Isolez les machines touchées du réseau (ne pas éteindre).
Ne négociez pas avec l'attaquant sans expert.
Prévenez la direction et ne supprimez aucun log.