Votre entreprise est piratée et vous vous demandez que faire, maintenant, tout de suite ? Respirez. Une cyberattaque est une situation sérieuse, mais elle se gère avec méthode, et les bons gestes des premières heures font une vraie différence sur la suite. Ce guide vous donne les réflexes dans l’ordre : les premières minutes, les premières heures, les premiers jours, puis comment repartir sur des bases saines. Si vous êtes en pleine crise, notre page urgence cyberattaque vous indique comment nous joindre immédiatement.
Comment savoir si votre entreprise est piratée ?
Les signes ne sont pas toujours spectaculaires. Certains sont évidents, d’autres plus discrets :
- des fichiers qui ne s’ouvrent plus, avec une extension inconnue, et un message qui réclame un paiement : c’est un rançongiciel, un programme malveillant qui chiffre vos données pour les rendre illisibles ;
- des clients ou fournisseurs qui reçoivent des emails étranges envoyés depuis votre adresse ;
- un mot de passe qui ne fonctionne plus, alors que vous ne l’avez pas changé ;
- des règles de transfert apparues dans votre messagerie, des virements que vous n’avez pas ordonnés ;
- des ordinateurs anormalement lents, un antivirus désactivé, des comptes utilisateurs inconnus.
Un seul de ces signes suffit pour appliquer les réflexes qui suivent. Mieux vaut une fausse alerte bien gérée qu’une vraie attaque laissée en place.
Les premières minutes : isoler sans tout éteindre
Le premier objectif est d’empêcher l’attaque de s’étendre, tout en conservant les traces qui permettront de comprendre ce qui s’est passé.
Déconnectez, mais n’éteignez pas
Débranchez le câble réseau des postes touchés et coupez leur Wi-Fi. Si plusieurs machines semblent atteintes, déconnectez la box ou le commutateur principal d’internet. En revanche, évitez d’éteindre les ordinateurs : la mémoire vive contient des indices précieux pour l’analyse, qui disparaissent à l’arrêt.
Protégez vos sauvegardes
Si vous avez un disque de sauvegarde branché, débranchez-le immédiatement. Les rançongiciels cherchent justement à chiffrer les sauvegardes accessibles. C’est l’intérêt d’une sauvegarde externalisée et immuable : une copie hors de vos locaux, qui ne peut être ni modifiée ni effacée, même par un attaquant.
Notez tout
Ouvrez un carnet papier (pas un fichier sur un poste peut-être compromis) et notez : l’heure, ce que vous avez constaté, les messages affichés, les actions faites et par qui. Prenez en photo l’écran de demande de rançon avec un téléphone. Ces notes serviront à l’enquête, à l’assureur et aux experts.
Prévenez vos équipes
Demandez à chacun de ne plus brancher de clé USB, de ne pas allumer les postes éteints et de ne pas tenter de « réparer » seul. Utilisez le téléphone plutôt que la messagerie de l’entreprise, qui peut être surveillée.
Les premières heures : qui prévenir quand votre entreprise est piratée ?
Une fois l’attaque contenue, plusieurs interlocuteurs doivent être informés, certains très rapidement.
Votre banque
Si l’attaque touche la messagerie, la comptabilité ou les accès bancaires, appelez votre conseiller sans attendre. Demandez une surveillance renforcée des opérations, le blocage des virements en attente et, si un virement frauduleux est parti, une demande de rappel des fonds. Plus l’appel est rapide, plus les chances de récupération sont grandes. Nous détaillons ce cas dans notre article sur la fraude au virement et aux faux RIB.
Votre assureur
Si vous avez une assurance cyber, ou une garantie cyber dans votre multirisque, déclarez le sinistre au plus vite. Beaucoup de contrats prévoient une assistance et imposent des démarches précises. Attention : depuis la loi LOPMI de 2023, l’indemnisation des pertes liées à une cyberattaque est conditionnée au dépôt d’une plainte dans les 72 heures suivant la découverte de l’attaque.
Cybermalveillance.gouv.fr et le 17 Cyber
Cybermalveillance.gouv.fr est le dispositif public d’assistance aux victimes. Son service 17 Cyber vous aide à qualifier la situation et vous oriente vers des prestataires référencés près de chez vous. CyberIris est l’un de ces prestataires référencés.
La police ou la gendarmerie
Déposez plainte, au commissariat ou à la gendarmerie, en apportant vos notes, les photos d’écran et tout message reçu. La plainte permet l’enquête, ouvre les droits auprès de l’assureur et vous protège si vos données sont ensuite utilisées pour piéger d’autres personnes.
La CNIL, si des données personnelles sont touchées
Si l’attaque concerne des données personnelles (clients, salariés, patients, adhérents), le RGPD vous impose de notifier la violation à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle ne présente pas de risque pour les personnes. Si le risque est élevé, les personnes concernées doivent aussi être informées. La notification se fait en ligne et peut être complétée plus tard.
Ce qu’il ne faut surtout pas faire
Sous la pression, certains réflexes naturels aggravent la situation. Voici les principaux à éviter :
- payer la rançon : rien ne garantit la récupération des données, et le paiement finance de nouvelles attaques. Les autorités françaises le déconseillent ;
- tout réinstaller tout de suite : vous effaceriez les traces nécessaires pour comprendre par où l’attaquant est entré, et il pourrait revenir par la même porte ;
- rebrancher les sauvegardes pour « voir si elles sont intactes » avant que le réseau soit assaini ;
- communiquer avec l’attaquant sans accompagnement ;
- garder le silence vis-à-vis de vos clients et partenaires s’ils risquent de recevoir de faux messages en votre nom ;
- changer les mots de passe depuis un poste compromis : faites-le depuis un appareil sain.
Les premiers jours : comprendre, nettoyer, redémarrer
Quand l’urgence est passée, le travail de fond commence. Il se déroule en trois temps.
Comprendre ce qui s’est passé
Un spécialiste analyse les postes et les journaux d’événements pour identifier le point d’entrée (un email piégé, un mot de passe réutilisé, un logiciel pas à jour, un accès à distance mal protégé), l’étendue de l’attaque et les données touchées. Sans cette étape, vous risquez de redémarrer avec la porte toujours ouverte.
Nettoyer et reconstruire
Les machines compromises sont réinstallées, tous les mots de passe sont changés (en commençant par les comptes administrateurs et la messagerie), les accès à distance sont revus. On active la double authentification, qui demande un code en plus du mot de passe, partout où c’est possible.
Restaurer les données
La restauration se fait à partir de sauvegardes saines, après vérification qu’elles ne contiennent pas le programme malveillant. On priorise les outils indispensables à l’activité : facturation, messagerie, logiciels métier. Un redémarrage progressif et contrôlé vaut mieux qu’un redémarrage précipité.
Repartir sur de bonnes bases pour éviter que ça recommence
Une attaque est presque toujours l’occasion de corriger des faiblesses connues. Les mesures les plus utiles pour une TPE ou une PME sont simples :
- une sauvegarde externalisée, immuable et testée régulièrement : c’est elle qui vous permet de repartir ;
- une protection des postes de nouvelle génération, appelée EDR : ce logiciel surveille le comportement des ordinateurs et bloque une attaque en cours, là où un antivirus classique ne reconnaît que les menaces déjà connues. Découvrez notre protection des postes par EDR ;
- une surveillance continue : un SOC (centre de surveillance de sécurité) analyse les alertes jour et nuit et réagit avant que l’attaque ne se propage. Notre SOC managé est accessible dès un poste ;
- des mises à jour régulières et la double authentification sur les comptes sensibles ;
- une sensibilisation de l’équipe aux emails piégés, car beaucoup d’attaques commencent par un message trompeur.
Enfin, rédigez une fiche réflexe d’une page avec les numéros utiles (banque, assureur, prestataire, 17 Cyber) et affichez-la. Le jour où vous en aurez besoin, vous gagnerez un temps précieux. Si vous ne savez pas par où commencer, notre autodiagnostic de cybersécurité vous donne un premier état des lieux en quelques minutes.
Questions fréquentes sur l’entreprise piratée
Faut-il payer la rançon pour récupérer nos données ?
Non, c’est fortement déconseillé. Payer ne garantit ni la récupération des données ni l’absence de nouvelle attaque, et cela finance les groupes criminels. La bonne réponse est de restaurer à partir de sauvegardes saines, avec l’aide d’un spécialiste.
Doit-on prévenir la CNIL à chaque cyberattaque ?
Seulement si des données personnelles sont concernées et que la violation présente un risque pour les personnes. Dans ce cas, la notification doit être faite dans les 72 heures après la découverte. En cas de doute, mieux vaut notifier : la déclaration peut être complétée ensuite.
Notre assurance couvre-t-elle une cyberattaque ?
Cela dépend de votre contrat. Certaines multirisques incluent une garantie cyber limitée, d’autres non. Relisez vos conditions ou appelez votre assureur dès la découverte de l’attaque, et pensez à déposer plainte dans les 72 heures, condition imposée par la loi pour l’indemnisation.
Peut-on continuer à travailler pendant la gestion de l’incident ?
Souvent, oui, de façon partielle : avec des postes sains, un téléphone, parfois une messagerie de secours. L’essentiel est de ne pas reconnecter des machines touchées avant leur nettoyage. Un plan de redémarrage par priorité permet de reprendre l’activité rapidement et sans risque.
Qui appeler en premier quand on découvre l’attaque ?
D’abord, isolez les postes touchés. Ensuite, appelez un prestataire capable d’intervenir, votre banque si des paiements sont en jeu, puis votre assureur. Le 17 Cyber de Cybermalveillance.gouv.fr peut aussi vous orienter. Vous pouvez nous joindre directement via notre formulaire de demande d’intervention urgente.
Votre entreprise vient d’être piratée ?
Appelez-nous : nous vous aidons à contenir l’attaque, à prévenir les bons interlocuteurs et à redémarrer sereinement.
Ou appelez-nous au 06 30 39 95 06.