Limiter la propagation
Déconnectez les équipements manifestement touchés du réseau sans les éteindre systématiquement, afin de préserver des éléments utiles. N'utilisez pas les comptes potentiellement compromis pour coordonner la réponse.
Activer les bons contacts
Prévenez le responsable désigné, le prestataire de réponse, l'assureur cyber s'il existe et les autorités adaptées. Le CERT-FR publie ses canaux, tandis que Cybermalveillance.gouv.fr fournit des ressources pour les entreprises.
Ne pas restaurer trop tôt
Avant une restauration, il faut comprendre le point d'entrée, vérifier les sauvegardes et changer les secrets concernés depuis un environnement sûr. Une remise en ligne précipitée peut réintroduire l'attaquant.
Préserver les options techniques, juridiques et assurantielles
L'isolement des systèmes touchés vise à limiter la propagation sans effacer les traces. Il faut éviter les redémarrages ou réinstallations improvisés, noter les heures et décisions, conserver les messages de rançon et centraliser les communications. Les sauvegardes doivent être protégées avant toute tentative de restauration. Les contacts de l'infogérant, de l'assureur, du conseil juridique et des autorités doivent être accessibles hors du système compromis.
La reprise ne consiste pas à remettre rapidement les mêmes machines en ligne. Elle demande de comprendre le point d'entrée, de réinitialiser les accès exposés, de corriger la faiblesse et de restaurer depuis une source jugée saine. Les obligations de notification, notamment en matière de données personnelles, s'apprécient selon les faits et les délais applicables ; elles doivent être traitées avec les conseils compétents.