Objectifs pédagogiques
- Décrire les étapes classiques d'une attaque par rançongiciel
- Identifier les signaux précurseurs
- Connaître les gestes à faire — et à ne pas faire — en cas de suspicion
Une chaîne, pas un événement
Accès initial (hameçonnage, accès distant exposé, tiers compromis), élévation de privilèges, reconnaissance, exfiltration des données, puis chiffrement. Le chiffrement est la dernière étape, souvent après plusieurs jours de présence.
La double extorsion
Les données sont exfiltrées avant d'être chiffrées : payer ne garantit ni la restitution, ni l'absence de publication. Le paiement finance en outre l'écosystème criminel.
Les premières minutes
Isoler le poste du réseau sans l'éteindre, alerter, ne rien supprimer. L'extinction détruit des éléments volatils essentiels à l'investigation.
Cas concrets
- — Une connexion d'administration exposée sur Internet, sans MFA, sert d'accès initial exploité trois semaines avant le chiffrement.
- — Un compte de prestataire compromis permet l'accès aux sauvegardes, chiffrées en priorité.
À retenir
- · La détection précoce évite le chiffrement
- · Isoler sans éteindre, alerter, préserver les traces
- · Le paiement n'est ni une garantie, ni une stratégie
Évaluation
0 questions à choix multiple, vrai/faux et mises en situation. Les questions et les réponses sont présentées dans un ordre aléatoire à chaque tentative. Le retour est immédiat après chaque réponse, corrigé sur nos serveurs.