🚨 Attaque en cours ? Parlez à quelqu’un maintenant.
Var & PACA — un spécialiste décroche et vous guide sur les 30 premières minutes.
04 94 10 00 01
Urgence hors de notre zone : cybermalveillance.gouv.fr ou 17Cyber, dispositif officiel de l’État, gratuit et disponible partout en France.
Les 3 gestes des 5 premières minutes
- Débranchez le câble réseau des machines touchées, ou coupez le Wi-Fi. Si la propagation semble large, coupez la box.
- N’éteignez pas et ne redémarrez pas les machines infectées : vous détruiriez des preuves et parfois des clés en mémoire.
- Photographiez la note de rançon avec votre téléphone, avant toute autre action.
Le reste peut attendre dix minutes. Ce qui suit est le plan complet, dans l’ordre, tel que recommandé par cybermalveillance.gouv.fr et l’ANSSI. Prenez-le point par point : rien ici ne demande de compétence technique particulière.
Le plan d’urgence en 6 réflexes
- Isoler, sans éteindre Débranchez le câble réseau ou désactivez le Wi-Fi des postes touchés. Coupez le routeur si la propagation paraît large. Ne redémarrez pas les machines infectées et ne les formatez surtout pas : l’objectif est d’arrêter la propagation, pas d’effacer les traces.
- Ne pas payer la rançon La recommandation de l’ANSSI est constante : ne jamais payer. Aucune garantie de récupérer les données, financement direct de la cybercriminalité, et une réputation de « bon payeur » qui vous désigne pour la prochaine campagne.
- Préserver les preuves Photographiez les notes de rançon, conservez les journaux système, ne supprimez rien. Ouvrez un document et notez heure par heure ce que vous constatez et ce que vous faites. Cette main courante vaudra de l’or pour l’enquête, pour l’assureur et pour la CNIL.
- Alerter les bons interlocuteurs Votre prestataire informatique d’abord, puis cybermalveillance.gouv.fr ou 17Cyber pour être mis en relation avec un prestataire de réponse à incident. La liste complète de qui contacter est ici — c’est le point que l’on improvise le plus souvent alors qu’il se prépare à froid.
- Porter plainte Police ou gendarmerie, avant toute négociation. C’est une condition quasi systématique pour activer une assurance cyber, et cela alimente les enquêtes des cellules spécialisées.
- Assurance et cellule de crise Contactez votre assureur sans tarder : les délais de déclaration sont courts et conditionnent la prise en charge. Constituez une cellule de crise — direction, technique, juridique, communication, métier — et décidez tout de suite comment vos services essentiels continuent de tourner en mode dégradé.
Données personnelles concernées ? Si l’attaque a touché des données de clients, de salariés ou de patients, vous avez 72 heures pour notifier la CNIL à compter de la découverte de la violation. Ce délai court en parallèle de tout le reste — ne le découvrez pas le quatrième jour.
Entité soumise à NIS 2 ? Les délais sont encore plus serrés : 24 heures pour l’alerte précoce à l’ANSSI, 72 heures pour la notification, 1 mois pour le rapport final. Le détail de la procédure de notification. Si vous ne savez pas si vous êtes concerné, le test prend 30 secondes.
Ce qu’il ne faut surtout pas faire
| Réflexe naturel | Pourquoi c’est une erreur | À faire à la place |
|---|---|---|
| Éteindre les serveurs | Détruit la mémoire vive, où se trouvent parfois des éléments permettant le déchiffrement, et efface des traces d’intrusion. | Isoler du réseau en laissant allumé. |
| Restaurer la sauvegarde tout de suite | Si l’attaquant est encore présent, vous restaurez dans un environnement compromis — et il rechiffre. | Nettoyer et vérifier l’absence d’accès résiduel avant toute restauration. |
| Payer « juste pour aller vite » | Environ un tiers des victimes qui paient ne récupèrent pas l’intégralité des données. Et le paiement peut engager votre responsabilité. | Passer par un prestataire de réponse à incident. |
| Communiquer avant d’avoir compris | Une communication imprécise se retourne contre vous auprès des clients, des salariés et de l’assureur. | Un message factuel et court, préparé par la cellule de crise. |
| Négocier soi-même avec l’attaquant | Vous révélez votre niveau de préparation et votre capacité financière. | Ne rien répondre ; laisser faire les spécialistes si cette voie est retenue. |
| Attendre de « voir si ça se calme » | Le chiffrement complet d’un réseau prend souvent moins de deux heures. | Isoler dans la minute, appeler dans les cinq minutes. |
Combien de temps avant de retrouver une activité normale ?
C’est la question que pose tout dirigeant dans l’heure qui suit. Les ordres de grandeur constatés sur des PME françaises :
| Situation | Retour à une activité partielle | Retour complet |
|---|---|---|
| Sauvegardes isolées, testées, hors ligne | 1 à 3 jours | 1 à 2 semaines |
| Sauvegardes en ligne, également chiffrées | 1 à 3 semaines | 1 à 3 mois |
| Aucune sauvegarde exploitable | Reconstruction complète | Plusieurs mois, parfois jamais à l’identique |
La seule variable qui change vraiment ces délais est la qualité de vos sauvegardes — isolées du réseau, et surtout testées en restauration. C’est le premier point que nous regardons dans un diagnostic, et de loin le plus rentable. Comment structurer ses sauvegardes.
Une fois la crise passée
Les jours qui suivent une attaque sont le seul moment où une organisation change vraiment ses pratiques. Trois choses à traiter dans le mois :
- Comprendre par où c’est entré. Dans la grande majorité des cas : un e-mail de phishing, un accès distant mal protégé, ou une faille non corrigée. Sans réponse à cette question, la protection reste théorique.
- Reconstruire les sauvegardes selon la règle 3-2-1 — trois copies, deux supports différents, une hors site et hors ligne — puis tester une restauration réelle. Les couches de protection à installer.
- Écrire la procédure que vous auriez aimé avoir. Qui appelle qui, dans quel ordre, avec quels numéros. Une page suffit, à condition qu’elle existe sur papier — le jour J, l’intranet est chiffré lui aussi.
La crise est passée. Et maintenant ?
30 minutes avec un spécialiste pour savoir par où l’attaque est entrée, ce qui reste exposé, et les trois choses à corriger en priorité. Offert, sans engagement.
Demander mon diagnostic offert
Ou appelez directement le 04 94 10 00 01 — Var & PACA
Laisser un commentaire