Déroulé d’une attaque par rançongiciel
L'entrée
L'attaquant a besoin d'une porte. Trois sont fréquentes : une pièce jointe piégée, un accès à distance mal protégé, une faille (défaut d'un logiciel) non corrigée.
À repérer : une pièce jointe inattendue, ou un logiciel qui réclame depuis des semaines une mise à jour.
Bon réflexe : ne pas ouvrir l'inattendu, installer les mises à jour, protéger les accès par un mot de passe solide et une double authentification.
La propagation
Un seul poste suffit : le logiciel malveillant cherche ensuite les autres machines et les serveurs du même réseau.
À repérer : un poste ralenti ou des comptes qui se connectent à des heures inhabituelles.
Bon réflexe : séparer les réseaux et limiter les droits de chacun : un poste atteint ne doit pas ouvrir tout le reste.
Le chiffrement des fichiers
Chiffrer, c'est brouiller un fichier pour qu'il soit illisible sans la clé. Ici, la clé est gardée par l'attaquant.
À repérer : des fichiers dont le nom change, qui refusent de s'ouvrir.
Bon réflexe : éteindre l'appareil du réseau tout de suite : plus il reste en marche, plus il chiffre.
Le message de rançon
Un message s'affiche : pour récupérer la clé, il faudrait payer, souvent en monnaie numérique difficile à retracer.
Bon réflexe : ne pas payer. Rien ne garantit que la clé fonctionne, et le paiement finance les attaques suivantes.
La double extorsion
Avant de chiffrer, l'attaquant a souvent copié les données. Même avec une sauvegarde, il menace de les publier : c'est la double extorsion.
À repérer : un volume anormal de données qui sort du réseau.
Bon réflexe : prévenir les personnes concernées et les autorités ; garder les preuves.
Le chemin de sortie
On ne règle pas l'attaque en payant : on isole, on réinstalle, on restaure.
Bon réflexe : gardez une sauvegarde hors ligne, c'est-à-dire débranchée du réseau : l'attaquant ne peut pas la chiffrer.