Victime d'une cyberattaque : que faire dans la première heure
Postes bloqués, messagerie piratée, virements suspects : les premières décisions conditionnent la suite. Cette fiche donne l'ordre des actions à mener, à imprimer et à garder à portée de main.
Équipe éditoriale Kayzen Security3 min de lecture
1. Contenir
- Débranchez du réseau (câble et Wi-Fi) les appareils qui semblent touchés.
- Si l'attaque se propage, coupez l'accès Internet du site ou isolez le réseau concerné.
- Changez depuis un appareil sain les mots de passe des comptes compromis, en commençant par la messagerie et les comptes administrateurs.
- Déconnectez les sauvegardes encore reliées au réseau.
2. Alerter
- Votre prestataire informatique ou votre référent sécurité.
- La direction, qui décide de la communication et des déclarations.
- Votre banque, immédiatement, en cas de virement frauduleux ou de doute sur les comptes.
- Votre assureur si vous avez une garantie cyber : certains contrats prévoient un délai de déclaration et une assistance. Attention, l'indemnisation suppose une plainte déposée sous 72 heures (voir ci-dessous).
3. Préserver les preuves
- Notez l'heure de chaque constat et de chaque action dans un journal.
- Photographiez les messages affichés à l'écran.
- Conservez les e-mails suspects avec leurs en-têtes, les journaux et les appareils en l'état.
- Ne supprimez rien et ne réinstallez rien sans l'avis du professionnel qui vous accompagne.
4. Se faire aider et déclarer
- 17Cyber (17cyber.gouv.fr) : diagnostic gratuit en ligne et conseils ; Cybermalveillance.gouv.fr oriente vers des prestataires labellisés ExpertCyber.
- Dépôt de plainte auprès de la police ou de la gendarmerie, sans attendre. Professionnels assurés contre le risque cyber : le code des assurances (article L.12-10-1) subordonne l'indemnisation au dépôt d'une plainte au plus tard 72 heures après la découverte de l'attaque. Déposez plainte sans attendre, puis prévenez votre assureur. Point à valider avec votre assureur ou un professionnel.
- Violation de données personnelles : notification à la CNIL dans les meilleurs délais et, si possible, sous 72 heures, sauf si elle n'est pas susceptible d'engendrer un risque pour les personnes ; information des personnes en cas de risque élevé (articles 33 et 34 du RGPD).
- Entités soumises à NIS2 : en cas d'incident important, alerte précoce au CSIRT ou à l'autorité compétente sous 24 heures, notification sous 72 heures, rapport final sous un mois. À valider par un professionnel.
- Ne payez pas de rançon : c'est la recommandation constante des autorités.
5. Redémarrer et tirer les leçons
- Comprenez la porte d'entrée et corrigez-la avant de tout remettre en service.
- Restaurez depuis des sauvegardes saines, vérifiées.
- Surveillez de près les comptes et les postes dans les semaines qui suivent.
- Organisez un retour d'expérience et mettez à jour votre plan de réaction.
Les obligations de déclaration (RGPD, NIS2, contrat d'assurance, plainte sous 72 heures pour l'indemnisation cyber) dépendent de votre situation : faites-les valider par un professionnel. Ce guide est informatif et ne remplace pas l'accompagnement d'un prestataire qualifié.
Sources officielles
- 17Cyber (nouvel onglet) — Le réflexe en cas de cybermalveillance (Police nationale, Gendarmerie nationale, Cybermalveillance.gouv.fr)
- Cybermalveillance.gouv.fr (nouvel onglet) — Assistance et prévention en sécurité numérique (fiches réflexes, prestataires ExpertCyber)
- CNIL (nouvel onglet) — Commission nationale de l'informatique et des libertés
- EUR-Lex (nouvel onglet) — Règlement (UE) 2016/679 (RGPD)
- EUR-Lex (nouvel onglet) — Directive (UE) 2022/2555 (NIS 2), Journal officiel de l'Union européenne
Les ressources citées sont publiées par leurs auteurs, dans leur langue d'origine. Kayzen n'est affilié à aucun de ces organismes.
Ce guide est informatif et général. Il ne remplace ni un conseil juridique ni l'intervention d'un professionnel de la sécurité informatique.