Cyberattaque en PME : que faire dans les premières heures

Il est 8 h 10, et plus aucun fichier du serveur ne s'ouvre. Sur plusieurs écrans, un message réclame une rançon. Dans cette situation, les premiers gestes pèsent lourd, et certains réflexes naturels aggravent les dégâts. Voici la conduite à tenir pour une PME, d'après la fiche réflexe du dispositif officiel Cybermalveillance.gouv.fr.

Le mieux reste d'imprimer cette page dès aujourd'hui. Le jour de l'attaque, le réseau et la messagerie ne seront peut-être plus disponibles.

Les premiers gestes

1. Coupez les connexions à Internet du réseau attaqué. Si c'est une box ou un routeur qui donne l'accès, éteignez-le.
2. Déconnectez du réseau les machines touchées, par le câble ou le Wi-Fi, pour limiter la propagation.
3. Débranchez les sauvegardes encore connectées au réseau. Une sauvegarde accessible depuis le réseau peut être chiffrée à son tour.
4. Alertez votre service ou votre prestataire informatique. Si vous n'en avez pas, suivez le parcours d'assistance de 17Cyber, le service public d'assistance aux victimes.
5. Ouvrez un registre. Notez chaque constat et chaque action, avec l'heure et le nom de la personne. Ce journal servira à l'enquête, à l'assureur et aux décisions des jours suivants.

Ce qu'il ne faut pas faire

• N'éteignez pas les machines touchées : les preuves présentes en mémoire seraient perdues. Une exception existe si le chiffrement est encore en cours : une extinction conservatoire peut alors s'envisager, en privilégiant la mise en veille prolongée.
• Ne rallumez pas les machines épargnées qui étaient éteintes : elles pourraient être compromises à leur tour.
• Ne réinstallez rien avant d'avoir déposé plainte : vous effaceriez les preuves techniques.
• Ne payez pas la rançon : rien ne garantit la récupération des données, elles peuvent être publiées malgré tout, et le paiement encourage de nouvelles attaques.

Deux délais de 72 heures à connaître

Ces deux délais ont des points de départ et des objets différents. Le plus simple est de les traiter en parallèle dès le premier jour.

La plainte, pour être indemnisé par une assurance cyber. Depuis le 24 avril 2023, l'article L12-10-1 du Code des assurances subordonne l'indemnisation des pertes liées à une cyberattaque au dépôt d'une plainte au plus tard 72 heures après que la victime a eu connaissance de l'attaque. Ce texte concerne les personnes morales et les personnes physiques dans le cadre de leur activité professionnelle. Prévenez aussi votre assureur, et lisez votre contrat : tous ne couvrent pas ce risque.

La notification à la CNIL, si des données personnelles sont touchées. Si des données ont pu être consultées, modifiées ou détruites et que cela présente un risque pour les personnes concernées, le RGPD impose de notifier la violation à la CNIL dans les meilleurs délais, et au plus tard 72 heures après en avoir pris connaissance. Une notification initiale peut être complétée ensuite. Si le risque pour les personnes est élevé, il faut aussi les informer.

Ces obligations existent déjà. Elles ne dépendent pas de NIS 2, dont la transposition n'est toujours pas achevée en France.

Les jours suivants

Une fois l'attaque contenue, l'ordre des opérations compte autant que leur rapidité :

• Conservez les preuves avec l'aide d'un professionnel : journaux des équipements, copies des postes et serveurs touchés, message de rançon, quelques fichiers chiffrés.
• Identifiez l'origine et l'étendue de l'intrusion. Sans cela, vous risquez de restaurer un système dont la porte d'entrée est toujours ouverte.
• Cherchez une solution de déchiffrement, par exemple sur le site No More Ransom soutenu par Europol. Il n'en existe pas pour tous les rançongiciels.
• Réinstallez les systèmes touchés et restaurez depuis une sauvegarde antérieure à l'attaque et vérifiée saine.
• Changez tous les mots de passe concernés, en commençant par les comptes administrateurs et les accès à distance.
• Mettez à jour les logiciels et les équipements avant de les remettre en service, progressivement et sous surveillance.

Prévoyez aussi ce que vous dites à vos clients, à vos salariés et à vos fournisseurs. Une courte information factuelle vaut mieux que le silence, surtout si leurs données ou vos livraisons sont concernées.

Ce qu'il faut préparer dès maintenant

Une heure de préparation change beaucoup de choses le jour de la crise :

• Une page imprimée avec les numéros de votre prestataire, de votre assureur et de la direction, et le nom de la personne qui décide de couper le réseau.
• Une sauvegarde hors ligne ou hors site, restaurée au moins une fois pour de vrai. C'est le point qui décide le plus souvent de la suite. Voir notre page sur la sauvegarde et le plan de reprise d'activité.
• Une liste de ce qui doit redémarrer en premier : facturation, production, messagerie, et comment travailler quelques jours sans ces outils.
• Une vérification du contrat d'assurance : ce qui est couvert, et qui appeler.

Pour poser ces bases sans tout remettre à plat, consultez notre page sur la sécurité informatique des PME, ou le guide de l'ANSSI, La cybersécurité pour les TPE/PME en treize questions. Pour limiter la propagation d'une attaque, lisez aussi notre page sur la protection contre les rançongiciels.

Sources (consultées le 2 novembre 2026) :

• Rançongiciel : que faire si votre organisation est victime d'une attaque ? — Cybermalveillance.gouv.fr
• Article L12-10-1 du Code des assurances — Légifrance
• Violations de données personnelles : les règles à suivre — CNIL

Cet article donne des repères généraux et ne remplace ni un conseil juridique, ni l'accompagnement d'un professionnel sur un incident en cours.