Que Faire dans les 24 Heures Suivant une Attaque Ransomware

Que faire dans les 24 heures suivant une attaque ransomware ? Débranchez immédiatement le réseau des machines touchées sans les éteindre, appelez votre technicien informatique ou votre fournisseur de services gérés pour confiner l'attaque, contactez ensuite votre assureur cyber avant toute autre dépense, puis un avocat si des données de clients sont touchées et la Commission d'accès à l'information du Québec si la Loi 25 s'applique. Ne payez jamais la rançon comme premier réflexe.

Une attaque ransomware active dans votre PME n'est pas le moment de chercher un guide générique sur « les bonnes pratiques de cybersécurité ». C'est une urgence en temps réel, où chaque heure qui passe pendant les premières 24 heures a un impact direct sur l'ampleur des dégâts, le coût final de l'incident et vos obligations légales envers vos clients et employés. Ce guide propose un plan d'action concret, heure par heure, conçu pour une PME québécoise qui découvre en ce moment même qu'un rançongiciel a chiffré ses fichiers ou verrouillé ses systèmes. Nos techniciens certifiés interviennent régulièrement en contexte d'urgence pour du confinement de cyberattaque et de la remédiation post-incident auprès d'entreprises partout au Québec.

Les premières minutes (0 à 30 minutes)

Ce que vous faites — ou ne faites pas — dans les trente premières minutes détermine en grande partie si l'incident restera confiné à quelques postes de travail ou s'étendra à l'ensemble de votre réseau, vos sauvegardes incluses. Trois réflexes doivent primer sur tout le reste.

Débranchez le réseau, ne débranchez pas l'alimentation

Dès qu'un employé remarque des fichiers renommés avec une extension inconnue, une note de rançon qui s'affiche à l'écran, ou un système anormalement lent avec une activité disque intense, la priorité absolue est de couper la propagation. Débranchez le câble Ethernet de la machine touchée, ou désactivez le Wi-Fi si elle s'y connecte sans fil. Si plusieurs postes semblent touchés simultanément, débranchez le commutateur réseau (switch) ou désactivez temporairement le point d'accès Wi-Fi de tout le bureau plutôt que de courir après chaque appareil un à un.

Ne débranchez jamais l'alimentation électrique et n'éteignez jamais l'ordinateur. C'est l'erreur la plus commune et la plus coûteuse commise dans la panique. La mémoire vive (RAM) d'une machine encore allumée contient souvent des informations précieuses pour un enquêteur en criminalistique numérique — parfois même des clés de chiffrement temporaires qui disparaissent instantanément à l'extinction. Couper le courant peut aussi corrompre davantage les fichiers déjà partiellement chiffrés, rendant leur récupération future impossible même avec un outil de déchiffrement qui serait éventuellement publié pour cette souche de rançongiciel.

Isolez sans paniquer : identifiez ce qui est touché

Pendant que le réseau est coupé, dressez rapidement une liste de ce qui semble affecté : quels postes, quels dossiers partagés, quels serveurs. Ne tentez pas de « nettoyer » vous-même en supprimant des fichiers suspects ou en lançant un antivirus de façon improvisée — cela peut détruire des preuves numériques utiles et compliquer une éventuelle enquête d'assurance ou judiciaire. Prenez plutôt des photos de l'écran avec votre téléphone (la note de rançon affichée contient souvent des informations utiles : nom du groupe criminel, adresse de contact, montant demandé) et notez l'heure exacte de la découverte.

Ne touchez pas aux sauvegardes

Si vos sauvegardes sont accessibles depuis le réseau (un lecteur réseau, un serveur de sauvegarde connecté en permanence), déconnectez-les physiquement immédiatement si possible, ou à tout le moins ne lancez aucune synchronisation ou sauvegarde automatique tant que l'ampleur de l'attaque n'est pas confirmée. Un rançongiciel actif qui atteint un système de sauvegarde connecté peut chiffrer ou supprimer les copies de secours, transformant un incident récupérable en désastre total.

Timeline heure par heure : les 24 premières heures

Une fois le confinement initial effectué, voici comment structurer les vingt-quatre heures suivantes de façon méthodique. Cette timeline reflète l'expérience de nos équipes lors d'interventions d'urgence réelles auprès de PME québécoises ; les délais peuvent varier selon la taille de votre organisation et la complexité de votre infrastructure, mais la séquence des priorités demeure la même.

Heure 0 à 1 : confinement et premier appel

Durant cette première heure, votre objectif unique est d'arrêter l'hémorragie. Le réseau doit être physiquement isolé (voir section précédente), et votre technicien informatique ou fournisseur de services gérés (MSP) doit être contacté sans délai — c'est l'appel le plus important de toute la journée, et nous expliquons pourquoi dans la section suivante. Si vous n'avez pas de contrat de service actif, une ligne d'urgence comme notre service SOS Urgence permet d'obtenir un technicien en intervention rapide même sans relation préalable. Pendant cette heure, désignez également une seule personne responsable de la coordination de la crise — habituellement le propriétaire, le directeur général ou le responsable TI — pour éviter que plusieurs employés prennent des décisions contradictoires en parallèle.

Heure 1 à 3 : évaluation de l'ampleur et communication interne

Une fois un technicien mobilisé, cette fenêtre sert à cartographier précisément l'étendue de l'attaque : combien de postes sont chiffrés, quels serveurs sont touchés, si les sauvegardes sont intactes ou compromises, et si des données ont potentiellement été exfiltrées avant le chiffrement (de plus en plus de groupes de rançongiciels volent les données avant de les chiffrer, une technique appelée double extorsion). C'est aussi le moment de communiquer en interne avec vos employés : leur expliquer sobrement qu'un incident de sécurité est en cours, leur demander de ne pas se connecter au réseau de bureau avec leurs appareils personnels, et de ne répondre à aucune communication suspecte reçue par courriel pendant cette période, car les attaquants ciblent parfois les employés directement une fois l'intrusion détectée.

Heure 3 à 6 : sécuriser ce qui n'est pas touché et amorcer les démarches d'assurance

Avec une image plus claire de l'ampleur des dégâts, cette fenêtre sert à protéger activement ce qui n'a pas encore été compromis : changement immédiat des mots de passe administrateurs sur les systèmes encore sains, désactivation temporaire des comptes à privilèges élevés qui ne sont pas indispensables dans l'heure, et vérification que l'accès à distance (VPN, bureau à distance) est coupé ou fortement restreint le temps de l'enquête. C'est également la fenêtre pour appeler votre assureur cyber si vous détenez une police — un appel qui doit précéder toute décision de payer une rançon ou d'engager des dépenses forensiques majeures, pour des raisons détaillées plus loin dans ce guide.

Heure 6 à 12 : forensique, notification légale préliminaire et premières restaurations

Selon l'ampleur de l'attaque et la disponibilité des ressources, cette période marque souvent le début du travail forensique plus formel — soit par votre technicien s'il en a la compétence, soit par un spécialiste externe désigné par votre assureur. En parallèle, si des données personnelles de clients ou d'employés semblent touchées, c'est le moment d'entamer les premières discussions avec un avocat spécialisé pour évaluer vos obligations sous la Loi 25 (détaillées plus loin). Si des sauvegardes hors ligne fiables existent et que les systèmes compromis ont été isolés en toute confiance, la restauration des systèmes les plus critiques pour la continuité des opérations (facturation, courriel, systèmes de paiement) peut commencer sur du matériel propre et vérifié — jamais en réutilisant directement les machines infectées sans nettoyage complet préalable.

Heure 12 à 24 : stabilisation, communication élargie et plan de restauration complet

Dans la deuxième moitié de la première journée, l'objectif passe du confinement pur à la stabilisation. Un plan de restauration complet doit être établi avec votre technicien ou votre équipe de réponse à incident, incluant un ordre de priorité pour remettre les systèmes en ligne (généralement : infrastructure réseau de base, serveurs de fichiers critiques, postes de travail, systèmes secondaires). C'est aussi la fenêtre où une communication plus large peut être envisagée si nécessaire — vers des partenaires d'affaires touchés par l'interruption de service, ou en préparation d'une notification aux clients si l'analyse forensique confirme une atteinte à des données personnelles. Documentez chaque décision prise durant les 24 heures, avec l'heure exacte : cette chronologie sera utile pour votre assureur, votre avocat et, le cas échéant, pour la Commission d'accès à l'information du Québec.

Qui appeler en premier : l'ordre qui change tout

L'une des plus grandes sources de dégâts évitables lors d'une attaque ransomware n'est pas technique — c'est l'ordre dans lequel les dirigeants d'une PME contactent les différents intervenants. Appeler dans le mauvais ordre peut invalider une couverture d'assurance, exposer l'entreprise à des poursuites, ou tout simplement laisser l'attaque se propager pendant que vous cherchez le bon numéro. Voici l'ordre recommandé, avec la justification derrière chaque étape.

Ce qu'il faut faire vs ce qu'il ne faut PAS faire dans les 24 heures

Checklist complète des 24 premières heures

Voici une liste de vérification exhaustive à imprimer ou à garder accessible sur un appareil non touché par l'attaque. Cochez chaque élément au fur et à mesure — cette documentation sera utile pour votre assureur, votre avocat et l'enquête technique.

• ☐ Débrancher le câble réseau ou désactiver le Wi-Fi des machines touchées, sans les éteindre
• ☐ Noter l'heure exacte de la découverte de l'incident
• ☐ Photographier la note de rançon et tout message suspect affiché à l'écran
• ☐ Désigner une seule personne responsable de la coordination de la crise
• ☐ Appeler le technicien informatique ou le fournisseur de services gérés
• ☐ Déconnecter physiquement les sauvegardes accessibles depuis le réseau
• ☐ Dresser la liste des postes, dossiers et serveurs apparemment touchés
• ☐ Informer les employés sobrement, sans détails techniques inutiles
• ☐ Demander aux employés de ne pas connecter d'appareils personnels au réseau du bureau
• ☐ Appeler l'assureur cyber avant toute dépense majeure ou décision de paiement
• ☐ Vérifier et couper l'accès à distance (VPN, bureau à distance) le temps de l'enquête
• ☐ Changer les mots de passe administrateurs sur les systèmes non touchés
• ☐ Évaluer avec un avocat si des données de clients ou d'employés sont concernées
• ☐ Déterminer si la Loi 25 impose une notification à la Commission d'accès à l'information
• ☐ Ne PAS supprimer ni « nettoyer » les fichiers suspects vous-même
• ☐ Ne PAS payer la rançon sans l'avis de l'assureur et d'un conseiller juridique
• ☐ Documenter chaque décision et chaque action avec l'heure précise
• ☐ Signaler l'incident au Centre antifraude du Canada
• ☐ Établir un ordre de priorité pour la restauration des systèmes critiques
• ☐ Planifier une revue post-incident une fois la situation stabilisée

Études de cas : trois PME québécoises face au ransomware

Les scénarios suivants sont des reconstitutions fictives, inspirées de situations typiques rencontrées par des PME québécoises de tailles diverses, présentées ici à des fins pédagogiques pour illustrer concrètement l'impact d'une bonne ou d'une mauvaise réaction dans les premières heures.

Cas 1 — Cabinet comptable de Trois-Rivières, 14 employés

Un lundi matin, une adjointe administrative ouvre une pièce jointe reçue par courriel, déclenchant un rançongiciel qui chiffre en quelques minutes les dossiers partagés du cabinet, incluant des données fiscales de clients. L'associé principal, formé quelques mois plus tôt lors d'une session de formation en cybersécurité, reconnaît immédiatement les signes et débranche le commutateur réseau du bureau en moins de dix minutes, avant d'appeler son fournisseur TI. Grâce à des sauvegardes hors ligne testées mensuellement, la restauration des systèmes critiques prend 18 heures, avec un temps d'arrêt total des opérations de 26 heures. La rançon demandée s'élevait à 45 000 $ CAD en cryptomonnaie ; elle n'a pas été payée. Le coût total de l'incident (intervention d'urgence, forensique léger, heures supplémentaires, communication aux clients touchés) s'est élevé à environ 19 000 $ CAD, en grande partie couvert par la police de cyberassurance du cabinet.

Cas 2 — Manufacturier de pièces industrielles, Sherbrooke, 62 employés

L'attaque débute un vendredi en fin de journée, quand peu d'employés sont présents pour la remarquer rapidement. Le rançongiciel se propage pendant près de six heures avant sa découverte le lendemain matin, atteignant le serveur de production ainsi que le système ERP de l'entreprise. Sans plan d'intervention préétabli, la direction perd un temps précieux à évaluer la situation en interne avant d'appeler un technicien externe, retardant le confinement de près de quatre heures supplémentaires. Le temps d'arrêt total atteint 96 heures (quatre jours ouvrables complets), incluant l'arrêt de la ligne de production. La rançon demandée était de 180 000 $ CAD ; après négociation assistée par une firme spécialisée mandatée par l'assureur, un montant réduit de 65 000 $ CAD a finalement été payé, faute de sauvegardes complètes et récentes du système ERP. Le coût total de l'incident, incluant la rançon, l'intervention forensique, la perte de production et la restauration complète des systèmes, a dépassé 310 000 $ CAD.

Cas 3 — Clinique dentaire multi-sites, Laval et Gatineau, 8 employés par succursale

Une réceptionniste de la succursale de Laval remarque des fichiers de dossiers patients renommés avec une extension inconnue en fin de matinée. Le réseau des deux succursales étant relié par un lien VPN permanent, l'attaque menace de se propager rapidement vers Gatineau. La responsable de la clinique appelle immédiatement la ligne d'urgence de son fournisseur TI, qui coupe à distance le lien VPN entre les deux sites en moins de vingt minutes, confinant l'attaque à la seule succursale de Laval. Comme des données de santé de patients sont potentiellement touchées, un avocat spécialisé est consulté dès la sixième heure, confirmant l'obligation de notification sous la Loi 25 en raison du risque de préjudice sérieux pour les patients concernés. Le temps d'arrêt à Laval s'élève à 31 heures, avec une restauration complète en 4 jours grâce à des sauvegardes quotidiennes hors ligne. Aucune rançon n'a été payée. Le coût total, incluant la notification légale aux patients touchés, l'intervention technique et l'accompagnement juridique, s'est élevé à environ 27 500 $ CAD.

Faut-il payer la rançon ?

C'est la question la plus chargée émotionnellement de toute la crise, et il n'existe pas de réponse universelle simple — mais il existe une position claire des autorités canadiennes : le Centre canadien pour la cybersécurité et la Gendarmerie royale du Canada recommandent généralement de ne pas payer la rançon. Cette position repose sur plusieurs constats documentés.

Premièrement, le paiement d'une rançon ne garantit absolument pas la récupération des données. Des entreprises ayant payé intégralement le montant demandé ont reçu des clés de déchiffrement défectueuses, partielles, ou n'ont tout simplement plus eu de nouvelles des attaquants une fois le paiement effectué. Deuxièmement, payer signale à l'écosystème criminel qu'une entreprise est disposée à payer, ce qui augmente statistiquement le risque d'une seconde attaque par le même groupe ou un groupe affilié dans les mois suivants. Troisièmement, chaque paiement de rançon finance directement les capacités opérationnelles de groupes criminels organisés, alimentant le développement de nouvelles souches de rançongiciels et le recrutement de nouveaux affiliés.

Cela dit, la réalité opérationnelle d'une PME n'est pas toujours aussi tranchée que la recommandation officielle. Une entreprise sans aucune sauvegarde fonctionnelle, confrontée à la perte totale et irréversible de données essentielles à sa survie (dossiers clients, données financières historiques, propriété intellectuelle), peut se retrouver dans une situation où le paiement devient une option sérieusement envisagée malgré les risques. C'est précisément pour cette raison que la décision ne doit jamais être prise seule, sous le choc, dans les premières heures. Elle doit être évaluée avec :

• Votre assureur cyber, qui dispose souvent d'une expertise de négociation et peut couvrir tout ou partie du paiement selon les termes de votre police
• Un avocat spécialisé, qui peut identifier des enjeux légaux liés au paiement (sanctions internationales visant certains groupes criminels, par exemple)
• Un spécialiste forensique, qui peut confirmer s'il existe déjà un outil de déchiffrement public pour la souche de rançongiciel identifiée — ce qui arrive plus souvent qu'on ne le croit pour certaines familles de rançongiciels plus anciennes

Dans tous les cas, la meilleure protection contre cette question déchirante reste préventive : des sauvegardes hors ligne, testées régulièrement, qui rendent la question du paiement largement théorique plutôt que vitale.

Combien coûte une intervention d'urgence : budget en dollars canadiens

Un des aspects les moins bien compris d'une attaque ransomware est son coût réel, souvent bien au-delà du montant de la rançon elle-même — surtout lorsque la rançon n'est pas payée du tout. Voici des fourchettes réalistes pour une PME québécoise, basées sur des interventions typiques observées dans le marché.

Ces coûts n'incluent pas la TPS et la TVQ applicables sur les services professionnels facturés au Québec, à prévoir dans votre budget de gestion de crise. Une police de cyberassurance adaptée à la taille de votre entreprise permet généralement d'absorber une part importante de ces dépenses — un sujet couvert en détail dans notre guide complet sur la cyberassurance PME au Québec.

Ressources gouvernementales pour les PME touchées

Les PME québécoises victimes d'une cyberattaque ne sont pas seules face aux démarches administratives et financières qui suivent. Plusieurs organismes publics offrent du soutien concret.

Banque de développement du Canada (BDC)

La BDC propose du financement spécifique aux PME pour renforcer leur cybersécurité après un incident, ainsi que des services-conseils en gestion des risques technologiques. Une entreprise qui doit investir rapidement dans la restauration de son infrastructure et le renforcement de sa sécurité peut évaluer les options de prêt adaptées offertes par la BDC, plutôt que de puiser uniquement dans ses liquidités d'exploitation.

Investissement Québec

Investissement Québec propose des programmes de soutien à la transformation numérique qui incluent, selon les cycles de financement en vigueur, des volets liés à la cybersécurité et à la résilience technologique des PME québécoises. Ces programmes peuvent alléger le fardeau financier du renforcement de la sécurité recommandé après un incident, un investissement souvent négligé faute de budget avant qu'une attaque ne survienne.

Commission d'accès à l'information du Québec (CAI)

La CAI publie des guides gratuits et détaillés sur les obligations de notification en cas d'incident de confidentialité sous la Loi 25, incluant des modèles de formulaires de déclaration et des critères précis pour évaluer si un incident présente un « risque de préjudice sérieux » déclenchant l'obligation de notification. Consulter ces ressources directement sur le site de la CAI, en complément de l'avis d'un avocat, permet de mieux comprendre le cadre légal applicable à votre situation. Notre guide sur la conformité à la Loi 25 pour les PME détaille ces obligations plus en profondeur.

Erreurs fréquentes qui aggravent la situation

Au-delà des erreurs déjà mentionnées (éteindre les machines, payer sans consulter l'assureur, nettoyer soi-même les fichiers suspects), plusieurs autres réflexes courants aggravent inutilement une situation déjà difficile.

Attendre « pour être certain » avant d'agir. Un délai de quelques heures passé à confirmer si l'incident est « vraiment grave » avant d'appeler un technicien laisse le temps au rançongiciel de se propager davantage. En cas de doute, agissez comme si la situation était grave — le coût d'un faux positif (appeler un technicien pour un incident finalement mineur) est négligeable comparé au coût d'un délai face à une attaque réelle.

Restaurer les systèmes sans avoir éliminé la cause de l'infection. Restaurer rapidement des fichiers à partir d'une sauvegarde sur un système encore compromis par le vecteur d'infection initial (un accès distant mal sécurisé, un compte compromis) mène souvent à une réinfection immédiate, parfois en quelques heures seulement.

Négliger la communication avec les employés. Le silence total pendant une crise engendre des rumeurs, de l'anxiété et parfois des comportements risqués (employés qui tentent de « aider » en accédant eux-mêmes aux systèmes touchés). Une communication sobre, factuelle et régulière limite ces risques.

Considérer l'incident comme terminé une fois les systèmes restaurés. La restauration technique n'est que la moitié du travail. Une revue post-incident approfondie — identifiant le vecteur d'entrée initial, les lacunes de sécurité exploitées et les mesures correctives nécessaires — est essentielle pour éviter une répétition, un risque statistiquement élevé pour les entreprises déjà ciblées une première fois.

Se préparer avant qu'une attaque ne survienne

Ce guide se concentre sur la réaction dans les 24 heures suivant une attaque, mais la meilleure version de ce scénario est celle qui ne se produit jamais, ou qui se résout en quelques heures grâce à une préparation adéquate. Un plan de réponse aux incidents écrit à l'avance, testé au moins une fois par année, avec les numéros de téléphone d'urgence (technicien, assureur, avocat) déjà identifiés et accessibles même si le réseau de l'entreprise est hors ligne, transforme une crise chaotique en une procédure méthodique. Des sauvegardes hors ligne testées régulièrement demeurent la mesure individuelle la plus déterminante pour limiter à la fois le temps d'arrêt et la tentation de payer une rançon. Notre guide sur le ransomware et comment protéger votre PME couvre en détail ces mesures préventives.

Questions fréquentes — Que faire après une attaque ransomware