Informatique : réagir à un rançongiciel avant la transmission des notes
Le lycée de Douala dispose d'une salle informatique de 12 postes reliés à un seul commutateur, sans accès Internet sauf le poste du secrétariat. Les notes de trois classes sont saisies dans un tableur unique enregistré sur le poste du secrétariat ; c'est la seule copie. Les enseignants utilisent leurs propres clés USB, souvent prêtées aux élèves. Le mot de passe du compte administrateur est « lycee2024 » et il est affiché sur un papier derrière l'écran. Un professeur signale que le fichier des notes ne s'ouvre plus : il affiche un message demandant de « payer pour récupérer les données », et plusieurs fichiers portent l'extension .lock. Le proviseur doit transmettre les notes au jury dans 48 heures. Il envisage d'appeler un technicien, de payer, ou de reformater tous les postes. Il faut décider de l'ordre des actions et des mesures à prendre ensuite.
1. Quelle est la nature probable de l'incident ? Citez deux indices du texte et expliquez pourquoi l'hypothèse d'une simple panne matérielle est peu probable.
Read the worked answer
Les indices convergent vers un rançongiciel : l'extension .lock ajoutée à plusieurs fichiers et le message demandant un paiement pour récupérer les données. Une panne matérielle ne renommerait pas les fichiers ni ne réclamerait d'argent ; elle empêcherait l'accès au disque, pas à des fichiers sélectionnés. Le fichier unique des notes, les clés USB prêtées et le mot de passe administrateur affiché expliquent la propagation : un poste infecté peut chiffrer un dossier partagé, et le compte administrateur commun permet à tout utilisateur d'installer un programme ou de modifier les fichiers des autres.
2. Proposez un ordre d'actions pour les 48 heures, en distinguant ce qu'il faut faire immédiatement et ce qu'il faut éviter. Justifiez chaque étape.
Read the worked answer
Ordre recommandé. 1) Débrancher immédiatement le câble réseau du poste du secrétariat et ne plus y insérer de clé USB : on limite la propagation. 2) Ne pas payer : rien ne garantit la récupération et le paiement encourage l'attaquant ; conserver le message comme preuve. 3) Chercher une copie saine : sauvegarde, courriel envoyé au proviseur, autre poste, brouillon imprimé. 4) Faire examiner les fichiers chiffrés par un technicien ; ne pas reformater avant d'avoir tenté une récupération. 5) Si aucune copie n'existe, ressaisir les notes à partir des bulletins ou des cahiers de notes, sur un poste propre, puis transmettre au jury.
Ce qu'il faut éviter : payer, rebrancher le poste sur le réseau, réutiliser les clés USB sans analyse, et reformater tous les postes avant d'avoir sécurisé les données. La priorité est la donnée, pas la machine.
3. Le proviseur veut interdire les clés USB et changer le mot de passe. Ces mesures suffisent-elles ? Proposez trois mesures techniques et une mesure organisationnelle, en expliquant le risque visé.
Read the worked answer
Non, ces deux mesures ne suffisent pas. Interdire les clés USB réduit la propagation mais ne nettoie pas les postes déjà infectés ; changer le mot de passe ne supprime pas le programme malveillant et un mot de passe unique partagé reste faible.
Trois mesures techniques : 1) comptes utilisateurs distincts, sans droits d'administrateur, pour limiter l'installation de logiciels ; 2) antivirus à jour et analyse obligatoire des clés USB sur un poste dédié ; 3) sauvegarde régulière externalisée, avec une copie hors ligne, et vérification de la restauration. Une mesure organisationnelle : une charte d'usage signée, qui interdit le partage de clés et impose de signaler tout message suspect au responsable informatique. Le risque visé est double : la perte de données et la compromission de tout le réseau par un seul poste. La sauvegarde est la seule mesure qui garantit la continuité du service en cas d'attaque réussie.