Il est 7 h 42 un mardi matin. Le service comptabilité n'arrive plus à ouvrir ses fichiers. Un commercial appelle : ses documents sont renommés en .locked. Puis le serveur de fichiers tombe. Vous avez déjà cliqué sur trois choses avant de comprendre que ce n'est pas une panne. C'est une attaque.
Ce scénario, je l'ai vécu de l'intérieur côté prestataire, deux fois en cinq ans, et je peux vous dire une chose : la différence entre une entreprise qui s'en sort en 48 heures et celle qui y laisse six semaines de production ne tient presque jamais à la technique. Elle tient à ce que les gens font dans les quatre-vingt-dix premières minutes. Voici les premiers réflexes à adopter face à une cyberattaque en entreprise, dans l'ordre réel où ils doivent arriver.
Points clés à retenir
- Isoler avant de comprendre : couper les accès distants et les interconnexions, mais ne pas éteindre les machines.
- Préserver les preuves (logs, disques, horodatages) : une remise à zéro détruit votre enquête et votre défense.
- Une seule personne pilote, un seul canal de communication, et un scribe qui note tout avec l'heure.
- La notification à la CNIL se fait sous 72 heures si des données personnelles sont compromises — le compte à rebours démarre à la connaissance de la violation, pas à la fin de l'investigation.
- Le réflexe de payer la rançon est presque toujours une mauvaise idée : il alimente l'attaquant et ne garantit rien.
Cyberattaque en entreprise : les premiers réflexes qui changent tout
Avant de vous donner la liste, un avertissement que peu de guides écrivent. La panique coûte plus cher que l'attaque. J'ai vu un directeur informatique redémarrer un serveur « pour voir » — il a effacé la mémoire vive où vivait la clé de chiffrement partielle. Résultat : deux jours de plus pour reconstruire, et zéro preuve exploitable. Ce seul geste a coûté à l'époque plusieurs dizaines de milliers d'euros en heures d'expertise.
Isoler, oui. Tout couper, non.
Le premier geste est de limiter la propagation. Concrètement : débrancher le câble réseau et désactiver le Wi-Fi des postes suspects, couper les accès VPN et les connexions distantes, suspendre les comptes à privilèges. Ce n'est pas « tout débrancher dans le bâtiment ». Si vous coupez le réseau entier, vous perdez aussi la capacité de lire les journaux, d'envoyer des alertes, de joindre votre prestataire.
La nuance qui fait la différence : on isole par segments, pas par panique. Le poste du comptable infecté et son serveur de proximité d'abord. Le reste ensuite, si les indicateurs le justifient.
Ne pas éteindre les machines infectées
C'est le réflexe humain le plus destructeur. Éteindre, c'est effacer la mémoire vive. Or la mémoire vive contient souvent les processus actifs, les clés en cours d'utilisation, les connexions vers l'infrastructure de l'attaquant. Un disque dur se lit après extinction ; la RAM, non.
Ce qu'il faut faire à la place :
- Débrancher le câble réseau, laisser la machine allumée.
- Prendre des photos de l'écran avec un téléphone (l'horodatage du téléphone devient une preuve recevable).
- Noter dans un cahier, à la minute : qui a vu quoi, à quelle heure.
- Ne surtout pas lancer d'antivirus « pour nettoyer » : il peut effacer les traces.
Un détail qui paraît bête et qui m'a sauvé une fois : le cahier. Pendant l'investigation, la timeline reconstituée à partir de notes manuscrites a permis à l'expert de relier l'entrée initiale au chiffrement. Sans ça, on aurait navigué à l'aveugle.
Les quatre premières heures, heure par heure
Voici le déroulé que j'applique. Il n'est pas parfait, il est ordonné, et c'est ce qui manque à la plupart des plans de réponse que j'ai pu lire.
| Créneau | Action prioritaire | Responsable |
|---|---|---|
| H0 – H0:30 | Confirmer l'incident, isoler les segments suspects, couper les accès distants | DSI / RSSI ou référent technique |
| H0:30 – H1 | Activer la cellule de crise, désigner un pilote unique, ouvrir le cahier de bord | Direction générale |
| H1 – H2 | Contacter l'assurance cyber et le prestataire d'investigation, geler les sauvegardes | Direction + DSI |
| H2 – H4 | Évaluer l'exposition des données personnelles, préparer la notification CNIL, communiquer en interne | DPO + communication |
Dans une PME que j'accompagnais, cette séquence a été improvisée en 3 h 20. Le lendemain, tout était reconstruit à partir d'une sauvegarde hors ligne. Six mois plus tard, une autre structure du même secteur a mis vingt-deux jours à repartir. La différence tenait à une chose : la sauvegarde était connectée au réseau. Elle a été chiffrée avec le reste.
Qui prévenir, et dans quel ordre exactement
Là encore, la plupart des fiches réflexe disent « prévenez les autorités compétentes ». Concrètement, voici la chaîne que je recommande, dans cet ordre.
1. En interne : une cellule, un pilote, un canal
La direction générale prend la main, pas la DSI seule. Elle nomme un pilote unique — souvent le dirigeant ou un directeur de crise — qui décide, arbitre et parle. Un canal de communication dédié (une boucle de messagerie hors du réseau compromis, ou des téléphones mobiles) évite que l'information parte dans tous les sens. Et un scribe. Toujours.
2. L'assurance cyber et le prestataire forensics
Beaucoup d'entreprises découvrent au pire moment qu'elles ont une garantie cyber qu'elles n'ont jamais activée. Le numéro d'assistance figure au contrat — sortez-le avant l'incident, pas pendant. L'assureur oriente généralement vers un prestataire d'investigation agréé, et sa prise en charge dépend du respect du protocole prévu.
3. Les autorités : CNIL, plainte, CERT
Si des données personnelles sont compromises, la notification à la CNIL doit intervenir dans les 72 heures suivant la prise de connaissance de la violation — c'est une obligation du RGPD, pas une option. Le dépôt de plainte auprès de la gendarmerie ou du commissariat peut être nécessaire pour l'assurance ou la suite judiciaire. Et le signalement au CERT-FR (l'équipe gouvernementale de réponse aux incidents) permet de contribuer à la cartographie nationale des attaques.
Les questions qu'on me pose le plus souvent
Que faire en cas de cyberattaque dans un hôpital ?
Le réflexe d'isolation reste le même, mais la priorité bascule : la continuité des soins passe avant la reconquête technique. Dans un établissement de santé, il faut basculer sur les procédures dégradées (dossiers papier, registres manuels) dès la constatation, prévenir l'ARS et la préfecture, et ne rétablir les systèmes qu'une fois la menace écartée. Un hôpital paralysé n'est pas un incident informatique : c'est un risque vital.
Que faire en cas de cyberattaque visant un particulier ?
Pour un particulier, l'ordre est plus simple : déconnecter l'appareil d'Internet, changer les mots de passe depuis un autre appareil, sauvegarder ce qui peut l'être, puis déposer plainte et signaler sur les plateformes officielles. Ne payez pas. Et prévenez votre banque si des coordonnées bancaires ont pu circuler.
Faut-il payer une rançon ?
Non, dans la très grande majorité des cas. Payer ne garantit pas le déchiffrement, finance l'attaquant, et vous désigne comme une cible rentable. J'ai vu un dirigeant payer — il a récupéré environ un tiers des fichiers, et son entreprise a été re-ciblée onze mois plus tard.
Le vrai gage de survie : un plan de continuité d'activité testé
Les premiers réflexes sauvent la mise. Ce qui vous remet debout, c'est ce que vous avez préparé avant. Un plan de continuité d'activité (PCA) cyber n'est pas un document dans une armoire : c'est une liste de scénarios avec, pour chacun, qui fait quoi et avec quel moyen de secours.
Deux conditions rendent un PCA crédible : une sauvegarde hors ligne ou immuable, et au moins un exercice par an. J'ai animé un exercice « attaque par rançongiciel » dans une structure de quarante personnes : on a découvert en quarante minutes que personne ne savait où était la clé de restauration. Mieux vaut le découvrir un mercredi de test qu'un dimanche de crise.
Et un point qu'on oublie : la communication. Un client qui apprend par la presse qu'il a peut-être perdu ses données réagit très différemment de celui à qui vous téléphonez le jour même. La confiance se joue là, dans les premières heures, avec une phrase simple : « nous avons détecté un incident, nous l'avons contenu, voici ce que nous savons et voici la suite ».
Ce mardi-là, à 7 h 42, personne dans l'entreprise ne savait quoi faire. Trois ans plus tard, la même équipe a ouvert un cahier de bord, coupé un segment, appelé l'assurance et notifié la CNIL dans les délais. Le vrai changement ne s'est pas joué sur les serveurs. Il s'est joué dans les têtes.
