Quand une cyberattaque frappe, la panique est mauvaise conseillère. Ce qui se joue dans les premières heures détermine l'ampleur des dégâts, votre capacité à redémarrer, et même votre indemnisation. Voici les réflexes, dans l'ordre. Imprimez-les et gardez-les hors ligne.
1. Isoler — sans tout éteindre
Débranchez les machines touchées du réseau et d'Internet (câble, Wi-Fi) pour stopper la propagation. Mais n'éteignez pas brutalement les serveurs si possible : certaines preuves et clés résident en mémoire. Coupez les accès distants (VPN, RDP).
2. Ne payez pas la rançon
C'est la position constante de l'État et de l'ANSSI : payer ne garantit rien (restitution, silence) et finance le crime organisé, qui vous reciblera. Concentrez-vous sur la restauration depuis vos sauvegardes.
3. Préservez les preuves
Ne supprimez rien, ne « nettoyez » pas trop vite. Notez l'heure de détection, faites des captures d'écran (message de rançon, alertes), conservez les journaux. Ces éléments serviront à l'enquête, à l'assurance et à comprendre la faille.
4. Alertez — en interne et au bon niveau
Prévenez la direction, votre prestataire informatique, et votre DPO si des données personnelles sont concernées. Désignez une personne qui coordonne : la cacophonie aggrave tout.
5. Qui appeler
- Votre prestataire IT (ou une équipe d'intervention) pour contenir et restaurer — 02 40 00 80 00 chez Astorya.
- cybermalveillance.gouv.fr : diagnostic et mise en relation avec des prestataires référencés.
- Votre assurance cyber, si vous en avez une (elle impose souvent une procédure précise).
6. Portez plainte — rapidement
Déposez plainte auprès de la police ou de la gendarmerie. C'est souvent exigé par l'assurance pour une indemnisation, et utile à l'enquête. Faites-le dans les jours qui suivent.
7. Notifiez la CNIL si des données personnelles ont fuité
En cas de violation de données personnelles, le RGPD impose une notification à la CNIL sous 72 heures, et parfois l'information des personnes concernées. Votre DPO pilote cette étape (voir notre guide RGPD).
8. Restaurez — proprement
Ne restaurez pas sur un environnement encore compromis, sinon ré-infection immédiate. Il faut d'abord identifier et fermer la faille, puis restaurer depuis une sauvegarde saine et immuable. C'est précisément là qu'une sauvegarde testée et hors ligne sauve l'entreprise.
Attaque en cours ? Isolez, ne payez pas, appelez-nous au 02 40 00 80 00. Pas encore touché ? C'est le moment de mettre en place ce qui fait la différence le jour J : sauvegarde immuable, MFA, EDR managé et un plan de réponse écrit. Audit gratuit.
Pour que ça n'arrive pas
La meilleure gestion de crise, c'est celle qu'on n'a pas à vivre. Les 5 réflexes anti-rançongiciel (EDR, sauvegarde immuable, MFA partout, sensibilisation, plan testé) réduisent drastiquement le risque : tout est dans notre guide rançongiciels.
En résumé
Dans l'ordre : isoler, ne pas payer, préserver les preuves, alerter, appeler les bons interlocuteurs, porter plainte, notifier la CNIL si besoin, restaurer proprement. Gardez ce plan hors ligne — et faites-vous accompagner, à Saint-Nazaire, Nantes et Ancenis.