CryptoLocker rend la perte particulièrement frustrante : les fichiers sont encore là, mais leur contenu est chiffré avec une clé que la victime ne possède pas. Le logiciel malveillant arrive souvent par pièce jointe ou téléchargement, s’exécute dans le contexte de l’utilisateur, parcourt les disques et partages accessibles, puis remplace le contenu.

Le chiffrement moderne n’est pas réalistement cassé par essais. L’attaquant génère ou obtient une clé, chiffre les fichiers avec un algorithme symétrique rapide, puis protège cette clé avec sa clé publique. Sans la clé privée, restaurer les données reste la voie raisonnable.

Une sauvegarde connectée peut être touchée elle aussi

Le scénario de reprise devrait couvrir :

1. détecter une hausse anormale de fichiers modifiés ou d’extensions inconnues;
2. isoler le poste du réseau sans l’éteindre aveuglément;
3. identifier compte, partages et première heure d’activité;
4. désactiver les accès compromis;
5. préserver preuves et liste des fichiers;
6. reconstruire le poste depuis une image saine;
7. restaurer une copie antérieure à l’infection;
8. valider avec les propriétaires avant de rouvrir.

Un disque de sauvegarde toujours monté avec des droits d’écriture ressemble à un autre dossier pour le rançongiciel. Une copie hors ligne ou immuable empêche le compte compromis de réécrire toutes les générations. La règle 3-2-1 donne un bon minimum : trois copies, deux supports, une hors site ou hors ligne.

La réplication n’est pas une sauvegarde. Elle propage rapidement les fichiers chiffrés. Le versionnage peut aider si les anciennes versions restent protégées et assez longtemps. Le RPO fixe la perte acceptable; le RTO inclut inventaire, reconstruction, restauration et validation, pas seulement le temps de copier.

Réduire le rayon d’action

L’utilisateur ne devrait écrire que dans les partages nécessaires. Les comptes administrateurs restent séparés, les macros et exécutables provenant du courriel sont filtrés, les correctifs réduisent les chemins d’entrée et les journaux de fichiers partent vers un système central. Une alerte sur mille renommages en une minute vaut mieux qu’attendre l’appel.

Il faut préparer la communication : qui décide d’isoler un partage, qui informe les équipes et qui autorise la remise en ligne. Restaurer trop vite sur un environnement encore compromis chiffre la copie une deuxième fois. Les sauvegardes elles-mêmes sont scannées et leur accès audité.

Calculer la capacité de restauration

Restaurer vingt téraoctets sur un lien de 200 Mbit/s prend théoriquement plus de neuf jours avant même la vérification. Je mesurerais débit réel, nombre de fichiers et temps de reconstruction des permissions, puis classerais les données par priorité. Les applications critiques reviennent avec un jeu minimal; les archives suivent. Un catalogue indique dépendances : l’ERP ne sert à rien si l’annuaire ou les clés manquent. Pendant l’exercice, l’équipe note les commandes, durées et erreurs afin de corriger le runbook. Ce calcul transforme un RTO de quatre heures écrit dans une politique en architecture de stockage, bande passante et ordre de reprise capables de le respecter.

Je sélectionnerais chaque trimestre un dossier, simulerais sa corruption à une heure précise et chronométrerais son retour sur une machine propre. Le test doit vérifier permissions, versions et dépendances, pas seulement ouvrir un fichier. Une sauvegarde devient une capacité lorsque l’équipe sait exactement jusqu’où elle peut remonter et combien de temps elle prendra.