder

  • Déclarer formellement au CERT national : CERT-FR (France) ou Centre canadien pour la cybersécurité.
  • Partager les IOC avec le CERT (hashes, IPs, domaines, extensions, ransom note).
  • Activer le prestataire forensic agréé par l'assurance (déjà sur place ou en route).
  • Préparer le dossier de plainte : photos, logs, IOCs, main courante, identification de la variante.
  • Vérifier les obligations légales sectorielles (santé, finance, critique) en plus de RGPD/Loi 25.

Coordination avancée multi-prestataires sous pilotage forensic. Partage d'IOCs avec le CERT (activation threat intelligence sectorielle), préparation de la chaîne de preuve admissible en justice, anticipation des demandes judiciaires. La coordination assurance-juridique-forensic est ce qui détermine la couverture finale.

CERT · partage IOC
  • Partage IPs, hashes, noms de fichiers, extensions, ransom note.
  • Activation threat intelligence (variante, groupe attribué, TTP).
  • Coordination avec d'autres victimes via les CERT sectoriels.
Assurance · forensic · juridique
  • Validation des prestataires admis pour la prise en charge.
  • Couverture frais (forensic, restauration, notifications, communication).
  • Conditions du paiement de rançon (rare, encadré, jamais sans validation).
Police · obligations
  • Dépôt de plainte avec preuves admissibles en justice.
  • Anticipation des demandes judiciaires (saisie, expertise).
  • Notification CNIL/CAI sous 72 h si données personnelles exfiltrées.
  • Documentation conformité aux exigences sectorielles.

Sources : CERT-FR · Centre canadien pour la cybersécurité · CISA · Reporting · Norsk Hydro, Colonial Pipeline (annexe C)

AAnnexes opérationnelles

Outils prêts à l'emploi pour la cellule de crise

Six annexes à imprimer ou à garder accessibles hors ligne : checklist minute par minute, scripts de dialogue, cas réels documentés, top 5 des erreurs, ressources institutionnelles, glossaire.

A — Checklist minute par minute (H+0 à H+4)

21 actions séquencées avec responsable et décision interdite. À imprimer et à coller au mur de la salle de crise.

TempsActionResponsableDécision INTERDITE
H+0 à H+5Déconnexion physique des machines touchées (câbles réseau, Wi-Fi).IT / Utilisateur sur siteN'éteignez PAS les machines.
H+5 à H+10Appel prestataire IT/infogérance + capture photo des messages de rançon.Responsable ITNe tentez PAS de « nettoyer » avec antivirus.
H+10 à H+15Isolation des sauvegardes (déconnexion NAS, arrêt réplication cloud).Admin ITNe touchez PAS aux sauvegardes sans validation.
H+15 à H+20Réunion cellule de crise (DG, DSI, Juridique, Com).Direction GénéraleNe communiquez PAS publiquement avant stratégie.
H+20 à H+25Appel cyber-assurance + ouverture du registre d'événements.Juridique / DSINe payez PAS la rançon sans décision collégiale.
H+25 à H+30Contact CERT national + dépôt de plainte initié.DSI / JuridiqueNe négociez PAS directement avec les attaquants.
H+30 à H+45Cartographie des systèmes : touchés / sains / critiques.Équipe ITNe reconnectez PAS les machines isolées pour « vérifier ».
H+45 à H+60Test d'intégrité des sauvegardes offline (montage isolé).Admin systèmesNe restaurez PAS sans environnement isolé.
H+60 à H+75Identification de la variante ransomware (ID Ransomware, extension).RSSI / CERT externeNe téléchargez PAS d'outils suspects depuis le web.
H+75 à H+90Message interne employés (SMS/téléphone) : ne pas se connecter.Communication / RHN'utilisez PAS la messagerie corporate si compromise.
H+90 à H+105Message externe clients critiques : incident en cours, point dans Xh.Direction / CommunicationNe minimisez PAS l'incident (« petit bug IT »).
H+105 à H+120Analyse des logs : patient zéro, propagation, exfiltration.SOC / CERT externeNe supprimez PAS les logs « pour faire de la place ».
H+120 à H+150Segmentation réseau : zones rouge / orange / verte.Équipe infrastructureNe rouvrez PAS l'accès VPN/RDP sans containment complet.
H+150 à H+180Décision payer/restaurer basée sur sauvegardes + délai + criticité.Cellule de criseNe payez PAS sans consulter autorités et assureur.
H+180 à H+210Priorisation de la restauration : systèmes critiques en tête.DSI + MétierNe restaurez PAS « dans l'ordre alphabétique ».
H+210 à H+240Préparation environnement isolé + reset des mots de passe admin.Équipe ITNe réutilisez PAS les anciens mots de passe admin.
H+240Consolidation de la stratégie de reconstruction.Cellule de criseNe relancez PAS le réseau sans EDR.

B — Scripts de dialogue

Cinq messages prêts à dégainer pour les acteurs clés. À adapter au contexte mais à garder simples et fermes.

Au prestataire infogérance · H+5

« Nous avons un incident ransomware en cours depuis [heure]. [X] machines affichent un message de rançon. J'ai déconnecté physiquement les postes touchés et isolé les sauvegardes. J'ai besoin de vous sur site ou en remote dans les 30 minutes pour containment et forensics. Amenez vos outils forensiques et contactez votre CERT partenaire si vous en avez un. »

Au directeur « on paye ? » · H+30

« Payer n'est pas une décision technique, c'est une décision d'entreprise que nous prendrons ensemble dans l'heure qui vient. Avant cela, je dois savoir si nos sauvegardes permettent de restaurer. 30 % des entreprises qui paient ne récupèrent pas leurs données. Si nous payons, nous finançons le crime organisé sans aucune garantie. Donnez-moi 60 minutes pour évaluer nos options de restauration. »

Aux salariés · H+60

« Nous subissons une cyberattaque de type ransomware. Vos données ne sont pas perdues, nous travaillons à les restaurer. Ne tentez pas de vous reconnecter au réseau d'entreprise jusqu'à nouvel ordre. Utilisez vos téléphones personnels pour les communications urgentes. Nous vous tiendrons informés toutes les 2 heures par SMS. Prochaine mise à jour à [heure]. »

À la cyber-assurance · H+20

« Je vous contacte pour déclaration d'incident ransomware détecté à [heure] aujourd'hui. Périmètre : [X] postes et [Y] serveurs touchés. Actions prises : isolation des systèmes, cellule de crise activée, plainte en cours. Avons-nous couverture pour forensics externe, restauration et éventuel paiement de rançon ? Quel est votre prestataire incident response préféré ? Validation urgente requise pour mobiliser les ressources externes. »

Au CERT / police · H+30

« Je signale une attaque ransomware en cours sur notre SI depuis environ [heure]. Le message de rançon mentionne [montant/délai]. Nous avons préservé les preuves (photos, machines non éteintes, logs). Avons-nous un contact dédié pour la suite de l'enquête ? Pouvez-vous nous orienter vers les ressources techniques (décrypteurs, IOCs connus pour cette variante) ? »

C — Cas réels documentés

Quatre attaques majeures, chronologie heure par heure, leçon retenue. Ce qui a marché, ce qui a coûté.

Norsk Hydro · Mars 2019 · LockerGoga

Norvège22 000 postes touchés
  • 18 mars, 22h45 : activité inhabituelle détectée sur le réseau.
  • 19 mars, 7h22 : déploiement massif, chiffrement à grande échelle.
  • 19 mars, 8h30 : message de rançon sur 22 000 postes et 3 000 serveurs.
  • 19 mars, 9h00 : shutdown manuel total, aucun paiement, transparence totale.
  • 19 mars, 10h00 : débranchement physique sur 170 sites.

Leçon retenue : refus de payer, communication publique en continu, restauration manuelle sur 3 semaines. Coût total : 45 M£. La transparence a préservé la réputation. Les attaquants étaient présents depuis 3 mois.

Colonial Pipeline · Mai 2021 · DarkSide

USAPipeline 8 850 km
  • 7 mai, avant 5h00 : découverte de la note de rançon sur le réseau IT.
  • 7 mai, 5h55 : décision immédiate de shutdown total du pipeline.
  • 7 mai, 6h00 : fermeture complète (isolation IT/OT par précaution).
  • 7 mai, ~12h00 : paiement de 75 bitcoins (4,4 M USD).
  • 7-12 mai : restauration depuis sauvegardes (décrypteur trop lent).

Leçon retenue : paiement rapide sous pression continuité nationale, mais l'outil reçu était inutilisable. 100 Go exfiltrés en 2 h avant chiffrement. Payer n'a pas accéléré la reprise.

CHU de Dax · Février 2021 · Egregor

FranceMode papier en 2h
  • H+0 : attaque massive détectée, écrans bloqués.
  • H+1 : équipes techniques débranchent l'ensemble du SI.
  • H+2 : bascule du personnel en « mode papier ».
  • H+4 à H+24 : continuité des soins assurée malgré le chaos technique.
  • Semaines suivantes : reconstruction complète du SI hospitalier.

Leçon retenue : le respect strict de la procédure d'isolation a limité la casse. Le mode dégradé doit être prêt à l'emploi : papier, stylos, procédures hors-système.

Université de Maastricht · Déc 2019 · Clop

Pays-BasPaiement 200 k€
  • 23 déc : attaque massive juste avant les fêtes.
  • H+0 à H+4 : shutdown du SI, sauvegardes en partie chiffrées.
  • H+24 : décision de payer faute de sauvegardes saines exploitables.
  • 30 déc : paiement de 30 bitcoins (200 k€).
  • Janvier : restauration progressive avec clé reçue.

Leçon retenue : sauvegardes offline non testées = paiement obligé. La règle 3-2-1-1-0 doit être validée par un test annuel de restauration.

D — Top 5 des erreurs

Les cinq pièges classiques observés sur tous les cas. À afficher dans la salle de crise.

1 · Éteindre les machines infectées immédiatement

Le réflexe naturel de « tout éteindre » efface les preuves en mémoire RAM nécessaires pour la forensique (processus actifs, connexions réseau, clés de chiffrement potentielles).

Impact : impossibilité d'identifier le vecteur initial. Investigation rallongée de plusieurs jours.

2 · Tenter de restaurer sans environnement isolé

Restauration directe sur le réseau de production avant éradication complète : réinfection immédiate car backdoors ou comptes compromis toujours actifs.

Impact : perte des sauvegardes (re-chiffrées) et redémarrage du cycle crise à H+0.

3 · Payer la rançon trop vite sans évaluer les alternatives

Colonial Pipeline a payé en moins de 24h sous panique, mais l'outil reçu était inutilisable. Norsk Hydro a refusé et restauré manuellement avec succès.

Impact : financement de la cybercriminalité, aucune garantie de récupération (30 % d'échec), exposition à la double extorsion.

4 · Négliger l'isolation des sauvegardes

Sauvegardes connectées en permanence au réseau (NAS, cloud synchronisé) chiffrées en même temps que la production.

Impact : perte totale de la capacité de restauration. Obligation de paiement ou reconstruction from scratch (semaines/mois).

5 · Retarder la communication aux autorités et à l'assureur

Attendre « d'avoir toutes les infos » avant de contacter CERT, police ou assureur. Délais contractuels (24-48h) expirés, obligation légale RGPD/Loi 25 (72h) dépassée.

Impact : refus de couverture assurance, amendes réglementaires, perte du support technique CERT national.

E — Ressources institutionnelles

Les bons interlocuteurs par juridiction. À avoir hors ligne sur la fiche d'urgence.

France
Québec / Canada
  • CCCcyber.gc.ca — Centre canadien pour la cybersécurité.
  • Incidentcyber@cyber.gc.ca · 1-833-CYBER-88.
  • Pensez Cyberpensezcybersecurite.gc.ca — Ressources PME.
  • Loi 25Notification CAI sous 72h si renseignements personnels touchés.
International

F — Glossaire des termes clés

Les termes incontournables d'une crise ransomware, dont le vocabulaire signature de Crise et Resilience (SIMPA, CCD, CCO, CCOTI). Référence rapide pour la cellule.

AD · Active Directory

Annuaire d'identités Microsoft qui gère les comptes utilisateurs, les ordinateurs et les droits dans un réseau d'entreprise.

VLAN · Virtual LAN

Réseau virtuel qui segmente logiquement un réseau physique pour isoler des groupes de machines entre eux.

VPN · Virtual Private Network

Tunnel chiffré qui connecte un poste distant au réseau d'entreprise comme s'il était physiquement à l'intérieur.

RDP · Remote Desktop Protocol

Protocole Microsoft pour prendre le contrôle d'un poste à distance. Cible privilégiée des ransomwares.

EDR · Endpoint Detection and Response

Outil de surveillance avancée des postes et serveurs qui détecte les comportements suspects et permet l'isolation à distance.

SIEM · Security Information and Event Management

Plateforme de centralisation et corrélation des journaux de sécurité issus de tout le SI.

IOC · Indicator of Compromise

Indicateur technique d'une compromission : hash de fichier malveillant, adresse IP, nom de domaine, extension.

C2 · Command and Control

Serveur distant utilisé par les attaquants pour piloter leurs implants. Couper le C2 isole les attaquants de leurs outils.

GPO · Group Policy Object

Stratégie de groupe Active Directory qui applique des configurations à des postes ou utilisateurs. Détournée pour déployer le ransomware.

VirusTotal

Service public d'analyse multi-antivirus de fichiers, URL ou hash. Utile pour identifier rapidement un binaire suspect.

Dump RAM · Dump mémoire vive

Capture intégrale du contenu de la mémoire vive d'une machine. Permet l'analyse forensique des processus actifs.

CAI · Commission d'accès à l'information

Autorité québécoise chargée du respect de la Loi 25 sur la protection des renseignements personnels. Équivalent de la CNIL française.

CCD · Cellule de Crise Décisionnelle

Cellule unique de niveau DG, stratégique. Décide communication, mode dégradé, mandats. Crise et Resilience.

CCO · Cellule de Crise Opérationnelle

Cellule métier qui exécute les mandats de la CCD. Autant de CCOs que nécessaire (TI, RH, Finances, Ressources matérielles).

CCOTI · CCO Technologies de l'Information

Toujours présente en cyber. Pilote forensic, opérationnel, reconstruction. Membres : DSI, RSSI, forensic, SOC, infra.

SIMPA · Méthode de brief

Cadre Crise et Resilience : Services / Impacts / Mesures / Parties prenantes / Actions. Brief tenable du DSI au DG en 10 min.

Forensic · investigation numérique

Équipe d'enquête légale qui pilote l'analyse des systèmes après l'attaque. À partir de son arrivée, on ne touche plus à rien sans son aval.

SOC · Security Operations Center

Centre opérationnel de sécurité, surveillance 24/7 des événements, détection des incidents, réponse de premier niveau.

Mode dégradé

Fonctionnement réduit sur systèmes alternatifs (papier, SaaS sain, mobile, OT isolé) pendant que le SI principal est gelé.

NAS · Network Attached Storage

Boîtier de stockage connecté au réseau d'entreprise. Cible classique du ransomware qui chiffre les sauvegardes en même temps que la production.