Erreurs et questions fréquentes
Que faire après une cyberattaque ou un rançongiciel : plainte, CNIL, assureur, reprise
Conduite à tenir pour une entreprise victime d'une cyberattaque : isoler, alerter, plainte sous 72 heures, notification CNIL, assureur, communication et reprise d'activité.
Si votre entreprise subit une cyberattaque, les premières heures décident de l'ampleur des dégâts. Les réflexes essentiels sont : isoler les machines touchées du réseau sans les éteindre, alerter votre prestataire et votre assureur, conserver les preuves, déposer plainte rapidement (dans les 72 heures pour pouvoir prétendre à l'indemnisation d'une assurance cyber) et évaluer l'obligation de notifier la CNIL dans les 72 heures si des données personnelles sont concernées. Ne payez pas de rançon sans avoir pris conseil, et ne communiquez pas publiquement avant d'avoir compris la situation. Ce guide donne l'ordre des actions ; adaptez-le avec l'aide d'un professionnel.
Les premières minutes : stopper la propagation
- Déconnectez du réseau les postes et serveurs touchés : câble réseau débranché, Wi-Fi coupé. Évitez de les éteindre sauf avis contraire d'un expert, car l'extinction peut effacer des informations utiles à l'enquête (mémoire vive).
- Ne supprimez rien et ne tentez pas de « nettoyer » vous-même. Photographiez les messages à l'écran, notamment une demande de rançon.
- Coupez les accès distants et, si nécessaire, changez les mots de passe des comptes à privilèges depuis un poste sain, hors du réseau compromis.
- Isolez vos sauvegardes : déconnectez-les pour qu'elles ne soient pas chiffrées à leur tour.
- Prévenez la personne qui pilote la crise et ouvrez un journal horodaté de tout ce qui est constaté et décidé.
Dans les premières heures : alerter les bons interlocuteurs
| Interlocuteur | Pourquoi le contacter | À préparer |
|---|---|---|
| Prestataire informatique ou de réponse à incident | Qualifier l'attaque, contenir, enquêter | Schéma du réseau, comptes, heure de découverte |
| Assureur cyber ou courtier | Activer l'assistance et respecter les délais de déclaration | Numéro de contrat, description des faits |
| Police ou gendarmerie | Dépôt de plainte | Éléments de preuve, estimation des dommages |
| CNIL | Notification d'une violation de données personnelles | Nature, volume, conséquences probables, mesures prises |
| Banque | En cas de fraude ou de virement frauduleux | Références des opérations, demande de blocage ou de rappel |
| Dirigeants et conseil juridique | Décisions, communication, obligations | Premiers éléments factuels |
Si vous relevez d'un secteur régulé ou si vous êtes concerné par la directive NIS 2, d'autres notifications peuvent s'imposer : voir le guide sur NIS 2.
Déposer plainte : pourquoi et comment
Le dépôt de plainte est utile pour l'enquête et, pour les entreprises assurées, il est une condition légale de l'indemnisation : depuis la loi du 24 janvier 2023 (LOPMI), l'indemnisation des dommages liés à une atteinte à un système de traitement automatisé de données est subordonnée au dépôt de plainte au plus tard 72 heures après la connaissance de l'atteinte. Adressez-vous à un commissariat ou à une brigade de gendarmerie, en apportant les éléments de preuve disponibles et la description des faits. Des dispositifs de signalement en ligne complètent l'offre : vérifiez sur les sites officiels du ministère de l'Intérieur et de Cybermalveillance.gouv.fr les canaux actuellement ouverts. Conservez le récépissé et transmettez-le à votre assureur. Pour les détails de la garantie, voir le guide sur l'assurance cyber.
Notifier la CNIL en cas de violation de données personnelles
Le RGPD (article 33) impose au responsable de traitement de notifier à la CNIL toute violation de données à caractère personnel dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes. Lorsque le risque est élevé, les personnes concernées doivent aussi être informées (article 34). La CNIL propose un téléservice de notification sur son site. Même sans notification, vous devez documenter en interne la violation, ses effets et les mesures prises. Si vous manquez d'informations dans les 72 heures, une notification initiale puis complétée est possible. En cas de doute, demandez conseil à votre délégué à la protection des données ou à un avocat.
La question de la rançon
La décision de payer ou non appartient à l'entreprise, mais elle ne doit pas être prise dans la précipitation. Les autorités recommandent généralement de ne pas payer : le paiement ne garantit ni la restitution des données, ni l'absence de revente ou de nouvelle attaque, et il finance les criminels. Avant toute décision, consultez votre assureur (certaines polices encadrent ou excluent cette prise en charge), un conseil juridique et les autorités. Vérifiez aussi les règles de sanctions financières internationales, qui peuvent interdire certains paiements.
Reprise d'activité : méthode
- Comprendre avant de restaurer : identifier le point d'entrée et fermer la porte. Restaurer sans cela expose à une nouvelle compromission.
- Assainir l'environnement : réinstaller les systèmes touchés à partir d'images saines, réinitialiser tous les mots de passe et secrets, révoquer les sessions et jetons.
- Restaurer par priorités : systèmes vitaux d'abord, selon vos objectifs de reprise. Contrôlez la sauvegarde avant de la remettre en ligne.
- Surveiller de près les jours qui suivent : l'attaquant a pu laisser des accès dérobés.
- Documenter pour l'assureur, les clients et les autorités.
Les sauvegardes jouent un rôle décisif : voir le guide sur les sauvegardes 3-2-1.
Communiquer sans aggraver
Préparez des messages courts, factuels et vérifiés pour trois publics : les salariés, les clients et partenaires, et les autorités. Dites ce que vous savez, ce que vous faites et ce que les personnes doivent faire (par exemple surveiller les messages suspects). Évitez les spéculations sur l'origine de l'attaque et ne minimisez pas : une communication démentie ensuite coûte cher en confiance. Informez les salariés sur le canal alternatif de communication à utiliser si la messagerie est hors service.
Retour d'expérience
Une fois l'urgence passée, organisez un retour d'expérience sans recherche de coupable : chronologie, causes, ce qui a bien fonctionné, ce qui a manqué, actions correctives avec responsables et échéances. Mettez à jour votre fiche de crise. Le plan d'action sur 90 jours peut servir de base pour la remise à niveau.
Questions fréquentes
Faut-il éteindre les ordinateurs touchés ?
En général, il vaut mieux les déconnecter du réseau sans les éteindre, sauf avis d'un expert. Si une chiffrement est en cours et que vous ne pouvez pas isoler, un expert peut conseiller d'éteindre pour limiter les dégâts.
Que faire si je ne sais pas si des données personnelles sont concernées ?
Documentez ce que vous savez, lancez l'enquête et décidez rapidement avec votre conseil. Le délai de 72 heures court à partir du moment où vous avez une connaissance suffisante de la violation.
Mon assureur peut-il refuser de m'indemniser ?
Il le peut si les conditions du contrat ou de la loi ne sont pas respectées, par exemple l'absence de plainte dans le délai. Déclarez rapidement et suivez la procédure du contrat.
Sources et références
- Cybermalveillance.gouv.fr — assistance aux victimes et fiches de réaction.
- CNIL — téléservice de notification des violations de données.
- ANSSI — guides sur la gestion de crise et les rançongiciels.
- Légifrance — loi du 24 janvier 2023, Code des assurances, RGPD.
