Cyberattaque : que faire dans les premières 24 heures ?

Il est 8 h 30, un salarié vous appelle : les fichiers du serveur portent une extension bizarre et un message réclame une rançon. Ou plus discret : des clients signalent des mails étranges venant de votre adresse. Ce qui se passe dans les 24 heures suivantes détermine si l'incident dure trois jours ou trois semaines. Voici le déroulé, dans l'ordre.

Heure 0 : isoler, sans éteindre

Le premier réflexe est de couper la propagation, pas le courant.

• Déconnectez du réseau les machines touchées : câble réseau débranché, Wi-Fi coupé. Si l'ampleur est inconnue, isolez le site entier en coupant la connexion internet au niveau de la box ou du pare-feu.
• N'éteignez pas les machines compromises. La mémoire vive contient des traces précieuses pour l'analyse et, dans certains cas de ransomware, des clés de chiffrement encore récupérables. Machine isolée du réseau, mais allumée.
• Ne vous connectez pas en administrateur sur les machines suspectes pour « aller voir ». Chaque connexion à privilèges offre potentiellement un compte de plus à l'attaquant.
• Mettez les sauvegardes à l'abri immédiatement. Si un disque de sauvegarde est branché, débranchez-le. Si la sauvegarde est en ligne, vérifiez qu'elle n'est pas accessible depuis le réseau compromis. C'est votre actif le plus précieux des prochains jours.

Heure 1 : alerter les bonnes personnes

• Votre prestataire informatique, ou votre infogérant si vous en avez un : c'est lui qui pilote la réponse technique. Exigez un interlocuteur unique et des points réguliers.
• Votre assureur, si vous avez une assurance cyber ou une extension au contrat pro : la plupart imposent une déclaration rapide et beaucoup incluent une assistance à la gestion de crise. Appelez avant d'engager des frais.
• Votre banque, si des coordonnées bancaires ou des moyens de paiement ont pu être exposés, ou si l'attaque a commencé par un faux ordre de virement.
• En interne : prévenez les équipes avec une consigne simple (ne plus toucher aux postes concernés, remonter toute anomalie) sans déclencher de panique.

Le site cybermalveillance.gouv.fr est le point d'entrée public officiel : diagnostic guidé et mise en relation avec des prestataires référencés près de chez vous.

Heure 2 à 12 : évaluer et documenter

Avec votre prestataire, l'objectif est de répondre à trois questions : par où l'attaquant est-il entré, jusqu'où est-il allé, et est-il encore là ?

Pendant cette phase, documentez tout par écrit : heure de détection, machines touchées, messages affichés (photographiez les écrans), actions entreprises. Ce journal servira pour la plainte, l'assurance et le retour d'expérience.

Trois interdits pendant l'évaluation :

• Ne payez pas la rançon. Rien ne garantit la récupération des données, le paiement finance le prochain tour et vous signale comme payeur. Les autorités françaises le déconseillent systématiquement.
• Ne restaurez pas les sauvegardes tout de suite. Restaurer sur un réseau encore compromis, c'est offrir vos données propres à l'attaquant. La restauration vient après l'assainissement.
• Ne supprimez rien, même les fichiers visiblement malveillants : ce sont des preuves.

Heure 12 à 24 : les obligations légales

• Déposez plainte, en gendarmerie, au commissariat ou en ligne. C'est une condition fréquente d'indemnisation par l'assurance, et c'est ce qui alimente les enquêtes.
• Si des données personnelles ont pu être compromises (fichiers clients, RH, paie), vous avez 72 heures à partir de la découverte pour notifier la CNIL. Le délai est court et l'oubli coûte cher : mieux vaut une notification prudente qu'un silence.
• Prévenez les clients ou partenaires concernés si leurs données ou leurs échanges avec vous sont touchés. Un message factuel et rapide protège la relation ; l'apprendre par un tiers la détruit.

Les trois erreurs qui aggravent tout

1. Faire comme si de rien n'était parce que « ça a l'air de remarcher ». Beaucoup d'attaques comportent une phase discrète : l'attaquant garde un accès et revient. Sans assainissement vérifié, la rechute est la norme.
2. Tout réinstaller trop vite en écrasant les traces. Vous repartez peut-être propre, mais sans savoir par où l'attaquant est entré, la porte est toujours ouverte.
3. Gérer seul pour économiser. Une journée de spécialiste coûte moins cher qu'une semaine d'arrêt supplémentaire. Nous avons chiffré ce que coûte réellement une journée d'informatique à l'arrêt.

La meilleure réponse se prépare avant

Les PME qui s'en sortent en trois jours ont trois choses en commun : des sauvegardes déconnectées et testées, une liste de contacts d'urgence imprimée (prestataire, assureur, banque : inutile dans un fichier chiffré par le ransomware), et quelqu'un qui supervise le parc et voit l'anomalie avant qu'elle n'explose. C'est précisément le rôle d'un contrat d'infogérance : la différence se joue avant l'incident, pas pendant.