Rançongiciel : les 24 premières heures, heure par heure

Mardi, 6 h 50. Le directeur des opérations d'un distributeur alimentaire de Drummondville arrive le premier. Aucun écran ne répond normalement. Sur le serveur de fichiers, un nouveau document : LISEZ-MOI.txt.

Ce qui se passe dans les 24 prochaines heures va peser lourd sur la suite : quelques jours d'arrêt, ou plusieurs semaines. Les bons gestes sont simples. Ils doivent seulement être faits dans le bon ordre.

Voici ce plan, heure par heure. Imprimez-le avant d'en avoir besoin.

Le plan en un coup d'œil

Minute 0 à 60 : contenir sans détruire

Le Guide sur les rançongiciels du Centre canadien pour la cybersécurité est clair : isoler les systèmes est la mesure la plus importante.

• Isolez les appareils touchés. Débranchez le câble réseau, coupez le Wi-Fi. Si vous pouvez les isoler, laissez-les allumés : leur mémoire contient des indices. Sinon, éteignez-les plutôt que de laisser l'infection se propager.
• Coupez les accès à distance : VPN, bureau à distance, accès de votre fournisseur TI, comptes infonuagiques exposés.
• Changez de canal. Présumez que l'attaquant lit encore vos courriels et votre clavardage d'entreprise. Passez aux cellulaires et à une messagerie hors de l'environnement touché.
• Photographiez la note de rançon et les écrans. Notez l'heure de chaque constat.
• Ne cliquez pas sur le lien de la note et ne contactez pas les criminels.
• N'effacez rien, ne réinstallez rien. Les journaux montreront jusqu'où l'attaquant est allé.

Heures 1 à 4 : mobiliser les bonnes personnes

Appelez la ligne d'urgence de votre assureur cyber en premier. Beaucoup de polices exigent de passer par leurs firmes de réponse aux incidents. Engager quelqu'un d'autre avant de les appeler peut compliquer le remboursement.

Ensuite :

1. Votre fournisseur TI, pour exécuter l'isolement et préserver les accès.
2. Une firme spécialisée en réponse aux incidents, souvent proposée par l'assureur. Elle mène l'enquête technique.
3. Votre conseiller juridique, idéalement dès le départ, pour encadrer les avis et les communications.
4. Une petite cellule de crise : une personne qui décide, le TI, la personne responsable des communications et votre responsable de la protection des renseignements personnels.

Ouvrez un journal des décisions : heure, décision, qui l'a prise. Il servira à l'assureur, aux enquêteurs et à la CAI. Si vous avez un plan de réponse aux incidents, c'est le moment de le sortir : les noms et les numéros y sont déjà.

Heures 4 à 12 : comprendre l'étendue

Avec la firme de réponse, cherchez à répondre à quatre questions.

• Qu'est-ce qui est chiffré ? Serveurs, postes, NAS, services infonuagiques.
• Les sauvegardes sont-elles intactes ? Vérifiez la copie hors ligne sans la brancher au réseau infecté. Les attaquants s'en prennent souvent aux sauvegardes avant de chiffrer.
• Des données ont-elles été volées ? Bien des groupes copient les données avant de chiffrer, puis menacent de les publier. Notre article sur l'anatomie d'une attaque par rançongiciel décrit cette double extorsion.
• Par où l'attaquant est-il entré ? Un compte VPN sans MFA, un courriel piégé, un serveur non corrigé ? Tant que la porte reste ouverte, restaurer ne sert à rien.

Résistez à la tentation de tout réinstaller ce soir. Le Centre pour la cybersécurité recommande de réinitialiser les identifiants, de créer des comptes administrateurs temporaires pour la reprise et d'analyser les sauvegardes avant de les restaurer.

Heures 12 à 24 : aviser et communiquer

Police. Signalez l'attaque à votre service de police local (SPVM, Sûreté du Québec ou police municipale). Le Centre pour la cybersécurité recommande de le faire dans les 24 heures suivant la découverte, et de conserver le numéro de rapport.

Centre canadien pour la cybersécurité. Déclarez l'incident en ligne. Le Centre n'est pas un corps policier, mais il fournit conseils et soutien. Ne remplissez pas le formulaire depuis un appareil compromis.

Centre antifraude du Canada. Signalez aussi l'attaque sur la plateforme fédérale Signaler la cybercriminalité et la fraude, ou au 1-888-495-8501.

Loi 25. Si des renseignements personnels ont pu être consultés ou volés, il s'agit d'un incident de confidentialité. Vous devez prendre des mesures raisonnables pour diminuer le risque de préjudice, l'inscrire au registre (art. 3.8) et, s'il présente un risque de préjudice sérieux, aviser la CAI et les personnes concernées avec diligence (art. 3.5). Il n'y a pas de délai fixe de 72 heures. Notre guide pour déclarer un incident de confidentialité à la CAI détaille l'évaluation, et l'article Cyberattaque : qui aviser, et dans quel ordre couvre les autres parties. Validez avec votre conseiller juridique.

Employés. Un message court : ce qui se passe, ce qu'on attend d'eux, et pas de publication sur les réseaux sociaux.

Clients et fournisseurs. Des faits, pas de spéculation, coordonnés avec l'assureur et le conseiller juridique.

Payer ou non : ce que dit le Centre pour la cybersécurité

Le Centre pour la cybersécurité ne tranche pas à votre place : la décision revient à l'organisation. Mais il est sans équivoque sur les risques.

• Payer ne garantit pas l'accès aux données chiffrées ni aux systèmes.
• Les criminels peuvent exiger davantage, publier ou vendre les données malgré tout, ou revenir.
• Chaque paiement finance de nouvelles attaques.
• Avant même d'envisager de payer, signalez le crime à la police.

Ne décidez jamais seul, ni dans les premières heures. Le paiement peut aussi soulever des questions juridiques : parlez-en à votre assureur et à votre conseiller juridique. La seule vraie façon d'éviter la question, c'est une sauvegarde hors ligne testée.

Après les 24 premières heures

La reprise prend du temps. Selon l'étude CDW 2025, les petites organisations canadiennes mettent en moyenne 25,7 jours à se remettre d'un incident. Selon des données de l'industrie citées par Insurance Business Canada (octobre 2025), un rançongiciel coûte en moyenne 330 000 $. Pour raccourcir la suite :

• La porte d'entrée est identifiée et fermée.
• Tous les mots de passe administrateurs sont réinitialisés et protégés par MFA.
• Les postes touchés sont réinstallés à partir d'une image propre.
• Les sauvegardes sont analysées avant la restauration.
• Le registre des incidents est rempli et les avis requis sont envoyés.
• Une rencontre de leçons apprises met à jour le plan de réponse.

Une fois la crise passée, nos services de remédiation et durcissement aident à fermer les accès dans le bon ordre, en commençant par ceux qui ont servi.

Le meilleur moment pour lire cette page, c'est aujourd'hui. Notez le numéro d'urgence de votre assureur et celui de votre fournisseur TI, sur papier.