Première heure d'un incident ransomware : le bon réflexe.

Vendredi 16 h 47. Un employé du service comptable appelle l'admin IT : "Je ne peux plus ouvrir aucun fichier, tout finit par .lockbit." En réalité, l'attaquant est dans le réseau depuis 11 jours. Le chiffrement a commencé il y a 23 minutes. Vous venez d'entrer dans la fenêtre la plus critique de votre vie professionnelle : les 60 premières minutes.

Ce que vous faites dans cette heure déterminera l'ampleur des dégâts, votre capacité à récupérer vos données sans payer, votre exposition juridique vis-à-vis de la CAI, et votre survie en tant qu'entreprise. Voici la procédure que nous appliquons chez CyberKortex et que tout dirigeant devrait connaître par cœur.

Minute 0-5 : confirmer et isoler

Avant de tout déclencher, vérifiez que c'est bien un ransomware (et pas un disque défectueux ou une mauvaise manipulation).

Signes caractéristiques :

• Extensions inhabituelles sur les fichiers (.lockbit, .akira, .encrypted, .qlocker)
• Fichier README.txt ou HOW_TO_RECOVER.html dans chaque dossier
• Impossibilité d'ouvrir des fichiers Office ou des bases de données
• Service IT signalé par plusieurs utilisateurs simultanément

Action immédiate : isolez physiquement les machines touchées du réseau. Débranchez le câble Ethernet et désactivez le wifi. N'utilisez surtout PAS la commande shutdown.

Minute 5-10 : alerter la chaîne de commandement

Trois appels téléphoniques dans l'ordre (utilisez votre téléphone personnel, pas le téléphone IP de l'entreprise s'il existe une chance qu'il soit aussi compromis) :

1. Votre prestataire DFIR (Digital Forensics & Incident Response) — chez CyberKortex c'est le +1 (438) 227-2644
2. Le dirigeant de l'entreprise ou son délégué pour décisions critiques
3. Le responsable de la protection des renseignements personnels (DPO ou équivalent) pour évaluer l'obligation de notification CAI

Si vous avez une assurance cyber, appelez aussi l'assureur immédiatement. La plupart des polices imposent une notification dans les 24 à 48 heures sous peine de déchéance de garantie.

Minute 10-20 : couper la propagation

Pendant que vous attendez votre équipe DFIR, contenez activement la propagation :

• Désactiver les comptes administrateurs Active Directory potentiellement compromis (changez les mots de passe de tous les comptes admin depuis une machine SAINE)
• Bloquer le trafic sortant SMB (port 445) au pare-feu — empêche la propagation latérale
• Désactiver les partages réseau publics
• Si vous êtes en environnement Microsoft 365 / Google Workspace : changer le mot de passe de tous les comptes admin et activer MFA partout immédiatement
• Couper les connexions VPN actives et désactiver les comptes VPN

Ne supprimez RIEN. Pas de fichier suspect, pas de processus, pas de log. Tout est preuve.

Minute 20-30 : préserver les preuves

L'équipe DFIR arrive (ou se connecte à distance). Première priorité : capturer l'état actuel avant qu'il ne disparaisse.

Captures à réaliser :

• Image mémoire (RAM) de chaque machine touchée — outil : DumpIt, FTK Imager Lite, ou Velociraptor
• Image disque (bit-à-bit) des serveurs critiques — outil : FTK Imager, dd
• Export des logs Windows Event Viewer (Security, System, Application) en format EVTX
• Capture des règles de pare-feu en place avant tout changement
• Liste des processus actifs et connexions réseau (netstat -ano, tasklist /v)
• Copie du fichier rançon (HOW_TO_RECOVER, README) — il contient des indices précieux sur le groupe attaquant

Ces preuves serviront à : identifier le vecteur d'entrée, mesurer l'ampleur, alimenter le rapport à la CAI, et éventuellement engager des poursuites.

Minute 30-45 : évaluer l'exposition

Vous devez répondre à 4 questions cruciales pour déterminer la suite :

Question 1 — Qu'est-ce qui est chiffré ?

Cartographiez rapidement les systèmes touchés : serveurs de fichiers, base de données, contrôleurs de domaine, postes de travail, sauvegardes ? L'attaque a-t-elle touché les sauvegardes (cas le plus grave) ?

Question 2 — Les sauvegardes sont-elles intactes ?

Vérifiez immédiatement vos sauvegardes hors-ligne ou immuables. Si elles sont intactes, vous n'avez pas à payer. Si elles sont chiffrées aussi, l'équation change radicalement.

Question 3 — Des données ont-elles été exfiltrées ?

Les groupes ransomware modernes pratiquent la double extorsion : ils volent vos données AVANT de les chiffrer, et menacent de les publier si vous ne payez pas. Recherchez les transferts sortants importants dans les jours précédents (logs pare-feu, Netflow).

Question 4 — Y a-t-il des renseignements personnels concernés ?

C'est la question Loi 25. Si des renseignements personnels (clients, employés, fournisseurs) sont chiffrés ou exfiltrés, vous avez 72 heures pour notifier la CAI et les personnes concernées.

Minute 45-60 : décider et communiquer

À la fin de cette heure, les premières décisions stratégiques doivent être prises :

• Activer le plan de continuité d'activité (PCA) si vous en avez un
• Notifier les parties prenantes critiques : clients majeurs impactés, partenaires bancaires, autorités si secteur réglementé
• Préparer la communication interne : un seul porte-parole, message clair, pas de spéculation
• Préparer le dossier CAI si renseignements personnels concernés (modèle disponible sur cai.gouv.qc.ca)
• Décider de la stratégie de récupération : restauration depuis sauvegarde (préférable) vs négociation avec l'attaquant (déconseillé sauf cas extrêmes)

Ce qu'il ne faut JAMAIS faire

• Éteindre les machines (vous perdez les preuves en RAM)
• Tenter de "nettoyer" les fichiers infectés avec un antivirus (vous corrompez les preuves)
• Reformater immédiatement les machines touchées
• Payer la rançon sans avoir épuisé toutes les options de récupération
• Communiquer publiquement avant d'avoir évalué l'ampleur réelle
• Modifier les mots de passe DEPUIS une machine potentiellement compromise (utilisez une machine saine, hors du réseau)
• Ignorer l'obligation de notification CAI sous prétexte que "on va régler ça en interne"

Pourquoi se préparer en amont

La première heure se gère bien uniquement si on s'y est préparé. Sans préparation, le dirigeant panique, l'admin IT improvise, les preuves disparaissent, l'incident s'aggrave et la facture explose.

La préparation minimale tient en 4 éléments :

1. Un numéro DFIR connu de toute l'équipe IT et de la direction (24/7)
2. Un plan de réponse à incident écrit, testé une fois par an
3. Des sauvegardes immuables testées mensuellement
4. Une assurance cyber avec couverture frais DFIR et notification réglementaire