Comment Fidelilium a aidé un cabinet comptable à surmonter une attaque par ransomware et relancer son activité
La situation
Dans la nuit du 13 au 14 novembre 2024, un cabinet comptable a été frappé par un ransomware qui a paralysé l’ensemble de son activité. Les postes de travail, le serveur de production et même le serveur de sauvegarde ont été chiffrés, compromettant plus de 30 ans de données comptables clients. L’entreprise, qui utilise les solutions ACD pour ses clients actuels et SAGE Koala pour ses clients historiques, se retrouvait ainsi totalement à l’arrêt depuis 15 jours.
L’accès à distance non sécurisé, via des redirections RDP, et une infrastructure réseau non protégée par un firewall ont probablement facilité l’intrusion. Le montant de la rançon, étonnamment faible au regard de l’importance des données (0,04 BTC), laissait penser que l’attaquant ignorait la valeur réelle des informations chiffrées.
Le cabinet faisait face à un double enjeu : relancer son activité et sécuriser la vente imminente de l’entreprise, conditionnée par l’intégration complète des données dans le système du repreneur. Toute perte partielle de données aurait compromis la transaction et risquait de mettre en péril l’avenir du cabinet.
Ce que nous avons fait
Dès le premier jour, l’équipe Fidelilium a mis en place une gestion de crise efficace et structurée. Les mesures d’urgence ont été immédiates : suppression des redirections RDP, récupération et remontage des serveurs, et mise en place d’une infrastructure isolée pour préparer la reprise d’activité en mode dégradé.
Face à un serveur obsolète et des volumes de données importants (700 Go), Fidelilium a orchestré la compression et la sécurisation des données, tout en organisant la mise à disposition de nouvelles machines et d’un serveur de production identique pour un environnement de reprise.
Conscient de l’urgence et de l’importance stratégique des données, le client a choisi de payer la rançon après vérification du déchiffrement de fichiers tests. Fidelilium a accompagné chaque étape : ouverture du compte Bitcoin, validation des clés de déchiffrement et transfert sécurisé des outils nécessaires.
L’infrastructure de reprise d’activité a été déployée rapidement :
- Dézippage et application des clés de déchiffrement sur les 700 Go de données
- Scan antivirus complet
- Copie sécurisée sur le serveur de reprise hors ligne
- Intégration dans les logiciels ACD et SAGE, permettant une reprise partielle immédiate de l’activité
Grâce à cette approche, le cabinet a pu relancer ses opérations tout en sécurisant les données essentielles pour la transaction en cours. Fidelilium a également recommandé un audit complet de cybersécurité pour l’infrastructure cible afin de prévenir tout futur incident.