Des fichiers qui deviennent illisibles, un message de rançon à l'écran, des emails envoyés à vos clients à votre insu, un virement que personne n'a validé : une cyberattaque peut se manifester de multiples façons. Les premières heures sont décisives. Ce guide présente les bons réflexes, dans l'ordre, et la manière de s'y préparer avant qu'il ne soit trop tard.

Reconnaître une cyberattaque

Certains signes doivent immédiatement alerter :

  • Fichiers renommés avec une extension inconnue ou impossibles à ouvrir ;
  • Message demandant une rançon pour récupérer vos données ;
  • Ordinateurs anormalement lents, programmes inconnus qui s'exécutent ;
  • Comptes utilisateurs bloqués ou mots de passe modifiés sans raison ;
  • Emails envoyés depuis votre messagerie sans que vous les ayez écrits ;
  • Alertes répétées de l'antivirus ou du pare-feu ;
  • Opérations bancaires ou changements de coordonnées non autorisés.

Heure 0 : les premiers réflexes

Ce qu'il ne faut pas faire : éteindre brutalement tous les équipements, effacer des fichiers, réinstaller les postes dans la précipitation ou payer une rançon sans réflexion. Ces gestes peuvent détruire des preuves et compromettre la restauration.

  1. Isoler les équipements touchés du réseau : débranchez le câble réseau et désactivez le Wi-Fi, sans éteindre l'ordinateur si possible, pour conserver les traces en mémoire.
  2. Prévenir immédiatement le responsable informatique ou votre prestataire, ainsi que la direction.
  3. Ne pas utiliser les équipements compromis pour communiquer : utilisez un téléphone ou un poste non touché.
  4. Noter tout ce qui est observé : heure, postes concernés, messages affichés, actions réalisées. Prenez des photos des écrans.

Heures 1 à 4 : contenir et évaluer

Mobiliser une cellule de crise

Réunissez un petit groupe : direction, informatique, juridique, communication, et les responsables des métiers les plus touchés. Désignez un coordinateur et un canal de communication sûr, en dehors du système d'information compromis.

Évaluer l'étendue de l'attaque

  • Quels postes, serveurs et comptes sont touchés ?
  • Les sauvegardes sont-elles intactes et déconnectées du réseau ?
  • Des données ont-elles pu être copiées ou volées ?
  • Des données personnelles de clients ou de salariés sont-elles concernées ?
  • Quelles activités critiques sont à l'arrêt ?

Bloquer la propagation

Changez les mots de passe des comptes administrateurs et des comptes compromis depuis un poste sain, désactivez les accès distants non indispensables et bloquez les comptes suspects. Si un prestataire spécialisé en réponse à incident intervient, suivez ses consignes.

Heures 4 à 24 : préserver, signaler, communiquer

Préserver les preuves

Conservez les journaux (logs), les emails suspects, les fichiers de rançon et les captures d'écran. Ces éléments sont indispensables pour l'enquête, l'assurance et la compréhension de l'attaque.

Signaler l'incident

  • Déposer plainte auprès des services de police ou de gendarmerie, avec les éléments recueillis ;
  • Signaler l'incident au maCERT, le centre de veille et de réponse aux incidents de la DGSSI, qui publie aussi des alertes et des recommandations ;
  • Prévenir votre assureur si vous disposez d'une couverture cyber, dans les délais prévus au contrat ;
  • Évaluer avec votre conseil juridique vos obligations vis-à-vis de la CNDP et des personnes concernées si des données personnelles sont touchées, et vos obligations éventuelles au titre de la loi 05-20 selon votre secteur.

Communiquer avec maîtrise

Informez les salariés avec des consignes claires (ne pas utiliser certains outils, signaler tout comportement suspect). Préparez un message factuel pour les clients et partenaires concernés, surtout si des emails frauduleux ont pu leur être envoyés en votre nom. Évitez les spéculations : ne communiquez que sur ce qui est établi.

Faut-il payer la rançon ?

Les autorités et les spécialistes recommandent de ne pas payer. Le paiement ne garantit ni la récupération des données, ni leur non-divulgation, ni l'absence de nouvelle attaque. Il finance aussi les groupes criminels. La meilleure protection reste des sauvegardes fiables, testées et isolées.

Après la crise : restaurer et tirer les leçons

  1. Nettoyer ou réinstaller les systèmes compromis avant toute remise en service ;
  2. Restaurer les données depuis des sauvegardes saines, en vérifiant leur intégrité ;
  3. Corriger la faille à l'origine de l'attaque (mot de passe faible, logiciel non mis à jour, accès distant mal protégé, email piégé) ;
  4. Surveiller étroitement le système pendant plusieurs semaines ;
  5. Réaliser un retour d'expérience : ce qui a fonctionné, ce qui a manqué, ce qu'il faut améliorer.

Se préparer avant l'attaque

La qualité de la réponse dépend surtout de ce qui a été préparé avant. Les mesures essentielles :

  • Sauvegardes régulières, dont au moins une copie déconnectée ou hors site, et des tests de restauration ;
  • Mises à jour des systèmes et logiciels appliquées rapidement ;
  • Double authentification sur la messagerie, les accès distants et les comptes sensibles ;
  • Antivirus ou solution EDR sur tous les postes et serveurs ;
  • Comptes administrateurs limités et distincts des comptes de travail quotidien ;
  • Sensibilisation régulière des salariés à l'hameçonnage ;
  • Plan de réponse écrit, avec la liste des contacts d'urgence (prestataire, assureur, autorités) imprimée sur papier ;
  • Exercice de simulation au moins une fois par an.

Fiche réflexe à imprimer : 1. Isoler du réseau sans éteindre. 2. Prévenir l'informatique et la direction. 3. Ne rien effacer, tout noter. 4. Utiliser un canal de communication sûr. 5. Préserver les preuves. 6. Porter plainte et signaler. 7. Ne pas payer de rançon sans avis spécialisé.

Conclusion

Aucune entreprise n'est totalement à l'abri d'une cyberattaque, mais toutes peuvent en limiter fortement les conséquences. Isoler vite, préserver les preuves, communiquer avec maîtrise et restaurer proprement : ces réflexes s'apprennent et se préparent. Le meilleur moment pour écrire votre plan de réponse, c'est aujourd'hui, avant d'en avoir besoin.