Ransomware : peut-on récupérer ses fichiers chiffrés ?

Un rançongiciel chiffre vos fichiers avec un algorithme robuste (souvent une combinaison AES pour les données et RSA pour protéger la clé). Concrètement, vos documents, photos et bases de données sont renommés avec une extension caractéristique (.locked, .encrypted et bien d’autres selon la souche) et deviennent illisibles. Un fichier texte ou une page HTML apparaît sur le bureau pour exiger une rançon et fixer un délai.

La plupart des souches modernes suppriment aussi les clichés instantanés de Windows pour empêcher une restauration facile, et certaines se propagent aux disques réseau, clés USB et sauvegardes connectées. C’est pourquoi une contamination peut, en quelques minutes, toucher bien plus que le poste d’origine. Quand la note apparaît, le chiffrement est déjà appliqué : supprimer le virus ne rend pas les fichiers lisibles.

La priorité est donc de limiter la casse et d’évaluer vos vraies options de récupération.

La rapidité et le calme comptent plus que tout. Un, isolez le poste : coupez le Wi-Fi et débranchez le câble réseau pour stopper la propagation vers les autres appareils et les partages. Deux, ne payez pas : rien ne garantit de récupérer la clé, et payer finance l’attaque suivante.

Trois, ne reformatez pas immédiatement et ne réinstallez pas Windows par-dessus : vous détruiriez des pistes de récupération. Quatre, photographiez la note de rançon et notez l’extension ajoutée à vos fichiers : ces éléments servent à identifier la souche. Cinq, débranchez vos sauvegardes et disques externes encore sains pour qu’ils ne soient pas chiffrés à leur tour.

Ne connectez plus aucun support de valeur au poste infecté tant qu’il n’est pas maîtrisé.

La réponse dépend entièrement de la souche. Pour certains ransomwares anciens ou mal programmés, des outils de déchiffrement gratuits existent : le projet No More Ransom, porté par Europol et des éditeurs de sécurité, met à disposition des décrypteurs légitimes, et des services comme ID Ransomware permettent d’identifier la famille à partir d’un fichier chiffré et de la note.

Si votre souche y figure, la récupération peut être totale et gratuite. En revanche, les familles récentes utilisant un chiffrement correctement implémenté sont, en l’état des connaissances, indéchiffrables sans la clé des attaquants : aucun logiciel « miracle » payant ne contourne des mathématiques solides, et se méfier de ces offres est un bon réflexe.

Nous vérifions systématiquement l’existence d’un décrypteur officiel avant toute autre piste : c’est gratuit, sans risque, et parfois cela suffit. Quand ce n’est pas le cas, on se tourne vers les sauvegardes et les fichiers résiduels.

Les autorités françaises, dont la plateforme Cybermalveillance.gouv.fr, déconseillent fermement de payer. D’abord parce que vous traitez avec des criminels : rien ne garantit qu’ils enverront une clé fonctionnelle, et de nombreuses victimes paient sans récupérer leurs données. Ensuite parce que le paiement finance directement l’écosystème cybercriminel et encourage de nouvelles attaques, y compris une seconde vague contre vous, désormais identifié comme payeur.

Enfin, selon les cas, le règlement d’une rançon peut poser des questions juridiques, notamment lorsque des sanctions internationales visent le groupe concerné. Plutôt que de payer, signalez l’incident, conservez les preuves et concentrez vos moyens sur la reconstruction propre et la restauration depuis vos sauvegardes. Si vous êtes une entreprise ou un indépendant, cette démarche est aussi une obligation de diligence vis-à-vis de vos clients. Nous vous accompagnons dans ces étapes, sans jamais vous pousser vers un paiement.

En pratique, la récupération repose sur plusieurs leviers cumulables. Le plus fiable reste une sauvegarde hors ligne, non connectée au moment de l’infection : on repart d’une copie saine après désinfection complète du poste. Deuxième piste, les clichés instantanés (Volume Shadow Copy) : quand le ransomware n’a pas réussi à les effacer, on restaure des versions antérieures.

Troisième piste, les copies cloud versionnées (OneDrive, Google Drive et équivalents), qui conservent souvent un historique récupérable. Quatrième piste, plus technique : certaines souches créent une copie chiffrée puis suppriment l’original sans l’écraser, ce qui rend une partie des fichiers d’origine récupérables comme des fichiers supprimés, sur une image du disque. Nous travaillons toujours sur une copie pour ne rien détériorer.

Le taux de succès varie fortement selon la souche et l’hygiène de sauvegarde ; le diagnostic gratuit évalue honnêtement ce qui est réaliste dans votre cas.

Un incident ransomware se déclare. Rendez-vous sur Cybermalveillance.gouv.fr pour un accompagnement gratuit et la mise en relation avec des prestataires référencés, et déposez plainte auprès de la police ou de la gendarmerie avec vos preuves (note, fichiers chiffrés, journaux). Si des données personnelles sont concernées dans un cadre professionnel, une notification à la CNIL peut être obligatoire dans un délai de 72 heures au titre du RGPD.

Côté reconstruction, on repart d’une installation propre, on met à jour le système et les logiciels, on active l’authentification à deux facteurs sur les comptes sensibles et on remet en place une sauvegarde 3-2-1 déconnectée. C’est cette combinaison, plutôt qu’un antivirus seul, qui vous protège durablement. DigiRepair réalise la désinfection, la réinstallation propre et la reconfiguration des sauvegardes pour repartir sur des bases saines.