Ransomware ou suppression massive accidentelle sur Google Drive, OneDrive ou Dropbox Synchronisation des fichiers corrompus sur tous les appareils (historique des versions sur 30 jours et rembobinage du coffre-fort)¶

Regarder l'icône de synchronisation dans votre barre des tâches Windows ou dans la barre de menu macOS tourner rapidement alors que des milliers de documents professionnels, de dossiers fiscaux, de photos de famille et de fichiers de code source s'y trouvent. Google Drive for Desktop, Microsoft OneDrive, Dropbox, ou iCloud Drive sont soit cryptés par un ransomware (.locked, .bianlian, .akira, .play, .lockbit) ou effacé par un système mal configuré rsync --delete, un glisser-déposer accidentel de dossier ou un script malveillant est une catastrophe de données à grande vitesse. Parce que les clients de synchronisation de bureau cloud sont conçus pour la réplication bidirectionnelle en temps réel (inotify sous Linux, FSEvents sur macOS, et ReadDirectoryChangesW / Cloud Filter API sous Windows), un binaire de ransomware ou accidentel Shift + Delete sur un seul ordinateur portable infecté est immédiatement propagé jusqu'au serveur cloud et transmis à tous les autres ordinateurs de bureau, ordinateurs portables et dossiers d'équipe partagés connectés à ce compte en quelques secondes.

Cependant, les moteurs de synchronisation cloud ne sont pas des écrasements de disque brut : en coulisses, Microsoft OneDrive, Dropbox, Google Drive, et Box Maintenez un stockage d'objets immuable côté serveur avec des historiques de versions ponctuels de 30 à 180 jours, des corbeilles de deuxième étape et des outils de restauration de l'ensemble du compte (OneDrive Restore Your OneDrive et Dropbox Rewind). Tant que vous coupez immédiatement l'ordinateur infecté du réseau, suspendez la synchronisation sur les machines secondaires pour récolter les caches locaux hors ligne et évitez le piège fatal de télécharger à nouveau des fichiers cryptés au-delà de votre quota d'historique des versions, vous pouvez restaurer l'intégralité de votre disque cloud à la minute exacte précédant le début du cryptage ou de la suppression sans payer un centime de rançon. Pour le confinement des logiciels malveillants sur la machine locale et la sculpture du système de fichiers, consultez nos guides sur réponse aux rançongiciels et aux logiciels malveillants, suppression accidentelle de fichiers et récupération de disque formaté, et sauvegardes informatiques : stratégie 3-2-1 et reprise après sinistre. Si une attaque de ransomware frappe un hôpital, une clinique ou un réseau de répartition des urgences, activez immédiatement les procédures d'arrêt clinique hors ligne et appelez votre numéro d'urgence local (911 aux États-Unis et au Canada, 112 dans toute l'Union européenne, 999 au Royaume-Uni) ou consultez notre annuaire des numéros d'urgence.

Fais ça maintenant¶

1. Débranchez le câble Ethernet et désactivez IMMÉDIATEMENT le Wi-Fi sur l'ordinateur source (avant de fermer les applications ou de cliquer sur quoi que ce soit) :
2. Pourquoi couper le réseau sauve votre coffre-fort cloud : Chaque seconde où l'ordinateur infecté ou supprimé reste en ligne, le client de synchronisation de bureau (OneDrive.exe, GoogleDriveFS.exe, Dropbox.exe) télécharge 50 à 200 opérations supplémentaires sur les fichiers cryptés ou supprimés par seconde vers l'API cloud. Couper le Wi-Fi et Ethernet gèle la file d’attente de téléchargement dans le cloud.
3. ** Accédez à TOUS LES AUTRES ordinateurs portables, ordinateurs de bureau, tablettes et téléphones liés au même compte cloud et désactivez leur Wi-Fi/Ethernet AVANT de réveiller leurs écrans ** :
4. Votre ordinateur portable hors ligne secondaire est une capsule temporelle vierge : si votre ordinateur de bureau personnel ou votre MacBook secondaire dort dans votre sac depuis hier, son ordinateur local OneDrive, Dropbox, ou Google Drive (Mirror files / Always keep on this device) contient toujours des copies 100 % non cryptées et intactes de vos fichiers.
5. Si vous réveillez cet ordinateur portable secondaire alors que le Wi-Fi est activé, le démon de synchronisation cloud se connecte immédiatement, télécharge les textes chiffrés de suppression massive ou de ransomware à partir du serveur et détruit cette copie locale vierge en moins de 60 secondes. Éteignez votre routeur Wi-Fi domestique (débranchez son cordon d'alimentation) avant de réactiver un ordinateur secondaire, puis copiez les dossiers locaux sur un lecteur USB externe lorsque vous êtes hors ligne.
6. Si la cause est un Ransomware, tirez sur le cordon d'alimentation (ou maintenez enfoncé le bouton d'alimentation pendant 10 secondes) sur le PC infecté ; si la cause est une suppression accidentelle sur un SSD, laissez-le isolé et démontez/arrêtez le démon de synchronisation :
7. Ransomware : le fait d'extraire l'alimentation arrête les threads de chiffrement (AES / ChaCha20 Workers) de chiffrer les dossiers non chiffrés restants sur votre disque local et préserve les clés RAM volatiles si une analyse médico-légale de la mémoire est nécessaire.
8. Suppression accidentelle : Tuer OneDrive.exe / Dropbox.exe / GoogleDriveFS.exe dans le Gestionnaire des tâches (Ctrl + Shift + Esc) ou Activity Monitor immédiatement pour que le client local cesse de faire la queue DELETE Appels API.
9. NE PAS supprimer manuellement les fichiers cryptés par un ransomware (.locked) dans l'interface Web cloud si le malware a renommé les extensions de fichier :
10. Comprenez comment les ransomwares interagissent avec le stockage cloud :
    • Cas A : écrasement sur place (même nom de fichier) : le ransomware est chiffré Tax_2025.xlsx et enregistré la charge utile cryptée sous exactement le même nom Tax_2025.xlsx. Ici, le service cloud traite le fichier chiffré comme Version 2, tandis que votre fichier original propre se trouve en toute sécurité en dessous comme Version 1 dans Version History.
    • Cas B : Renommer + Supprimer l'original (Tax_2025.xlsx.lockbit) : lectures de ransomwares les plus modernes Tax_2025.xlsx, écrit un nouveau fichier nommé Tax_2025.xlsx.lockbit, et supprime l'original Tax_2025.xlsx. Ici, votre original propre Tax_2025.xlsx se trouve dans la Corbeille Cloud/Corbeille (et la restauration du compte à un moment précis).
11. Connectez-vous au portail Web cloud (onedrive.live.com, dropbox.com, drive.google.com, icloud.com) depuis un appareil PROPRE ET NON INFECTÉ (comme un smartphone sur données cellulaires ou un ordinateur isolé) :
12. Ne vous reconnectez jamais à votre compte cloud à partir de l'ordinateur infecté par un ransomware et révoquer immédiatement la session OAuth de l'ordinateur infecté sur la page de sécurité de votre compte Google, Microsoft ou Dropbox afin que le PC infecté ne puisse pas reprendre la synchronisation si quelqu'un le rallume.
13. ** Utilisez la restauration de compte à un moment précis (Restore your OneDrive ou Dropbox Rewind) au lieu de restaurer 50 000 fichiers un par un** :
14. Microsoft OneDrive et Dropbox incluent tous deux une machine à remonter le temps automatisée pour l'ensemble du compte qui ramène chaque dossier, version de fichier et élément supprimé sur l'ensemble de votre disque à un horodatage spécifique (1 hour ago, Yesterday at 11:00 PM, ou jusqu'à 30 to 180 days ago) en une seule opération côté serveur.

Arbre de décision : confinement après sinistre de synchronisation dans le cloud et récupération à un moment précis¶

Exécutez ce workflow d'urgence pour arrêter la propagation de la synchronisation entre appareils et restaurer l'état propre de votre cloud :

flowchart TD
    Start["Cryptage de ransomware OU synchronisation de suppression massive accidentelle sur Cloud Drive"] --> CutNet["ÉTAPE 1 : Débranchez Ethernet et désactivez immédiatement le Wi-Fi sur l'ordinateur source (ou débranchez le cordon d'alimentation du routeur Wi-Fi)"]

    CutNet --> SaveSecondaries["ÉTAPE 2 : Gardez tous les ordinateurs portables/PC secondaires hors ligne (mode avion) -> Copiez leurs dossiers de cache locaux « OneDrive / Dropbox / Google Drive » sur un lecteur USB externe"]

    SaveSecondaries --> RevokeSession["ÉTAPE 3 : À partir d'un téléphone/navigateur propre, ouvrez la sécurité du compte (Google / Microsoft / Dropbox) -> Révoquer/dissocier la session de synchronisation de bureau du PC infecté"]

    RevokeSession --> WhichCloud{"Quelle plateforme de stockage cloud a été touchée ?"}

    WhichCloud -->|"Microsoft OneDrive / SharePoint (Personnel ou Microsoft 365)"| OneDriveRestore["Utilisez « Paramètres -> Options -> Restaurer votre OneDrive » (annule toutes les modifications, noms et suppressions sur l'ensemble du compte jusqu'à 30 jours) + Vérifiez la corbeille de première et deuxième étapes."]

    WhichCloud -->|"Dropbox (Plus, Famille, Professionnel, Entreprise ou Basic)"| DropboxRestore["Utilisez « Dropbox Rewind » sur le dossier racine (rembobine tout le compte à la minute exacte avant l'attaque) OU utilisez « Fichiers supprimés » + journal « Événements » (30 à 180 jours)"]

    WhichCloud -->|"Google Drive (Gmail personnel ou Google Workspace)"| GDriveRestore["1. Triez « Corbeille » par « Date de la corbeille » pour restaurer en masse les originaux supprimés. 2. Pour les fichiers écrasés : cliquez avec le bouton droit -> 'Informations sur le fichier -> Gérer les versions' OU exécutez le script de restauration en masse de l'API Google Drive v3."]

    WhichCloud -->|"Lecteur Apple iCloud"| iCloudRestore["Connectez-vous à « iCloud.com/recovery » -> Cliquez sur « Restaurer les fichiers » (récupère les fichiers supprimés au cours des 30 derniers jours, même s'ils ont été vidés des fichiers récemment supprimés)"]

Phase 1 : Comment les moteurs de synchronisation dans le cloud traitent les ransomwares par rapport à la suppression massive (où se trouvent réellement vos fichiers propres)¶

Avant de cliquer sur les boutons de restauration en cas de panique, inspectez comment vos fichiers ont été modifiés sur le portail Web cloud (drive.google.com, onedrive.live.com, ou dropbox.com). Chaque incident de synchronisation dans le cloud relève de l'un des trois modèles techniques suivants :

Phase 2 : restauration du cloud plate-forme par plate-forme et récupération de version en masse¶

Suivez la procédure de récupération exacte de votre fournisseur de cloud à partir d'un navigateur propre et non infecté.

1. Microsoft OneDrive et SharePoint en ligne (Restore Your OneDrive et corbeille à 2 étages)¶

Microsoft a conçu OneDrive spécifiquement pour survivre au chiffrement des ransomwares et aux suppressions de synchronisation en masse :

1. Méthode A : restauration ponctuelle de l'ensemble du compte (Restore your OneDrive) :
2. Disponible sur Microsoft 365 Personnel, Famille, Entreprise et Entreprise (SharePoint Online bibliothèques de documents) :
3. Connectez-vous onedrive.live.com (ou votre portail Web Microsoft 365 OneDrive) sur un ordinateur propre.
4. Cliquez sur l'icône d'engrenage Paramètres (coin supérieur droit) -> sélectionnez Options -> cliquez Restore your OneDrive dans le volet de navigation de gauche (sur les sites d'équipe SharePoint, cliquez sur Settings Gear -> Restore this library).
5. Sous Select a date, choisissez Yesterday (ou Custom date and time).
6. Regardez le graphique à barres de l'histogramme d'activité : vous verrez un pic massif sur la chronologie marquant le moment exact où le cryptage du ransomware ou la suppression massive a commencé.
7. Faites glisser le curseur de la chronologie vers à gauche de ce pic (de sorte que chaque changement de nom, écrasement et suppression de fichier malveillant créé après cette minute soit vérifié pour annulation).
8. Cliquez sur Restore. Les serveurs de Microsoft annuleront automatiquement chaque modification de fichier et supprimeront le ransomware nouvellement créé .locked fichiers et restaurer tous les fichiers d'origine supprimés dans leur structure de dossiers exacte d'avant l'incident.
9. Méthode B : la « corbeille de deuxième étape » cachée (lorsque la corbeille normale a été vidée) :
10. Que se passe-t-il si un attaquant (ou un script automatisé) se connecte à votre interface Web OneDrive/SharePoint et clique sur Empty recycle bin?
11. Sur OneDrive Entreprise / SharePoint Online (et les comptes Microsoft 365), vider la corbeille principale ne supprime PAS vos fichiers. Au lieu de cela, il les déplace vers une Corbeille de deuxième étape cachée (Site Collection Recycle Bin) où ils restent protégés jusqu'à 93 jours au total :
    1. Ouvrir Recycle bin dans la barre latérale gauche de OneDrive.
    2. Faites défiler jusqu'en bas de la page et cliquez sur le petit lien indiquant : Can't find what you're looking for? Check the Second-stage recycle bin.
    3. Sélectionnez tous les fichiers et cliquez sur Restore.

2. Boîte de dépôt (Dropbox Rewind, Events Restauration, et Deleted Files)¶

1. Méthode A : Utilisation Dropbox Rewind pour restaurer des dossiers entiers ou l'intégralité de votre compte :
2. Disponible sur les forfaits Dropbox Plus, Famille, Professionnel et Business (30 days à 180 days rétrospective) :
3. Connectez-vous dropbox.com sur un navigateur propre.
4. Pour rembobiner l'intégralité de votre compte Dropbox d'un coup, passez la souris sur All files en-tête (ou cliquez sur ... (Plus d'actions) dans le panneau d'action de droite lorsqu'aucun dossier spécifique n'est sélectionné) et cliquez sur Rewind this folder (ou Rewind Dropbox).
5. Cliquez sur Get started -> regardez le graphique d'activité quotidien pour trouver le pic lorsque le ransomware ou la suppression s'est produit -> cliquez sur ce jour pour zoomer sur la chronologie heure par heure/minute par minute.
6. Positionnez la ligne verticale bleue juste avant le début du mauvais événement, cliquez sur Continue, et cliquez sur Rewind.
7. Dropbox annulera tous les fichiers écrasés, purgera les notes de ransomware nouvellement ajoutées et ressuscitera tous les dossiers supprimés en place.
8. Méthode B : Que se passe-t-il si vous bénéficiez d'un service gratuit Dropbox Basic compte (où Dropbox Rewind est verrouillé) ?
9. Important : Même gratuitement Dropbox Basic (2 Go), Dropbox conserve toujours la totalité des 30 jours Version History et 30 jours Deleted Files récupération de chaque fichier sur leurs serveurs.
10. Option 1 (récupération manuelle gratuite) : cliquez sur Deleted files dans la barre latérale gauche de dropbox.com pour filtrer par date et restaurer en masse les originaux supprimés ; ou cliquez sur ... -> Activity -> Version history sur tout fichier écrasé pour restaurer la révision propre précédente.
11. Option 2 (instantané Dropbox Plus Déverrouillage de la mise à niveau) : étant donné que Dropbox enregistre le journal des événements sous-jacents sur tous les comptes, quel que soit le niveau, la mise à niveau d'un Dropbox Basic compte à Dropbox Plus ($11.99 pendant 1 mois) après un incident débloque le Dropbox Rewind Interface utilisateur au cours des 30 derniers jours d'événements de fichiers déjà enregistrés.

3. Google Drive et Google Workspace (Trash, Manage Versions, Admin Console 25-Day Post-Trash Recoveryet restauration groupée de l'API)¶

Contrairement à OneDrive et Dropbox, Google Drive ne dispose pas d'un seul bouton « Rembobiner tout le lecteur » en un seul clic dans l'interface utilisateur du consommateur. Vous devez donc utiliser la bonne méthode de récupération selon que les fichiers ont été supprimés ou écrasés sur place :

1. Récupération des originaux supprimés de Google Drive Trash (Pour Renommer+Supprimer Ransomware ou Suppression massive) :
2. Ouvrir drive.google.com/drive/trash dans un navigateur de bureau.
3. Cliquez sur Trashed date en-tête de colonne pour trier les fichiers les plus récemment supprimés vers le haut.
4. Cliquez sur le premier fichier propre supprimé par le ransomware/accident, faites défiler vers le bas et maintenez Shift + cliquez sur le dernier fichier du lot, faites un clic droit et sélectionnez Restore (Ctrl + Z ou l'icône Restaurer l'horloge). Chaque fichier retourne directement dans son dossier parent imbriqué d'origine.
5. Et si Google Drive Trash était déjà vidé ? (Google One Support & Google Workspace Admin 25-Day Rescue) :
6. Google Workspace (Business, Enterprise, Education, Nonprofits) : même après qu'un utilisateur ait cliqué Empty trash -> Delete forever, les serveurs de Google conservent les fichiers purgés pendant 25 jours supplémentaires. Connectez-vous admin.google.com en tant que super administrateur -> allez sur Directory -> Users -> cliquez sur l'utilisateur concerné -> faites défiler jusqu'à More options (ou cliquez sur le panneau de gauche sous le résumé de l'utilisateur) -> cliquez sur Restore data -> sélectionnez la Plage de dates (jusqu'à 25 jours en arrière), sélectionnez Drive comme application, et cliquez sur Restore.
7. Comptes personnels Gmail/Google One : si votre corbeille personnelle Google Drive a été vidée au cours des 25 derniers jours, n'écrivez pas de nouvelles données sur le disque ; ouvrir immédiatement support.google.com/drive/gethelp (ou le chat d'assistance Google One) et demandez une récupération de fichiers supprimés sur le lecteur administratif. Les outils d'assistance de Google peuvent déclencher exactement la même restauration backend post-corbeille dans les 25 jours pour les comptes grand public.
8. ** Restauration en masse de fichiers écrasés à l'aide Manage Versions ou l'API Google Drive (rclone /Python)** :
9. Pour Google Docs, Sheets et Slides : ouvrez le fichier -> cliquez sur File -> Version history -> See version history (Ctrl + Alt + Shift + H) et restaurez l'horodatage d'hier.
10. Pour les fichiers binaires (PDF, DOCX, XLSX, JPG, ZIP) écrasé sur place : cliquez avec le bouton droit sur le fichier dans Google Drive -> File information -> Manage versions, où Google conserve les anciennes versions pendant 30 jours (ou 100 versions).
11. Si des milliers de fichiers binaires ont été écrasés sur place : Ne cliquez pas Manage versions 10 000 fois à la main. Utiliser rclone ou un Google Apps Script/Drive API v3 revisions.list + revisions.delete scénario :
    • Dans l'API Google Drive v3, lorsqu'un fichier existant est écrasé par une nouvelle version incorrecte (Révision N), appelant Drive.Revisions.remove(fileId, latestRevisionId) supprime uniquement la première révision malveillante créée aujourd'hui, ** promouvant automatiquement la révision propre d'hier N - 1 redevient le fichier actuel actif** dans tous les dossiers :

      // Run inside script.google.com (with Advanced Drive Service v3 enabled) to roll back files modified after cutoffTime
      function rollbackOverwrittenFiles() {
        const cutoff = new Date("2026-11-01T00:00:00Z"); // Set to 5 minutes BEFORE the ransomware started
        const files = DriveApp.searchFiles('modifiedDate > "2026-11-01T00:00:00" and trashed = false');
        while (files.hasNext()) {
          const file = files.next();
          const revs = Drive.Revisions.list(file.getId()).revisions;
          if (revs && revs.length > 1) {
            const latest = revs[revs.length - 1];
            if (new Date(latest.modifiedTime) > cutoff) {
              Drive.Revisions.remove(file.getId(), latest.id);
            }
          }
        }
      }
      

12. Pomme iCloud Drive (iCloud.com/recovery Récupération de données sous 30 jours) :
13. Même si les fichiers ont été supprimés d'iCloud Drive et purgés du Recently Deleted dossier sur votre Mac ou iPhone, connectez-vous à icloud.com/recovery dans un navigateur Web :
14. Cliquez sur Restore Files -> vérifier Select All (ou filtrer par date de suppression) et cliquez sur Restore. Le serveur principal d'Apple gère un coffre-fort de récupération distinct de 30 jours qui restaure les documents iCloud Drive, les dossiers Bureau/Documents, les signets, les contacts et les calendriers supprimés.

Phase 3 : Récolte des caches locaux hors ligne à partir des appareils secondaires et Google DriveFS / Windows Shadow Copies¶

Avant de reconnecter un ordinateur à Internet, vérifiez si vos disques durs locaux contiennent toujours des copies non corrompues de vos fichiers :

Phase 4 : Protocole de reconnexion sécurisé (Comment remettre en ligne les ordinateurs nettoyés sans recorrompre le cloud)¶

L'une des erreurs les plus courantes dans la récupération dans le cloud se produit après que vous restaurez avec succès vos fichiers dans l'interface Web du cloud : l'utilisateur rallume son ordinateur portable, le client de synchronisation local se réveille et voit 20 000 .locked fichiers de ransomware (ou dossiers vides) stockés sur le disque dur local, et synchronise la corruption directement sur le lecteur cloud fraîchement restauré.

Suivez cette liste de contrôle stricte de reconnexion : 1. Sur l'ordinateur à l'origine de l'incident (Ransomware ou Script accidentel) : - En cas d'attaque par Ransomware : Ne reconnectez jamais l'installation du système d'exploitation à votre compte cloud. Après avoir créé une image du lecteur à des fins d'investigation ou récupéré tous les fichiers locaux non sauvegardés, effacez complètement le SSD (Secure Erase / supprimer toutes les partitions) et réinstaller Windows ou macOS à partir d'un programme d'installation USB connu et fonctionnel, construit sur un ordinateur distinct. - Modifiez les mots de passe de vos comptes Google, Microsoft, Dropbox et Apple et vérifiez Account Security -> Devices et Third-Party App Permissions pour vérifier qu'aucun cookie de session infostealer ne reste actif. 2. Sur les ordinateurs secondaires avant de réactiver le Wi-Fi : - Si vous avez déjà restauré le lecteur cloud à un état propre via Restore your OneDrive ou Dropbox Rewind: 1. Démarrez l'ordinateur secondaire avec le Wi-Fi toujours désactivé. 2. Désactiver OneDrive / Dropbox / Google Drive dans Applications de démarrage (Task Manager -> Startup apps) afin que le démon de synchronisation ne puisse pas se lancer automatiquement. 3. Renommer le local C:\Users\<Name>\OneDrive (ou Dropbox) dossier dans OneDrive_OLD_LOCAL_BACKUP. 4. Réactivez le Wi-Fi, lancez l'application de synchronisation dans le cloud, laissez-la se dissocier et se reconnecter proprement, et permettez-lui de télécharger l'état du cloud propre fraîchement restauré dans un tout nouveau dossier.

3. Restauration de Windows Volume Shadow Copies (Previous Versions) et macOS APFS Instantanés locaux sur le PC source¶

Que se passe-t-il si un dossier chiffré ou supprimé était exclu de la synchronisation cloud (comme un dossier local) Desktop dossier ou un fichier plus volumineux que la limite de synchronisation), ou le client de synchronisation cloud n'avait pas fini de télécharger les modifications de la semaine dernière avant le crash ? 1. Sous Windows 10/11 (ShadowExplorer & vssadmin) : - Alors que de nombreuses familles de ransomwares tentent d'exécuter vssadmin.exe delete shadows /all /quiet, Contrôle de compte utilisateur (UAC), Détection et réponse des points de terminaison (EDR), ou une exécution non-administrateur bloque fréquemment l’effacement des clichés instantanés. - Exécutez l'invite de commande en tant qu'administrateur sur la machine isolée et tapez :

vssadmin list shadows

Questions fréquemment posées¶

Est-il logique de payer la rançon du décrypteur du groupe de ransomwares si mes fichiers sont synchronisés avec OneDrive, Dropbox ou Google Drive ?¶

Presque jamais. Contrairement à un disque dur local autonome et non sauvegardé, les services de stockage cloud (OneDrive, Boîte de dépôt, Google Drive, Boîte, et Lecteur iCloud) stockez les fichiers sur des backends de stockage d'objets immuables où chaque modification crée une nouvelle version d'objet et chaque suppression déplace l'objet vers une corbeille de 30 jours (ou de 93 à 180 jours). Que le ransomware ait écrasé vos fichiers sur place ou en ait créé de nouveaux .verrouillé fichiers et supprimé les originaux, 100 % de vos fichiers originaux non cryptés se trouvent toujours sur les serveurs du fournisseur de cloud, dans l'historique des versions ou dans la corbeille.. Utilisation Restaurez votre OneDrive, Rembobinage Dropbox, ou la récupération de la corbeille et des révisions de Google Drive restaure gratuitement vos fichiers exacts d'avant l'attaque, sans risque de décryptage de ransomware défectueux.

Pourquoi un ransomware sur mon PC Windows a-t-il réussi à chiffrer mon Google Drive ou OneDrive en premier lieu ? Le cloud ne protège-t-il pas contre les malwares ?¶

Pour que les fichiers cloud fonctionnent avec des programmes de bureau tels que Microsoft Word, Excel, Photoshop et AutoCAD, les clients de synchronisation de bureau (Google Drive pour ordinateur, OneDrive.exe, Dropbox.exe) montez votre stockage cloud en tant que dossier local ou lettre de lecteur virtuel (G:\ ou C:\Utilisateurs\Nom\OneDrive) sous vos autorisations d'utilisateur Windows. Lorsque le ransomware s'exécute sous votre compte utilisateur Windows, il dispose exactement des mêmes autorisations de modification de fichiers que vous : il parcourt chaque lettre de lecteur montée (C:\, D:\, G:\) et le dossier utilisateur, en lisant chaque fichier, en le cryptant et en l'enregistrant. Même les fichiers définis sur "Fichiers en ligne uniquement/diffusion" (Fichiers à la demande) être automatiquement téléchargé (« hydraté ») à la volée par Windows chaque fois que le processus du ransomware ouvre le descripteur de fichier pour le lire. C’est pourquoi il est essentiel de débrancher immédiatement le réseau : cela interrompt le téléchargement d’hydratation à la demande des fichiers cloud uniquement en ligne avant que le ransomware ne puisse les lire.

Que se passe-t-il si j'ai accidentellement supprimé un dossier partagé volumineux dans Google Drive ou Dropbox et que d'autres membres de l'équipe possédaient certains des fichiers qu'il contient ?¶

Dans Boîte de dépôt, tout membre disposant des autorisations de modification peut utiliser Fichiers supprimés ou Rembobinage Dropbox sur le dossier partagé pour restaurer toute la hiérarchie des dossiers pour toute l'équipe. Dans Google Drive, l'architecture de propriété est unique : lorsque vous supprimez un sous-dossier dans le dossier partagé de quelqu'un d'autre (où ils êtes le propriétaire et vous êtes un éditeur), en supprimant le fichier du dossier partagé orphelins le fichier plutôt que de le détruire pour le propriétaire, ou déplace uniquement les fichiers tu posséder dans votre Corbeille (drive.google.com/drive/trash) tandis que les fichiers appartenant à votre collègue vont dans leur Corbeille (ou devenir orphelin dans leur lecteur racine consultable via est : propriétaire non organisé : moi dans la barre de recherche Google Drive).

Un ransomware peut-il supprimer mon historique de versions Cloud ou vider automatiquement ma corbeille OneDrive/Google Drive ?¶

Fichiers binaires standard des ransomwares du système de fichiers (Bit de verrouillage, Akira, Chat Noir, Jouer, Phobos) fonctionnent uniquement via les API locales du système de fichiers Windows (CréerFichierW, Écrire un fichier, SupprimerFichierW) et ne peux pas interagir avec le Web uniquement Historique des versions, Corbeille de deuxième étape, ou Coffre-fort d'administration Google Workspace. Cependant, si l'attaquant a également déployé un voleur d'informations (Lumma, Ligne rouge) ou disposait d'un bureau à distance interactif (RDP / N'importe quel bureau) accéder à votre navigateur Web ouvert, ils peuvent ouvrir manuellement votre navigateur et cliquer sur Vider la corbeille. Même s’ils l’avaient fait, rappelez-vous les deux ultimes filets de sécurité : (1) Sur OneDrive / SharePoint, les objets vidés vont dans le Corbeille de deuxième étape jusqu'à 93 jours ; et (2) Le Google Drive/Google Workspace, les éléments de la Corbeille vidés restent récupérables par un administrateur Workspace ou par l'assistance Google One pour 25 jours après la suppression définitive.

Guides associés¶

• Ransomwares et malwares : isolation et récupération immédiates
• Suppression accidentelle de fichiers, lecteur formaté et récupération de photos
• Fichier Word, Excel, PDF ou base de données corrompu et récupération de documents non enregistrés
• Sauvegardes informatiques : stratégie 3-2-1 et reprise après sinistre
• Détournement de cookies de session, logiciels malveillants infostealer et révocation de mot de passe
• Numéros d'urgence par pays

Sources et directives officielles¶

• Assistance officielle Microsoft (support.microsoft.com/en-us/office/restore-your-onedrive-fa231298-759d-41cf-bcd0-25ac53eb8a15) : Restaurez votre OneDrive (histogramme de restauration ponctuelle sur 30 jours, alertes de détection de ransomware et récupération de la corbeille SharePoint de première/deuxième étape).
• Centre d'aide officiel de Dropbox (help.dropbox.com/delete-restore/rewind & recover-older-versions) : Utilisation de Dropbox Rewind pour annuler les ransomwares ou les suppressions massives, historique des versions de 30 à 180 jours et .dropbox.cache Mise en scène.
• Aide pour l'administrateur Google Workspace et documentation officielle de Google Drive (support.google.com/a/answer/6052340 & developers.google.com/drive/api/reference/rest/v3/revisions): * Restauration des données Google Drive supprimées définitivement dans les 25 jours via la console d'administration et l'API Drive v3 revisions Gestion*.
• Agence de cybersécurité et de sécurité des infrastructures (CISA / StopRansomware.gov) : Meilleures pratiques d'isolation de la synchronisation du stockage dans le cloud et de restauration de la version post-ransomware.