Cette fiche s'adresse aux particuliers et petites structures sous Windows 10 ou Windows 11 dont les fichiers ont soudain été renommés, rendus illisibles et accompagnés d'une demande de rançon. Elle explique les gestes à faire dans l'ordre, pour limiter les dégâts et maximiser les chances de récupération.
Problème
Symptômes fréquents :
- Vos documents, photos ou vidéos ne s'ouvrent plus et leur nom a changé (extension inconnue ajoutée, par exemple .locked, .crypt ou une suite de lettres).
- Un fichier texte ou une image apparaît dans chaque dossier avec des instructions de paiement, souvent en cryptomonnaie.
- Le fond d'écran a été remplacé par un message de rançon.
- Le nom de la note de rançon ressemble souvent à :
README.txt / HOW_TO_DECRYPT.html / RESTORE_FILES.txt
Attention : un message qui s'affiche uniquement dans le navigateur, sans fichiers réellement chiffrés, est en général une arnaque au faux support ou une fausse alerte, pas un ransomware.
Causes fréquentes
- Pièce jointe ou lien piégé reçu par e-mail ou messagerie (fausse facture, faux colis).
- Logiciel piraté, « crack » ou faux générateur de clés téléchargé hors du site officiel.
- Bureau à distance (RDP) exposé sur Internet avec un mot de passe faible.
- Windows ou logiciels non mis à jour, dont une faille a été exploitée.
Solution 1 : isoler immédiatement le PC
Solution proposée
- Débranchez le câble réseau et désactivez le Wi-Fi (ou activez le mode Avion) pour couper toute communication.
- Débranchez les disques externes, clés USB et NAS reliés au PC pour qu'ils ne soient pas chiffrés à leur tour.
- Mettez en pause la synchronisation de OneDrive, Google Drive ou Dropbox, pour éviter que les fichiers chiffrés remplacent les bonnes versions dans le cloud.
- N'éteignez pas brutalement le PC si le chiffrement semble terminé : laissez-le hors réseau, le temps de noter les informations de l'étape suivante.
Attention : ne payez pas la rançon. Rien ne garantit la remise d'une clé fonctionnelle, et le paiement finance de nouvelles attaques.
Solution 2 : noter les preuves et signaler l'attaque
Solution proposée
- Photographiez l'écran et la note de rançon avec votre téléphone, et notez l'extension ajoutée aux fichiers.
- Conservez sans les ouvrir la note de rançon et un ou deux fichiers chiffrés (sur une clé USB dédiée) : ils serviront à identifier le ransomware.
- En France, faites-vous aider gratuitement et suivez la fiche réflexe officielle : Rançongiciels : que faire ? (Cybermalveillance.gouv.fr) ou la plateforme d'assistance 17Cyber.
- Portez plainte au commissariat ou à la gendarmerie (ou en ligne via Ma Sécurité), surtout si des données personnelles de tiers sont concernées.
Solution 3 : identifier le ransomware et chercher un déchiffreur gratuit
Solution proposée
- Depuis un autre appareil sain, ouvrez ID Ransomware et envoyez la note de rançon ou un fichier chiffré : le site indique le nom du ransomware.
- Consultez ensuite le projet officiel No More Ransom, soutenu par Europol et les polices européennes : il propose des outils de déchiffrement gratuits pour de nombreuses familles de ransomwares.
- Si un déchiffreur existe, téléchargez-le uniquement depuis No More Ransom ou le site de l'éditeur de sécurité indiqué, et lisez sa notice avant de l'utiliser.
Astuce : si aucun déchiffreur n'existe aujourd'hui, gardez une copie des fichiers chiffrés. Des clés sont parfois publiées des mois plus tard.
Solution 4 : supprimer le ransomware du PC
Solution proposée
Étape 1 : Toujours hors réseau, lancez une analyse hors ligne de Microsoft Defender, qui redémarre le PC pour analyser Windows avant son chargement complet :
Sécurité Windows > Protection contre les virus et menaces > Options d'analyse > Analyse Microsoft Defender Antivirus (hors ligne)Étape 2 : Faites ensuite une seconde analyse avec un autre outil reconnu, par exemple Télécharger Malwarebytes (site officiel), téléchargé depuis un appareil sain puis copié sur clé USB.
Étape 3 : Changez ensuite, depuis un appareil sain, les mots de passe de vos comptes importants (messagerie, banque, réseaux sociaux), car certains ransomwares volent aussi des identifiants.
Guide officiel : Protection contre les virus et les menaces dans Sécurité Windows (support Microsoft).
Attention : supprimer le ransomware ne déchiffre pas les fichiers. Le plus sûr reste souvent de réinstaller complètement Windows une fois les preuves et fichiers chiffrés copiés.
Solution 5 : restaurer vos fichiers depuis une sauvegarde
Solution proposée
- Ne branchez votre disque de sauvegarde qu'une fois le PC nettoyé ou réinstallé, sinon il risque d'être chiffré à son tour.
- Si vos fichiers étaient sur OneDrive, utilisez la restauration de l'espace à une date antérieure à l'attaque : Restaurer votre espace OneDrive (support Microsoft) et Détecter les rançongiciels et récupérer des fichiers avec OneDrive (support Microsoft).
- Pour Google Drive ou Dropbox, utilisez l'historique des versions de chaque fichier ou la restauration du compte proposée par le service.
- Vérifiez quelques fichiers restaurés (ouverture normale) avant de supprimer définitivement les copies chiffrées.
Résultat attendu : vos documents s'ouvrent de nouveau normalement depuis la sauvegarde ou la version antérieure.
Méthode avancée : réinstaller Windows proprement
- Une réinstallation complète est la seule façon d'être certain qu'aucun élément malveillant ne reste caché. Créez le support depuis un PC sain via la page officielle Télécharger Windows 11.
- Pendant l'installation, supprimez les partitions du disque système pour repartir de zéro, puis installez immédiatement toutes les mises à jour.
- Les « clichés instantanés » de Windows (versions précédentes des fichiers) sont presque toujours supprimés par les ransomwares, mais vous pouvez vérifier dans l'Explorateur : clic droit sur un dossier > Propriétés > onglet Versions précédentes.
Récapitulatif
| Situation | À faire en priorité |
|---|---|
| Chiffrement en cours ou découvert | Solution 1 (isoler) |
| Besoin d'aide ou de porter plainte | Solution 2 |
| Pas de sauvegarde | Solution 3 (déchiffreur) |
| PC à nettoyer | Solution 4 ou réinstallation |
| Sauvegarde ou OneDrive disponible | Solution 5 |
Pour éviter ce souci à l'avenir
- Faites des sauvegardes régulières sur un disque externe débranché après usage, en plus d'un stockage cloud : Sauvegarder et restaurer avec Sauvegarde Windows (support Microsoft).
- Activez l'Accès contrôlé aux dossiers dans Sécurité Windows (Protection contre les virus et menaces > Protection contre les ransomware), qui empêche les programmes inconnus de modifier vos dossiers importants.
- Gardez Windows et vos logiciels à jour, n'ouvrez pas les pièces jointes inattendues et n'installez jamais de logiciels piratés.
Vérifier que c'est réglé
- ☐ Le PC est nettoyé ou réinstallé, et les analyses antivirus ne détectent plus rien.
- ☐ Vos fichiers importants s'ouvrent normalement après restauration.
- ☐ Une sauvegarde déconnectée et l'Accès contrôlé aux dossiers sont en place.
Vous êtes victime d'un ransomware et ne savez pas comment avancer ? Répondez à ce sujet avec votre version de Windows, l'extension ajoutée aux fichiers, le nom de la note de rançon, le résultat d'ID Ransomware, l'existence ou non d'une sauvegarde et les étapes déjà réalisées, avec la fiche de diagnostic. Ne publiez jamais de données personnelles ni le contenu de vos fichiers.
💡 Pour plus de confort au quotidien sur votre PC, n'hésitez pas à essayer nos outils gratuits : Eyes Guard, Gaming Booster, Driver Detect et PC Confort Center.