Un matin, les fichiers du serveur ne s'ouvrent plus et un message réclame une rançon. Ou un client vous appelle pour un virement que vous n'avez jamais demandé. Dans ces moments, les premières décisions comptent beaucoup. Voici les réflexes à avoir, dans l'ordre, tels que les recommande le dispositif national Cybermalveillance.gouv.fr et tels que nous les appliquons auprès des entreprises de Nice, Cannes, Antibes, Grasse ou Carros.
Dans les premières minutes : isoler, sans tout éteindre
L'objectif est d'empêcher l'attaque de s'étendre aux autres postes et aux sauvegardes, tout en gardant les traces qui permettront de comprendre ce qui s'est passé.
- Débranchez du réseau les ordinateurs touchés : câble réseau retiré, Wi-Fi coupé. Si l'attaque se propage, coupez la connexion Internet de l'entreprise, par exemple en éteignant la box.
- N'éteignez pas les machines touchées : leur mémoire peut contenir des éléments utiles à l'enquête.
- Débranchez les sauvegardes reliées au réseau, disque externe ou NAS, pour qu'elles ne soient pas chiffrées à leur tour.
- N'allumez pas les postes encore épargnés.
- Prévenez immédiatement votre prestataire informatique, par téléphone.
- Ne payez pas de rançon et ne répondez pas aux attaquants.
Dans la première heure : se faire aider et s'organiser
Le site 17cyber.gouv.fr, ouvert en décembre 2024 par la police, la gendarmerie et Cybermalveillance.gouv.fr, est disponible 24 heures sur 24 et 7 jours sur 7. En quelques questions, il établit un diagnostic, donne les premiers conseils et, si l'attaque est sérieuse, permet d'échanger avec un policier ou un gendarme et d'être orienté vers un prestataire référencé.
Pendant ce temps, organisez une petite cellule de crise : le dirigeant, la personne qui connaît l'informatique de l'entreprise, le prestataire, et selon les cas la comptabilité ou les ressources humaines.
- Tenez un journal : heure, constat, action, qui l'a faite. Il servira pour la plainte, l'assureur et la CNIL.
- Communiquez par téléphone plutôt que par mail : la messagerie est peut-être compromise.
- Changez les mots de passe des comptes visiblement touchés, depuis un appareil qui n'a pas été atteint.
- Si un virement frauduleux est parti, appelez la banque tout de suite : plus la demande de retour des fonds est rapide, plus elle a de chances d'aboutir.
Dans les 24 premières heures : preuves, plainte, assurance
Avant de tout effacer pour repartir, il faut conserver les preuves : journaux, copies des disques touchés, message de rançon, quelques fichiers chiffrés, mails frauduleux. Votre prestataire s'en charge.
Déposez plainte auprès d'un commissariat ou d'une brigade de gendarmerie, ou par écrit au procureur de la République. Cybermalveillance.gouv.fr recommande de le faire avant la réinstallation des machines, pour que les traces techniques soient encore disponibles.
- Prévenez votre assureur, surtout si votre contrat couvre le risque cyber : il impose souvent des délais et peut mandater ses propres experts.
- Informez vos salariés de ce qu'ils doivent faire et ne pas faire, sans les accabler.
- Préparez un message sobre pour les clients et fournisseurs concernés, en particulier si des mails frauduleux sont partis de votre messagerie.
Dans les 72 heures : la CNIL si des données personnelles sont touchées
Si des données personnelles ont pu être consultées, modifiées, chiffrées ou volées (fichiers clients, dossiers du personnel, coordonnées, données de santé), le RGPD impose de notifier la violation à la CNIL dans les meilleurs délais, et si possible dans les 72 heures après en avoir pris connaissance. Une première notification peut être complétée ensuite.
Si le risque pour les personnes est élevé, elles doivent aussi être informées. Dans tous les cas, même sans notification, l'incident doit être consigné dans un registre interne. En cas de doute, la CNIL recommande de notifier.
Les jours suivants : comprendre, reconstruire, redémarrer
Redémarrer trop vite, c'est risquer d'être attaqué une seconde fois par la même porte. Il faut d'abord trouver par où l'attaquant est entré : accès à distance exposé, logiciel non mis à jour, mot de passe faible ou réutilisé, hameçonnage.
- Identifier le point d'entrée et le refermer.
- Rechercher un outil de déchiffrement éventuel, par exemple sur le site No More Ransom.
- Réinstaller les systèmes touchés plutôt que de simplement les nettoyer.
- Restaurer les données à partir de sauvegardes vérifiées saines.
- Changer tous les mots de passe des comptes et équipements concernés.
- Remettre en service progressivement, en surveillant toute activité anormale.
Qui contacter : la liste à garder sous la main
Imprimez cette liste et complétez-la avec vos propres numéros : le jour de l'attaque, vos fichiers et votre messagerie seront peut-être inaccessibles.
- Votre prestataire informatique, avec un numéro de téléphone direct.
- 17cyber.gouv.fr : diagnostic, conseils et mise en relation, 24 heures sur 24.
- Le commissariat ou la brigade de gendarmerie, pour la plainte.
- Votre banque, en urgence si de l'argent est en jeu.
- Votre assureur.
- La CNIL, si des données personnelles sont concernées, via son service de notification en ligne.
- Info Escroqueries, au 0 805 805 817 (gratuit), pour les arnaques et fraudes.
- Pour les entreprises de la région Sud, il existe aussi un centre régional de réponse aux incidents cyber, Urgence Cyber Région Sud, basé à Toulon.
Ce que LAN & WAN fait avant, pendant et après une attaque
Pour les entreprises sous contrat, nous intervenons d'abord à distance, puis sur site sous 4 heures dans les Alpes-Maritimes si nécessaire : isolement des postes, préservation des traces, coupure des accès compromis, restauration depuis les sauvegardes et remise en service progressive. Mais le plus efficace reste de préparer le terrain avant : sauvegardes 3-2-1 supervisées avec une copie hors ligne (Safebox), double authentification sur Microsoft 365, surveillance de la messagerie (Shield 365), supervision des serveurs et des NAS, et une fiche réflexe adaptée à votre entreprise.
Vous voulez savoir si votre entreprise pourrait redémarrer après une attaque ? Appelez-nous au 04 93 20 39 86. Le premier échange est offert.
Sources
- Cybermalveillance.gouv.fr : rançongiciel, que faire si votre organisation est victime d'une attaque ?
- Cybermalveillance.gouv.fr : 17Cyber, le nouveau réflexe d'assistance en ligne pour toutes les victimes (17 décembre 2024)
- CNIL : notifier une violation de données personnelles
- Cybermalveillance.gouv.fr : comment faire face à l'arnaque au faux support technique ? (Info Escroqueries) (23 octobre 2026)