N’importe qui, au pire moment possible
“Tout est chiffré et il y a une note de rançon à l’écran”
Est-ce que ça vous ressemble?
- Des fichiers renommés avec une extension inconnue refusent de s’ouvrir
- Une note de rançon sur les postes ou imprimée par les imprimantes réseau
- Les lecteurs partagés et le serveur sont inaccessibles
- Le logiciel de sauvegarde signale des échecs, ou le disque de sauvegarde est chiffré aussi
- Le personnel est à l’arrêt et personne ne sait à quoi toucher
Ce que coûte l’inaction
Chaque heure de délai coûte de l’argent et détruit des preuves. Éteindre les machines efface des clés de chiffrement parfois présentes en mémoire. Restaurer dans un réseau que l’attaquant contrôle encore mène à un nouveau chiffrement en quelques jours. Et si des renseignements personnels ont été consultés, la Loi 25 impose des obligations de notification qui dépendent d’une délimitation rigoureuse.
Comment se déroule le mandat
- 1
Confiner sans détruire les preuves
Isoler les machines touchées au niveau réseau. Ne pas les éteindre — la mémoire vive contient fréquemment des clés et des preuves que l’extinction efface définitivement.
- 2
Établir la portée
Comment ils sont entrés, depuis combien de temps, ce qui s’est déplacé latéralement, et quelles données ont réellement été consultées plutôt que théoriquement accessibles. Assureurs et organismes l’exigeront.
- 3
Éradiquer
Retirer les mécanismes de persistance, faire pivoter tous les identifiants du rayon d’impact, et fermer le vecteur d’entrée avant toute restauration.
- 4
Restaurer depuis des sauvegardes vérifiées saines
Vers un environnement reconstruit, en respectant l’ordre des dépendances. L’objectif est toujours la reprise sans financer l’attaquant.
- 5
Documenter et durcir
La chronologie écrite que votre assureur, votre avocat et votre conseil demanderont, plus les correctifs qui empêchent la récidive. Les attaquants reviennent chez ceux qui ont payé ou qui n’ont jamais refermé la porte.
Si cela se produit en ce moment
Écrivez à info@digitalsecurityconsulting.com avec URGENT en objet. Nous priorisons les incidents actifs et visons à amorcer le triage à distance le jour ouvrable même.
Avant toute chose :
- Débranchez, n’éteignez pas. Retirez le câble réseau. Laissez la machine allumée.
- Ne supprimez rien. La note, la tâche planifiée étrange, le compte admin inconnu — tout est une preuve.
- Ne restaurez pas encore. Restaurer dans un réseau encore tenu par l’attaquant mène au rechiffrement.
- Vérifiez votre police d’assurance avant d’engager un intervenant.
Pourquoi l’ordre compte
Le réflexe est de vouloir repartir immédiatement. C’est ce réflexe qui transforme un incident récupérable en récidive.
Confiner, délimiter, éradiquer, puis restaurer. Dans cet ordre. Sauter la délimitation, c’est ne jamais apprendre comment ils sont entrés — donc reconstruire le même environnement avec la même porte ouverte.
Ce qui vient après
La reprise n’est pas la fin du mandat. Les attaquants reviennent chez ceux qui ont payé, et chez ceux qui n’ont jamais fermé le vecteur. Le plan de durcissement, le travail de sauvegarde et l’hygiène des identifiants sont ce qui fait de ceci un événement unique plutôt qu’annuel.
Ce que vous obtenez
- Confinement et éradication de l’incident actif
- Restauration depuis des sauvegardes saines lorsqu’elles existent
- Chronologie forensique et portée des accès
- Documentation recevable pour assureurs, conseillers juridiques et obligations de la Loi 25
- Un plan de durcissement priorisé
Questions fréquentes
Que faire dans les dix premières minutes?
Débranchez les machines touchées du réseau sans les éteindre. Ne supprimez rien, note de rançon incluse. Ne restaurez pas encore. Puis écrivez-nous avec URGENT en objet. Éteindre détruit des clés parfois récupérables en mémoire, et restaurer dans un réseau compromis mène simplement à un nouveau chiffrement.
Faut-il payer la rançon?
Presque jamais en premier recours. Le paiement finance l’attaquant, ne garantit pas un déchiffreur fonctionnel, et vous désigne comme une organisation qui paie — un facteur réel de récidive. Les déchiffreurs fournis sont souvent lents, bogués ou partiels. C’est une décision de la direction, avec avis juridique et de l’assureur, une fois les options de récupération épuisées. Nous ne servons pas d’intermédiaire de paiement.
Combien de temps prend la reprise?
Avec des sauvegardes hors ligne testées, habituellement quelques jours. Sans elles, des semaines — ou jamais. Cette différence s’est décidée des mois plus tôt, selon que quelqu’un ait testé une restauration.
Devons-nous le déclarer?
Si des renseignements personnels ont été compromis, la Loi 25 impose des obligations, dont la notification à la Commission d’accès à l’information et aux personnes concernées lorsqu’il y a risque de préjudice sérieux. Établir la portée avec exactitude détermine vos obligations — une raison de plus de ne pas détruire de preuves.
Notre assurance cyber va-t-elle couvrir?
Souvent, mais la plupart des polices exigent une notification rapide et plusieurs ne couvrent pas les intervenants engagés sans approbation préalable. Vérifiez la police avant d’embaucher qui que ce soit, nous inclus. Nous produisons la chronologie et la documentation exigées, et maintenons une chaîne de preuve propre.
Services mobilisés
Cybersécurité
Réponse aux incidents, récupération après rançongiciel et durcissement qui tient à l’audit.
En savoir plusInfrastructure et sauvegarde
Serveurs, grappes et sauvegardes conçus pour que la panne soit survivable et ennuyeuse.
En savoir plusSans-fil et réseaux
Wi-Fi et infrastructure réseau conçus, déployés, puis attaqués pour prouver qu’ils tiennent.
En savoir plusDites-nous ce qui ne fonctionne pas — ou ce que vous voulez bâtir.
Dès le premier appel, vous parlez à un ingénieur principal, pas à un vendeur. Si nous ne sommes pas le bon choix, nous vous le dirons et vous orienterons ailleurs.
Incident en cours? Inscrivez « URGENT » dans votre message et nous priorisons votre dossier.