Entreprise piratée : quoi faire dans les premières heures, et les erreurs à éviter

Un matin, les fichiers ne s'ouvrent plus. Ou la banque appelle pour un virement que personne n'a fait. Ou un client vous signale un mail étrange envoyé depuis votre adresse. Dans ces moments-là, le premier réflexe est souvent de tout redémarrer et de tout réinstaller pour reprendre le travail. C'est précisément ce qu'il ne faut pas faire.

Seules 24 % des TPE disposent d'une procédure de réaction en cas de cyberattaque, selon le baromètre 2025 de Cybermalveillance.gouv.fr. Les autres improvisent le jour où cela arrive.

Les gestes, dans l'ordre

Cet ordre est celui que recommande Cybermalveillance.gouv.fr, le dispositif public d'assistance aux victimes.

1. Prévenez votre support informatique, si vous en avez un, pour que l'incident soit pris en compte tout de suite.
2. Isolez les appareils touchés. Débranchez le câble réseau, coupez le wifi. L'objectif est d'empêcher l'attaque de se propager aux autres postes et aux sauvegardes.
3. Tenez un journal. Notez l'heure de chaque constat et de chaque action. Vous en aurez besoin pour la plainte, pour l'assurance et pour comprendre ce qui s'est passé.
4. Conservez les preuves : messages reçus, appareils touchés, journaux de connexion de la box, du pare-feu et des serveurs.
5. Prévenez votre banque si des informations permettant des virements ont pu être volées.
6. Déclarez le sinistre à votre assureur.
7. Déposez plainte avant de réinstaller quoi que ce soit, en apportant les preuves.

Les erreurs qui coûtent cher

• Réinstaller tout de suite. Vous effacez les traces. Sans elles, impossible de savoir par où l'attaquant est entré, donc impossible de refermer la porte. Il reviendra par le même chemin.
• Payer la rançon. Cybermalveillance.gouv.fr le déconseille : payer finance les criminels, encourage de nouvelles attaques et ne garantit pas de récupérer les données.
• Restaurer une sauvegarde sans vérifier. Si l'attaquant était dans le réseau depuis trois semaines, la sauvegarde de la semaine dernière contient peut-être déjà sa porte dérobée. Il faut repartir d'une sauvegarde antérieure à l'incident et réputée saine.
• Continuer à utiliser les mêmes mots de passe. Tous les accès des appareils et des personnes concernés doivent être changés, depuis un appareil sain.
• Se taire. Vos clients et partenaires apprendront l'incident, par vous ou par quelqu'un d'autre. Mieux vaut que ce soit par vous.

Deux délais de 72 heures à ne pas manquer

L'assurance. Depuis le 24 avril 2023, une entreprise victime d'une cyberattaque doit déposer plainte dans les 72 heures après en avoir eu connaissance pour pouvoir être indemnisée par son assureur. Passé ce délai, la garantie cyber peut ne pas jouer. Cette règle vaut pour les professionnels, entreprises individuelles comprises.

La CNIL. Si des données personnelles ont été consultées, modifiées ou détruites (fichier clients, dossiers de salariés, données de patients), vous devez le notifier à la CNIL dans les 72 heures.

Ces deux délais courent en même temps, y compris le week-end. C'est une raison de plus pour tenir un journal dès la première minute.

Où trouver de l'aide

• 17Cyber (17cyber.gouv.fr) : le service public en ligne, ouvert 24 h/24 et 7 j/7. Un diagnostic vous oriente, et vous pouvez échanger par tchat avec un policier ou un gendarme.
• Votre commissariat ou votre brigade de gendarmerie, pour la plainte.
• Un prestataire spécialisé, pour identifier l'origine de l'attaque, mesurer ce qui a été touché et remettre en service proprement.

Après la crise

La remise en service se fait par étapes, une fois la faille identifiée et corrigée, en surveillant le réseau pour détecter une nouvelle tentative. Puis vient la question utile : qu'est-ce qui aurait permis de voir l'attaque plus tôt, ou de l'arrêter ?

Ce que vous pouvez faire maintenant, avant que cela n'arrive

• Écrivez sur une feuille qui appeler : informatique, banque, assureur, avec les numéros. Imprimez-la : le jour venu, vos fichiers seront peut-être inaccessibles.
• Vérifiez si votre contrat d'assurance couvre le risque cyber, et à quelles conditions.
• Assurez-vous d'avoir une sauvegarde déconnectée du réseau.

Sources

• Cybermalveillance.gouv.fr, « Que faire en cas de cyberattaque ? Guide pour les dirigeants »
• Cybermalveillance.gouv.fr, « Piratage d'un système informatique professionnel, que faire ? »
• Gendarmerie nationale, « 17Cyber, le réflexe cyber pour tous »
• Cybermalveillance.gouv.fr, baromètre 2025 de la maturité cyber des TPE-PME

Télécharger la fiche réflexe (PDF, 1 page)