Si un serveur ou un hébergement est chiffré par un rançongiciel, isolez-le du réseau sans l’éteindre brutalement, ne payez pas la rançon, comme le recommandent l’ANSSI et Cybermalveillance.gouv.fr, et vérifiez l’état de vos sauvegardes. La reprise passe par une reconstruction sur un système propre, puis une restauration des données. Le devis est gratuit.
Un rançongiciel sur un serveur se manifeste par des fichiers renommés avec une extension inconnue, des bases de données illisibles, un site qui renvoie des erreurs et un fichier de revendication déposé dans les répertoires. L’attaquant est généralement entré par un service exposé, un compte d’administration faible ou une faille non corrigée, et il est resté présent avant de chiffrer.
Payer ne garantit pas de récupérer les données, finance les attaquants et signale que vous êtes prêt à payer. Les autorités le déconseillent. La suite dépend presque entièrement d’une chose : l’existence d’une sauvegarde saine et hors d’atteinte.
Ce que nous faisons
Isoler sans détruire les preuves
Nous coupons les accès réseau du serveur depuis le pare-feu de l’hébergeur ou la console de la machine, afin d’arrêter le chiffrement et de bloquer toute communication avec l’attaquant. Nous évitons de redémarrer ou de réinstaller tout de suite : la mémoire et les journaux contiennent des indices utiles. Les autres serveurs qui partageaient des identifiants avec celui-ci sont isolés à leur tour.
Faire l’état des sauvegardes
Nous vérifions quelles sauvegardes existent, leur date, leur lieu de stockage et surtout si elles ont été touchées. Une copie accessible depuis le serveur attaqué a souvent été chiffrée aussi. Une copie hors ligne, immuable ou chez un autre fournisseur est la meilleure chance. Cet état des lieux détermine la stratégie de reprise.
Reconstruire sur un système propre
Nous ne remettons pas un serveur compromis en production. Nous installons une machine neuve, à jour, avec une configuration durcie, puis nous redéployons les applications. Cette reconstruction évite de conserver une porte dérobée laissée par l’attaquant. Les comptes, clés SSH et mots de passe sont tous renouvelés.
Restaurer les données et les contrôler
Les données sont restaurées depuis la dernière sauvegarde saine, antérieure à la compromission, puis contrôlées : intégrité des bases, fonctionnement du site, cohérence des commandes ou des contenus récents. La perte entre la sauvegarde et l’incident est chiffrée honnêtement. Sans sauvegarde exploitable, nous étudions avec vous les pistes réalistes, sans promettre de déchiffrement.
Durcir pour éviter une récidive
Nous recherchons le point d’entrée et le fermons : mise à jour des composants, limitation des accès SSH par clé, filtrage des ports, sauvegardes isolées. Le détail d’une stratégie de copie est sur la page sauvegarde de serveurs et de sites. Les obligations, notamment la notification CNIL, sont sur réponse à incident.
Premiers gestes de votre côté
Isolez le serveur du réseau depuis la console de l’hébergeur. Ne payez rien, n’écrivez pas aux attaquants et ne supprimez aucun fichier. Photographiez le message de revendication et notez l’heure de la découverte.
Un échange pour comprendre
Vous nous décrivez les symptômes, l’hébergeur, les applications concernées et ce que vous savez des sauvegardes. Nous vous disons ce qui est récupérable et ce qui ne l’est pas, même si la réponse est mauvaise.
Un examen sans modification
Nous vous indiquons l’accès nécessaire, depuis la console de l’hébergeur le plus souvent, et nous vous guidons pour nous le donner, au téléphone si besoin. Nous évaluons les dégâts et l’état des sauvegardes sans rien modifier. Tout ce que nous voyons reste strictement confidentiel.
Un devis écrit et gratuit
Établi après l’examen, le devis couvre la reconstruction, la restauration et le durcissement. Tout est sur devis, y compris la nuit et le week-end. Nous ne promettons ni délai de reprise ni récupération totale des données.
Une reconstruction sur un environnement sain
Une fois le devis accepté et réglé, nous reconstruisons sur une machine neuve, jamais en réutilisant les identifiants de l’ancien serveur. Une copie de l’état actuel est conservée avant toute modification, pour les preuves.
Un rapport et un plan de suite
Vous recevez la chronologie probable, les actions menées, les secrets renouvelés, les mots de passe à changer et les mesures de prévention. Ces éléments soutiennent la plainte et, si nécessaire, la notification à la CNIL. Le travail est garanti 30 jours : un problème traité qui revient dans ce délai est repris sans frais.
Questions fréquentes
Faut-il payer la rançon pour récupérer ses données ?
Non. L’ANSSI et Cybermalveillance.gouv.fr déconseillent de payer : rien ne garantit que les attaquants fournissent une clé fonctionnelle, et le paiement finance leur activité. Mieux vaut restaurer depuis une sauvegarde saine et porter plainte.
Peut-on déchiffrer les fichiers sans payer ?
Parfois, si le rançongiciel est connu et qu’un outil de déchiffrement public existe, mais c’est rare. Ne comptez pas dessus. Conservez une copie des fichiers chiffrés et du message de revendication : ils pourront servir si une solution apparaît plus tard.
Dois-je éteindre le serveur immédiatement ?
Coupez d’abord son accès réseau. Un arrêt brutal fait perdre la mémoire vive et peut compliquer l’analyse, mais si le chiffrement continue et que vous ne pouvez pas isoler la machine autrement, l’arrêt reste préférable à la perte de données supplémentaires.
Mes sauvegardes ont aussi été chiffrées, que faire ?
Cherchez d’autres copies : instantanés de l’hébergeur, stockage distant, export récent sur un autre support. Ne les connectez à aucun système avant d’avoir reconstruit un environnement sain. Sans copie, la perte peut être définitive ; nous vous le disons clairement dans le devis.
Dois-je porter plainte et prévenir la CNIL ?
Une plainte est recommandée. Si des données personnelles ont été exposées ou rendues indisponibles, la violation est à notifier à la CNIL sous 72 heures. La page réponse à incident détaille la démarche.
Sources
- Rançongiciels : fiche réflexe — Cybermalveillance.gouv.fr
- Recommandations de sécurité pour un système GNU/Linux — ANSSI
- Sauvegardes — Cybermalveillance.gouv.fr