Rançongiciel 2026 : réagir, signaler et se protéger après attaque

Après un rançongiciel, les 5 premières actions dans les 24 heures sont : déconnecter l'appareil du réseau, ne JAMAIS payer la rançon, sauvegarder les preuves de l'attaque, signaler sur 17Cyber.gouv.fr (assistance 24/7 de la Police nationale et Gendarmerie), et porter plainte. Le rançon moyen demandé a atteint 3,96 millions de dollars en 2024, mais seuls 29% des victimes paient — un chiffre en baisse constante. Cybermalveillance.gouv.fr

Les 5 premières actions dans les 24 heures après un rançongiciel

1. Déconnecter immédiatement l'appareil du réseau Wi-Fi, d'Internet et de tout périphérique de stockage (clé USB, disque externe). Cela empêche le rançongiciel de se propager à d'autres appareils sur le même réseau. Ne pas éteindre l'ordinateur : certaines traces de l'attaque se trouvent dans la mémoire vive (RAM). Déconnecter le câble Ethernet ou désactiver le Wi-Fi dans les paramètres réseau.

2. Ne JAMAIS payer la rançon. Payer ne garantit pas la récupération des données : 71% des organisations qui paient ne récupèrent pas l'intégralité de leurs fichiers selon le rapport Sophos 2024. Payer finance le crime organisé et vous identifie comme cible récurrente — 80% des victimes qui paient subissent une seconde attaque. Les paiements en cryptomonnaie sont irréversibles et impossibles à tracer.

3. Sauvegarder les preuves avant toute action de nettoyage. Photographier l'écran du rançongiciel (message de rançon, adresse bitcoin, identifiant de victime). Noter la date et l'heure exactes. Conserver les fichiers chiffrés intacts — les outils de déchiffrement de NoMoreRansom.org nécessitent un échantillon chiffré pour identifier la variante.

4. Signaler l'attaque sur 17Cyber.gouv.fr, le guichet unique d'assistance de la Police nationale et de la Gendarmerie, accessible 24h/24. Le service établit un diagnostic, fournit des recommandations personnalisées et peut mettre en relation avec un policier ou gendarme par tchat. Signaler aussi sur Cybermalveillance.gouv.fr/signalement pour être orienté vers l'organisme compétent.

5. Porter plainte au commissariat, à la gendarmerie ou via la plateforme pre-plainte-en-ligne.gouv.fr. Le délai de prescription est de 6 ans à compter de la découverte de l'infraction (art. 9 du Code de procédure pénale). Fournir aux enquêteurs : captures d'écran du rançongiciel, fichiers chiffrés, journaux système, adresses de portefeuilles cryptomonnaie communiquées par les attaquants.

Notification CNIL : obligation dans les 72 heures si données personnelles touchées

Si le rançongiciel a chiffré des données personnelles (fichiers clients, dossiers employés, données de santé), le responsable de traitement doit notifier la CNIL dans les 72 heures après constatation de la violation (article 33 du RGPD). La notification se fait sur notifications.cnil.fr. En cas de risque élevé pour les personnes concernées (données de santé, données bancaires), il faut aussi les informer individuellement (article 34 du RGPD). Le défaut de notification expose à une sanction administrative pouvant atteindre 10 millions d'euros ou 2% du CA annuel mondial (art. 83 RGPD). Même si la violation semble mineure, il faut la documenter en interne — la CNIL peut la réclamer lors d'un contrôle.

Récupérer ses données sans payer : outils gratuits et sauvegardes

Vérifier d'abord si un outil de déchiffrement gratuit existe sur NoMoreRansom.org, initiative d'Europol et de la Police néerlandaise. Le site propose des outils pour 12 familles de rançongiciels actives en 2025-2026 : Lockbit 3.0, BlackBasta, Akira, Rhysida, Phobos, DoNex, Ragnar, Bianlian entre autres. Télécharger l'outil CryptoSheriff sur le site pour identifier la variante du rançongiciel à partir d'un fichier chiffré. Si aucune solution n'existe encore, vérifier régulièrement — de nouvelles clés sont ajoutées chaque semaine.

Si vous disposiez de sauvegardes offline (disque dur non connecté au moment de l'attaque, sauvegarde cloud avec historique de versions) : restaurer à partir de la dernière sauvegarde saine. Sur Windows, les copies shadow (Volume Shadow Copy) peuvent contenir des versions antérieures des fichiers — y accéder via Propriétés > Versions précédentes, sauf si le rançongiciel les a supprimées. La stratégie de sauvegarde recommandée est 3-2-1 : 3 copies, sur 2 supports différents, dont 1 hors site (offline).

Protéger ses appareils après l'attaque : 6 mesures obligatoires

1. Réinitialiser le mot de passe de tous les comptes (email, banque, réseaux sociaux) depuis un appareil sain. Les rançongiciels volent souvent les identifiants avant de chiffrer (double extorsion). 2. Activer l'authentification à deux facteurs (2FA) sur chaque compte — une application d'authentification (Authy, Google Authenticator) est plus sûre que les SMS. 3. Mettre à jour le système d'exploitation et tous les logiciels — 32% des rançongiciels exploitent des vulnérabilités connues avec correctif disponible. 4. Installer un antivirus à jour et lancer une analyse complète. 5. Configurer des sauvegardes automatiques offline (disque externe déconnecté après la sauvegarde) et cloud avec historique de versions. 6. Vérifier les points d'entrée : 29% des attaques passent par des identifiants compromis — changer tous les mots de passe et vérifier les sessions actives sur HaveIBeenPwned.com.

Cas particuliers : entreprises, indépendants, collectivités

Entreprises : obligation de notification CNIL dans les 72h (art. 33 RGPD) + information des personnes concernées si risque élevé (art. 34). Le dispositif SenCy-Crise de Cybermalveillance.gouv.fr offre un accompagnement de gestion de crise cyber pour les professionnels. Les entreprises de plus de 50 salariés doivent disposer d'un registre des traitements et d'un délégué à la protection des données (DPO) si traitement à grande échelle.

Indépendants / auto-entrepreneurs : mêmes obligations RGPD si vous traitez des données personnelles clients. Vérifier que votre assurance professionnelle (RC Pro) couvre les cyberattaques — la plupart des contrats standard n'incluent pas cette garantie. Souscrire un cyber-assurance spécifique si votre activité dépend d'outils numériques.

Collectivités : la loi LPM (loi de programmation militaire) impose des obligations de cybersécurité renforcées. En cas d'attaque, contacter le CERT-FR (Centre gouvernemental de réponse aux incidents cyber) via cert.ssi.gouv.fr.

Sanctions pénales pour les auteurs de rançongiciels

Les auteurs de rançongiciels encourent les peines prévues par le Code pénal français, articles 323-1 à 323-7 (atteintes aux systèmes de traitement automatisé de données) : accès frauduleux à un système (2 ans d'emprisonnement + 60 000 € d'amende), altération de données (3 ans + 100 000 €), avec circonstance aggravante si commis en bande organisée (5 ans + 150 000 €). Le financement du terrorisme via le paiement d'une rançon constitue un délit distinct (art. 421-2 Code pénal). La France coopère avec Europol (European Cybercrime Centre - EC3) et Interpol pour les attaques transnationales.

Outils de detection et signalement des rancongiciels

# Verifier si un fichier est un rancongiciel connu
curl -s "https://mb-api.abuse.ch/api/v1/" -d "query=ransomware_notes" # Scanner un fichier suspect via VirusTotal
curl -s -X POST "https://www.virustotal.com/api/v3/files" \n -H "x-apikey: VOTRE_CLE_API" \n -F "file=@fichier_suspect.exe" # Verifier les processus suspects sur Windows
powershell -Command "Get-Process | Where-Object {$_.Name -match 'crypto|miner|lock' }" # Consulter la base NoMoreRansom pour trouver un decrypteur
curl -s "https://www.nomoreransom.org/api/decryptors.json" | jq