Une PME victime d’un ransomware ne manque pas seulement de fichiers. Elle peut perdre l’accès à sa messagerie, son ERP, ses dossiers partagés, son logiciel métier et parfois sa téléphonie. Dans ce cas de sauvegarde après ransomware, la question n’est pas simplement de restaurer des données : il faut remettre l’activité en route sans réintroduire l’attaque dans le système.
La sauvegarde est souvent présentée comme la dernière ligne de défense. C’est vrai, à condition qu’elle soit isolée, contrôlée et réellement restaurable. Une copie de fichiers connectée en permanence au réseau, ou une sauvegarde jamais testée, peut donner un faux sentiment de sécurité. Pour une direction de PME, l’enjeu est concret : combien de temps l’entreprise peut-elle fonctionner sans ses outils, et quelles données peut-elle se permettre de perdre ?
Après un ransomware, ne restaurez pas dans l’urgence
Le premier réflexe consiste à arrêter la propagation. Les postes et serveurs suspectés doivent être isolés du réseau, y compris des accès Wi-Fi et VPN. Il ne faut pas supprimer des fichiers, redémarrer systématiquement les équipements ni lancer une restauration à l’aveugle. Ces actions peuvent détruire des éléments utiles à l’analyse ou écraser des données encore récupérables.
La seconde étape est de qualifier l’incident. Quels systèmes sont chiffrés ? Quels comptes ont été utilisés ? Depuis quand l’attaquant est-il potentiellement présent ? Les sauvegardes ont-elles été touchées, supprimées ou chiffrées ? Cette phase permet de choisir un point de restauration antérieur à la compromission, pas seulement antérieur à l’apparition du message de rançon.
Un ransomware peut rester discret plusieurs jours, voire plusieurs semaines, avant le chiffrement. Restaurer la sauvegarde de la veille est donc parfois insuffisant. Si l’attaque a commencé par le vol d’un identifiant administrateur, une restauration trop récente peut rétablir une porte d’entrée toujours active.
Préserver les preuves et organiser la réponse
Même pour une structure de taille modeste, il est utile de conserver les messages de rançon, les journaux disponibles, les noms des fichiers chiffrés et les éléments suspects. Ils aideront le prestataire informatique, l’assureur cyber le cas échéant, ainsi que les autorités compétentes si un signalement est nécessaire.
En parallèle, désignez une personne pour centraliser les décisions et la communication. Les collaborateurs doivent savoir quels outils ne plus utiliser, comment traiter les demandes clients et vers qui remonter un comportement inhabituel. Dans une crise, des consignes simples évitent que chacun cherche une solution de son côté.
Quelle sauvegarde après ransomware peut réellement sauver l’activité ?
Une stratégie efficace repose sur plusieurs copies, stockées sur des supports distincts, dont au moins une copie hors site et isolée. Cette logique limite le risque qu’un même ransomware chiffre à la fois les données de production et leur sauvegarde. L’immuabilité ajoute une protection importante : pendant une durée définie, les sauvegardes ne peuvent ni être modifiées ni supprimées, même avec des droits élevés.
Cependant, il n’existe pas de modèle unique. Une agence qui travaille principalement dans des outils cloud n’aura pas les mêmes priorités qu’un cabinet utilisant un serveur de fichiers, un logiciel comptable local et des dossiers clients sensibles. La fréquence de sauvegarde dépend du volume de données créé, mais aussi du coût réel d’une perte de quelques heures de travail.
Pour une PME, les points suivants doivent être définis clairement :
- le délai de reprise acceptable pour chaque service critique ;
- la perte de données acceptable entre deux sauvegardes ;
- les applications, serveurs et postes réellement prioritaires ;
- les personnes autorisées à lancer ou valider une restauration ;
- la durée de conservation nécessaire pour revenir avant une compromission ancienne.
Ces choix correspondent à deux indicateurs opérationnels. Le RTO définit le temps maximum acceptable pour remettre un service en fonctionnement. Le RPO définit la quantité maximale de données que l’entreprise accepte de perdre. Sans ces repères, une sauvegarde peut être techniquement correcte mais insuffisante pour les besoins métiers.
La sauvegarde cloud ne dispense pas de vérifier les données
Les outils collaboratifs cloud réduisent certains risques d’infrastructure, mais ils ne remplacent pas automatiquement une politique de sauvegarde. La suppression accidentelle, le chiffrement de fichiers synchronisés ou la compromission d’un compte peuvent se propager dans les espaces de travail. Il faut connaître précisément les mécanismes de rétention disponibles et vérifier qu’ils correspondent aux obligations de l’entreprise.
La protection doit aussi couvrir les configurations utiles à la reprise : machines virtuelles, paramètres réseau, annuaires, partages, bases de données, messagerie et, selon l’environnement, configuration de téléphonie IP. Retrouver les documents sans pouvoir rétablir les accès utilisateurs ou les services métiers ne suffit pas à reprendre normalement.
Restaurer dans un environnement assaini
Avant de remettre les données en production, il faut supprimer la cause de l’incident. Les systèmes compromis sont analysés, les mots de passe à privilèges sont renouvelés, les accès distants sont vérifiés et les correctifs nécessaires sont appliqués. L’authentification multifacteur doit être activée partout où elle est disponible, en priorité sur la messagerie, les VPN, les comptes d’administration et les services cloud.
La restauration se fait idéalement dans un environnement séparé ou contrôlé. Cela permet de vérifier que les données sont exploitables, que les applications démarrent et qu’aucun signe de chiffrement ou de compromission ne réapparaît. On commence par les services indispensables : identité et accès, réseau, logiciel métier, données opérationnelles, messagerie, puis les systèmes secondaires.
Cette hiérarchisation évite de consacrer des heures à restaurer des archives alors que les équipes ne peuvent toujours pas travailler. Elle facilite aussi une reprise progressive : un petit groupe valide les outils restaurés avant de réouvrir l’accès à toute l’entreprise.
Tester ne veut pas dire regarder un rapport vert
Un rapport indiquant « sauvegarde réussie » confirme qu’une tâche s’est exécutée. Il ne prouve pas que les données peuvent être restaurées dans les délais prévus. Seul un test de restauration apporte cette preuve.
Un test utile doit aller au-delà de la récupération d’un document isolé. Il doit vérifier l’ouverture d’une base de données, la cohérence d’un dossier partagé, le démarrage d’une application métier et la capacité d’un utilisateur à retrouver ses accès. Pour les systèmes critiques, simuler une restauration complète au moins une fois par an permet de mesurer le temps réel de reprise et d’identifier les dépendances oubliées.
Les résultats doivent être documentés : durée observée, problèmes rencontrés, point de restauration retenu et actions correctives. Ce retour d’expérience transforme la sauvegarde en dispositif de continuité d’activité, plutôt qu’en simple obligation technique.
Les erreurs qui prolongent l’arrêt de production
La première erreur consiste à payer ou à négocier avant d’avoir évalué les possibilités de reprise. Le paiement d’une rançon ne garantit ni l’obtention d’une clé de déchiffrement fonctionnelle, ni la suppression des données volées, ni l’absence de nouvelle attaque. La décision relève de la direction, avec ses conseils juridiques et son assureur, mais elle ne doit pas remplacer l’analyse technique.
La deuxième erreur est de restaurer tout le système sans changer les identifiants ni corriger les failles exploitées. Si le compte compromis reste actif, l’attaquant peut revenir immédiatement. La troisième est de sous-estimer les équipements périphériques : NAS, postes d’administration, partages synchronisés, outils de supervision ou comptes de service peuvent contenir la persistance recherchée par les cybercriminels.
Enfin, la communication ne doit pas être improvisée. Les clients et partenaires ont surtout besoin de savoir si les échanges sont possibles, quels délais sont affectés et quel canal utiliser temporairement. Un message factuel protège mieux la relation qu’un silence prolongé ou des informations contradictoires.
Faire de la sauvegarde un service de continuité
Pour beaucoup de PME, maintenir seules les règles de sauvegarde, les contrôles de sécurité, les alertes et les tests de restauration mobilise du temps qu’elles n’ont pas. Un service managé permet de superviser les tâches, d’alerter en cas d’échec et d’organiser des restaurations contrôlées. Avec MeoSecurity, cette protection peut s’intégrer à une gestion plus large des postes, des serveurs, du réseau et des utilisateurs.
L’intérêt est aussi organisationnel. Le jour où survient l’incident, les responsabilités, les accès d’urgence et l’ordre de reprise sont déjà définis. La PME ne cherche pas un intervenant dans l’urgence : elle s’appuie sur un dispositif connu, documenté et adapté à ses usages.
La meilleure sauvegarde après ransomware est celle dont la restauration a été testée avant la crise, sur les données et les applications qui font réellement vivre l’entreprise. Préparer ce scénario maintenant laisse à vos équipes une seule priorité le jour venu : poursuivre leur activité avec le moins d’interruptions possible.
