Sur le PC d'un employé, les extensions des fichiers changent les unes après les autres et un écran exigeant une rançon apparaît. Quelle est la première action la plus appropriée pour cet employé ?

Réponse : A. Déconnecter le PC du réseau, par exemple en débranchant le câble LAN et en coupant le LAN sans fil, noter ce qui est affiché à l'écran et les autres détails, et signaler immédiatement l'incident au point de contact désigné (comme le CSIRT)

Lorsqu'on soupçonne une infection par rançongiciel, il faut d'abord déconnecter le PC du réseau pour que les dégâts ne s'étendent pas à d'autres PC ou aux serveurs de fichiers. Ensuite, on note l'écran affiché, l'heure à laquelle on s'en est aperçu, les e-mails ou fichiers ouverts juste avant, etc., et l'on signale rapidement l'incident au point de contact désigné par l'organisation (le CSIRT ou le service informatique). La décision d'éteindre ou non l'appareil doit suivre les procédures de l'organisation ou les instructions du point de contact, car des indices utiles à l'enquête présents en mémoire peuvent être perdus. Une réinitialisation immédiate détruit les indices (journaux et traces dans les fichiers) nécessaires pour trouver le chemin d'intrusion et ce qui a été volé d'autre, et laisse subsister le risque d'une nouvelle intrusion par le même chemin. Retarder le signalement laisse les dégâts s'étendre entre-temps. Comme une enquête reconstitue chronologiquement ce qui s'est passé en recoupant les journaux de chaque appareil, il est important, en temps normal, de synchroniser les horloges de tous les appareils (avec NTP, par exemple) et de conserver les journaux pendant une durée définie dans un endroit séparé où ils sont difficiles à falsifier.