Vos documents s'appellent maintenant facture.pdf.locked, photo.jpg.encrypted, ou pire, une suite de caractères aléatoires. Un fichier texte apparu sur le Bureau réclame un paiement en cryptomonnaie. Vos fichiers ont été chiffrés par un rançongiciel — que faire, et dans quel ordre ? L'ordre compte : une mauvaise manipulation dans le premier quart d'heure peut supprimer vos dernières chances de récupération.
1. Isolez la machine — et surtout ne l'éteignez pas
Le chiffrement d'un poste n'est souvent que la première étape : beaucoup de rançongiciels cherchent ensuite les lecteurs réseau, les NAS et les autres ordinateurs accessibles. Débranchez le câble Ethernet, coupez le Wi-Fi (icône réseau de la barre des tâches, puis Mode Avion), retirez les disques externes et clés USB, prévenez les autres utilisateurs.
En revanche, résistez au réflexe d'éteindre. La fiche réflexe de Cybermalveillance.gouv.fr est explicite : n'éteignez pas les machines touchées, sous peine d'effacer des preuves contenues dans leur mémoire. Dans certains cas — pas tous — la clé de chiffrement s'y trouve encore. Ne réinstallez pas Windows non plus : vous détruiriez les fichiers chiffrés et la note, indispensables pour identifier la souche et porter plainte.
L'accès contrôlé aux dossiers protège vos fichiers là où ils sont : sur le PC. Il n'en fabrique pas de deuxième copie. Norton 360 Standard ajoute une sauvegarde en ligne qui n'apparaît pas comme un lecteur du PC — donc pas dans la liste que parcourt un rançongiciel.
2. Ne payez pas — et ce que la loi française impose vraiment
C'est la position constante des autorités françaises. Deux raisons, et une obligation. D'abord, payer n'achète pas une garantie : les outils remis par les attaquants sont parfois lents, partiels ou défaillants — quand ils le sont. Ensuite, un paiement vous désigne comme cible solvable, et des victimes ont été frappées deux fois.
L'obligation, elle, ne concerne pas les particuliers. L'article L. 12-10-1 du code des assurances, issu de la loi LOPMI et applicable depuis avril 2023, subordonne l'indemnisation d'un sinistre cyber au dépôt d'une plainte dans les 72 heures suivant la connaissance de l'atteinte — uniquement pour les personnes morales et les personnes physiques agissant à titre professionnel. Porter plainte reste utile à tous.
3. Identifiez la souche : trois indices suffisent
- L'extension ajoutée à vos fichiers (.locked, .crypt, une chaîne aléatoire…).
- Le nom exact du fichier de rançon, souvent un .txt ou un .html déposé dans chaque dossier.
- L'adresse de contact ou l'URL en .onion indiquée dans la note.
Le Crypto Sheriff, sur nomoreransom.org, accepte deux fichiers chiffrés et la note, puis vous dit si un déchiffreur existe ; ID Ransomware rend un service comparable. Ne téléversez que des fichiers sans données confidentielles.
4. Cherchez un déchiffreur gratuit
Bonne nouvelle : quand un déchiffreur existe pour votre souche, il est gratuit et il suffit. No More Ransom, lancé le 25 juillet 2016 par la police néerlandaise, Europol, Kaspersky et McAfee, met à disposition plus d'une centaine d'outils, enrichis chaque fois qu'une clé maîtresse fuite ou qu'une infrastructure criminelle tombe.
| Ressource | À quoi elle sert | Limite |
|---|---|---|
| No More Ransom (Crypto Sheriff) | Identifier la souche, télécharger un déchiffreur | Ne couvre qu'une partie des familles connues |
| Déchiffreurs des éditeurs (Kaspersky, Bitdefender, Avast, Emsisoft…) | Outils gratuits, souche par souche | À prendre sur le site de l'éditeur, pas sur un lien tiers |
| 17Cyber.gouv.fr | Diagnostic, échange avec un policier ou un gendarme | Ne déchiffre pas à votre place |
Deux mises en garde. Ne cherchez pas de « décrypteur universel » sur un moteur de recherche : ces pages sont un piège classique, et l'exécutable téléchargé est souvent un second logiciel malveillant. Et copiez les fichiers chiffrés à part avant de lancer quoi que ce soit : un outil appliqué à la mauvaise souche peut les abîmer.
5. Restaurer : pourquoi votre sauvegarde est peut-être chiffrée aussi
Le point que beaucoup découvrent trop tard : un disque externe branché en permanence n'est pas une sauvegarde, c'est un lecteur de plus. Windows lui attribue une lettre, comme au disque C:, et le rançongiciel parcourt les lecteurs. Même chose pour un NAS monté en lecteur réseau ou un cloud synchronisé : la version chiffrée remonte et écrase la bonne.
Les recours réalistes, dans l'ordre :
- Un support hors ligne : disque branché le temps de la copie, puis débranché. C'est ce qui résiste à ce genre d'attaque.
- L'historique de versions du cloud. Une nuance que peu de guides précisent : « Restaurer votre OneDrive », qui ramène tout le dossier à un point des 30 derniers jours, est réservé aux abonnés Microsoft 365. Sans abonnement, il reste l'historique fichier par fichier (jusqu'à 25 versions sur 30 jours), et Microsoft indique que la première détection de rançongiciel et la première récupération sont offertes. Google Drive et Dropbox gardent aussi des versions, sur une fenêtre limitée.
-
Les versions précédentes de Windows : clic droit sur le dossier, Propriétés, onglet Versions précédentes. Utile si la protection du système était active — mais de nombreuses souches exécutent d'abord
vssadmin delete shadows /all /quiet. Pour trancher : invite de commandes en administrateur, puisvssadmin list shadows. Si aucun élément ne satisfait la requête, l'onglet sera vide. - Les logiciels de récupération de fichiers : certaines souches chiffrent une copie puis effacent l'original sans écrasement sécurisé. Le taux de réussite est très variable, mais l'essai ne coûte rien sur une image du disque.
Avant toute restauration, nettoyez ou réinstallez le système — voir notre guide pour supprimer un virus sur un PC Windows. Remettre des fichiers sains sur une machine infectée revient à les faire chiffrer une deuxième fois.
Microsoft Defender assure déjà le socle, gratuitement. Ce qu'une suite payante ajoute se joue avant le chiffrement : blocage des sites piégés, filtrage des pièces jointes, surveillance renforcée des applications qui modifient vos documents en masse.
Voir les 14 offres6. Fichiers chiffrés par un rançongiciel : que faire quand rien ne marche ?
Souche récente, aucun déchiffreur, aucune copie hors ligne : soyons honnêtes, les chances sont faibles. Le chiffrement des familles actuelles est solide et, à notre connaissance, aucun contournement grand public n'existe.
Trois gestes restent utiles. Un : réalisez une image du disque secteur par secteur sur un support externe, puis rangez-la. Deux : conservez la note de rançon avec cette image — un déchiffreur sort parfois des mois plus tard, après le démantèlement d'un groupe, et sans elles il ne servira à rien. Trois : passez par 17Cyber.gouv.fr, qui oriente vers un policier ou un prestataire.
7. La prévention reste la réponse la plus efficace — et elle commence par du gratuit
Tout ce qui précède relève de la limitation de dégâts. L'essentiel se joue avant, et il faut le dire clairement : la mesure la plus rentable est gratuite et déjà présente dans Windows.
Microsoft Defender, intégré à Windows 10 et 11, fait de la surveillance comportementale : il n'attend pas de reconnaître un fichier connu, il observe ce que les programmes font. Il embarque surtout l'accès contrôlé aux dossiers, qui interdit aux applications non autorisées d'écrire dans vos dossiers personnels — et il est désactivé par défaut :
Paramètres > Confidentialité et sécurité > Sécurité Windows > Protection contre les virus et menaces, puis, tout en bas, Protection contre les rançongiciels > Gérer la protection contre les rançongiciels > Dispositif d'accès contrôlé aux dossiers. Bureau, Documents, Images, Vidéos, Musique et Favoris sont couverts d'office et ne peuvent pas être retirés de la liste ; ajoutez vos dossiers de travail avec Dossiers protégés.
Attendez-vous à des blocages les premiers jours, typiquement un logiciel de montage ou de sauvegarde. La bonne réaction n'est pas de désactiver la protection, mais d'ouvrir Autoriser une application via un dispositif d'accès contrôlé aux dossiers et de n'ajouter que le programme concerné.
Le reste suit : la règle 3-2-1 (trois copies, deux supports, une hors du lieu, dont une déconnectée), testée une fois par an ; les mises à jour de Windows et du navigateur ; le réflexe pièce jointe, détaillé dans nos 5 erreurs de cybersécurité à éviter en PME.
Une suite payante ajoute-t-elle quelque chose ? Oui, mais pas là où on le croit : filtrage des sites piégés en amont, restauration des fichiers touchés, parfois une sauvegarde en ligne. Bitdefender Antivirus Plus annonce Advanced Threat Defense, qui surveille le comportement des programmes, et Ransomware Remediation, qui rétablit les fichiers chiffrés pendant une attaque ; Norton 360 Standard inclut 10 Go de sauvegarde en ligne, côté Windows uniquement — utile ici parce qu'elle n'apparaît pas comme un lecteur du PC. Nos autres solutions antivirus sont là, et l'arbitrage complet dans antivirus gratuit ou payant.
Notre avis, sans détour : entre un abonnement de sécurité et un disque externe rangé dans un tiroir, prenez d'abord le disque. Des fichiers chiffrés par un rançongiciel, que faire une fois le mal fait ? Trop souvent, espérer qu'un déchiffreur finisse par sortir. Une copie débranchée, elle, répond présente le jour même.
Les conseils ci-dessus ne remplacent pas une protection à jour. C'est la mesure la plus simple et la moins coûteuse.
Voir Norton 360 Standard → Licence livrée par e-mail · support en français · paiement sécurisé