Protéger son entreprise contre les rançongiciels au Cameroun

Un samedi soir, quelqu’un se connecte au serveur de l’entreprise par l’accès à distance ouvert un jour pour qu’un prestataire dépanne un poste, et jamais refermé. Le mot de passe était simple. Pendant dix jours, rien ne se voit. Puis, un dimanche à 2 h du matin, tout est chiffré : les postes, le serveur de fichiers et le disque de sauvegarde resté branché « pour ne pas oublier ». Lundi matin, la comptable découvre à l’écran un message qui réclame une rançon.

Ce scénario n’a rien d’exceptionnel. Il est même typique : l’attaquant n’a pas eu besoin d’une prouesse technique, seulement de quelques portes laissées ouvertes. La bonne nouvelle, c’est que la plupart de ces portes se ferment avec des mesures connues, peu coûteuses et vérifiables.

Ce guide explique comment une attaque se déroule, quelles mesures prendre en priorité, et que faire si elle survient malgré tout.

Qu’est-ce qu’un rançongiciel ?

Un rançongiciel (en anglais, ransomware) est un logiciel malveillant qui chiffre les données d’une organisation pour les rendre illisibles, puis réclame une rançon en échange de la clé. De nombreux groupes volent aussi les données avant de les chiffrer, et menacent de les publier si la rançon n’est pas payée.

Le dommage ne se limite donc pas aux fichiers perdus. C’est l’activité qui s’arrête : plus de facturation, plus de caisse, plus d’accès aux dossiers clients, parfois pendant des jours.

Comment une attaque se déroule-t-elle ?

Une attaque est rarement instantanée. Elle suit des étapes, et chacune laisse une chance de l’arrêter.

1. L’entrée. Un e-mail piégé ouvert par un employé, un mot de passe faible ou volé sur un accès à distance exposé à Internet, un pare-feu ou un VPN non mis à jour, ou un logiciel piraté installé sur un poste.
2. L’exploration. L’attaquant découvre le réseau : serveurs, partages de fichiers, comptes, sauvegardes.
3. La prise de contrôle. Il cherche à obtenir un compte administrateur, qui lui ouvre toutes les portes.
4. Le vol de données. Il copie ce qui a de la valeur, pour pouvoir menacer de le publier.
5. La destruction des sauvegardes. Il supprime ou chiffre toutes les sauvegardes qu’il peut atteindre.
6. Le chiffrement, de préférence à un moment où personne ne surveille : la nuit, le week-end, un jour férié.
7. La demande de rançon, avec un délai pour faire pression.

Entre l’entrée et le chiffrement, il peut s’écouler des jours, parfois des semaines. C’est pour cela que les sauvegardes doivent être conservées assez longtemps, et que les signes faibles comptent.

Quelles sont les 10 mesures, par ordre de priorité ?

1. Des sauvegardes hors ligne ou immuables, et testées. C’est la mesure qui vous permet de redémarrer sans payer. Une sauvegarde que l’attaquant peut atteindre ne vous protège pas.
2. L’authentification multifacteur partout où c’est possible, souvent appelée « double authentification » : messagerie, accès à distance, comptes administrateurs, console de sauvegarde, banque en ligne.
3. Fermer les accès à distance exposés. Aucun bureau à distance ouvert directement sur Internet ; passez par un VPN protégé par l’authentification multifacteur.
4. Mettre à jour, en commençant par les équipements exposés à Internet : pare-feu, VPN, routeur, puis les systèmes et les logiciels des postes.
5. Séparer les comptes administrateurs. On travaille au quotidien avec un compte ordinaire, et l’on n’utilise le compte administrateur que pour administrer. Chacun n’a que les droits dont il a besoin.
6. Protéger chaque poste et chaque serveur avec un antivirus ou un outil de détection et de réponse (EDR), surveillé et à jour.
7. N’installer que des logiciels légitimes. Un logiciel piraté est une porte d’entrée classique.
8. Former l’équipe à l’hameçonnage, et instaurer une règle simple : toute demande inhabituelle, surtout de paiement, se vérifie par téléphone. Notre guide des arnaques WhatsApp et Mobile Money fournit des scénarios à jouer avec l’équipe.
9. Segmenter le réseau. Caméras, Wi-Fi des visiteurs, caisses et serveurs ne doivent pas tous se voir entre eux.
10. Préparer la réponse : un plan écrit, des contacts imprimés, et des journaux d’activité conservés pour comprendre ce qui s’est passé.

Le guide #StopRansomware de la CISA, l’agence américaine de cybersécurité, détaille ces mesures pour les équipes techniques, en anglais.

Sauvegardes : en quoi consiste la règle 3-2-1-1-0 ?

Face à un rançongiciel, la sauvegarde est votre dernière ligne de défense. La règle 3-2-1-1-0 résume ce qu’elle doit être :

• 3 copies de vos données ;
• sur 2 supports différents ;
• dont 1 hors site ;
• dont 1 hors ligne ou immuable, que personne ne peut modifier ni supprimer pendant sa durée de conservation ;
• et 0 erreur lors du dernier test de restauration.

Trois précautions spécifiques aux rançongiciels :

1. Le compte qui écrit les sauvegardes ne doit pas pouvoir les supprimer. Sinon, l’attaquant qui le vole efface tout.
2. La conservation doit être assez longue pour couvrir une intrusion découverte tard.
3. La restauration doit être testée, chronométrée et notée, au moins chaque trimestre.

Notre guide de la sauvegarde et de la reprise après sinistre détaille la méthode, du choix des objectifs de reprise au test de restauration.

Que faire dans les 24 premières heures après une attaque ?

Dans la première heure

1. Isolez les machines touchées : débranchez le câble réseau et coupez le Wi-Fi. Si l’attaque se propage, coupez la connexion Internet du réseau.
2. N’éteignez pas les machines touchées, sauf si vous ne parvenez pas à les déconnecter du réseau. L’extinction peut effacer des traces utiles pour comprendre l’attaque ; une machine impossible à isoler doit en revanche être éteinte, pour arrêter la propagation.
3. Débranchez les sauvegardes encore connectées au réseau, pour éviter leur destruction.
4. Appelez votre prestataire informatique par téléphone, et non par la messagerie de l’entreprise, qui peut être sous le contrôle de l’attaquant.

Dans les heures qui suivent

1. Conservez les preuves : photo du message de rançon, journaux d’activité, exemples de fichiers chiffrés. Ne réinstallez rien pour l’instant.
2. Ne payez pas, et ne négociez pas seul.
3. Changez les mots de passe essentiels depuis un appareil sain : messagerie, banque, Mobile Money, comptes administrateurs.
4. Évaluez l’étendue des dégâts : quelles machines, quelles données, quelles sauvegardes sont intactes.
5. Faites tourner l’activité en mode dégradé : reçus papier, cahier de ventes, à ressaisir ensuite.

Avant la fin de la journée

1. Déposez plainte auprès de la police ou de la gendarmerie, avant de réinstaller les machines.
2. Signalez l’incident au CIRT de l’ANTIC, l’équipe de réponse aux incidents de l’Agence nationale des technologies de l’information et de la communication, qui publie aussi des alertes de sécurité : par son formulaire en ligne prévu pour la compromission de systèmes, ou au numéro vert 8202. Ne supprimez ni les journaux ni le message de rançon : ils servent de preuves.
3. Prévenez les personnes concernées si des données de clients ou d’employés ont pu être volées, et renseignez-vous sur vos obligations.
4. Vérifiez sur No More Ransom, un projet soutenu par Europol et la police néerlandaise, s’il existe un outil de déchiffrement gratuit pour le rançongiciel qui vous a touché.

Ensuite seulement vient la reconstruction : trouver et fermer la porte d’entrée, réinstaller des systèmes propres, restaurer depuis une sauvegarde antérieure à l’intrusion, changer tous les mots de passe, puis remettre les services en route progressivement en les surveillant. Restaurer trop tôt, c’est souvent rouvrir la porte à l’attaquant.

Comment Nematek peut-il vous aider ?

Nos services de cybersécurité commencent par une évaluation de vos risques réels et un plan d’amélioration priorisé, puis couvrent le durcissement, la protection des postes, la gestion des accès et des comptes administrateurs, la gestion des vulnérabilités et les bonnes pratiques de sauvegarde, sans imposer une pile d’outils surdimensionnée.

Nematek One Secure regroupe le diagnostic de sécurité, l’inventaire des comptes et des appareils, l’authentification multifacteur, la protection des postes selon la solution retenue, la sauvegarde avec test de restauration, et l’assistance en cas d’incident selon la formule choisie. Les licences, le matériel et le stockage des fournisseurs tiers font l’objet d’un devis séparé. Pour faire le point, décrivez votre situation dans une demande d’évaluation gratuite.