Gérer une cyberattaque en entreprise : les premiers gestes, puis la sortie de crise.
Écran de rançon, fichiers illisibles, comptes bloqués : les premières heures décident de l'ampleur des dégâts. Ce guide reprend, dans l'ordre, les consignes officielles de l'ANSSI et de Cybermalveillance.gouv.fr : les gestes immédiats d'abord, puis qui prévenir, comment redémarrer et comment se préparer.
Mis à jour le 14 octobre 2026 · Sources : ANSSI, Cybermalveillance.gouv.fr, CNIL
Que faire immédiatement en cas de cyberattaque ?
Isolez, sans éteindre. Coupez l'accès Internet du réseau touché, débranchez du réseau les machines infectées et les sauvegardes encore connectées, mais laissez allumés les postes touchés : leur mémoire contient des preuves. Ne rallumez pas les machines éteintes, alertez votre prestataire informatique, notez tout et ne payez pas. C'est la séquence recommandée par Cybermalveillance.gouv.fr et l'ANSSI.
-
01Couper Internet
Coupez les connexions à Internet du réseau attaqué, au besoin en éteignant la box ou le routeur. L'attaquant ne peut plus piloter son rançongiciel ni lancer une nouvelle vague de chiffrement, et l'exfiltration de données s'interrompt.
-
02Isoler les machines touchées
Débranchez du réseau les postes et serveurs infectés, sans oublier le Wi-Fi. Si vos sauvegardes sont connectées au réseau, débranchez-les aussi, sans attendre, pour éviter leur destruction ; leur intégrité sera vérifiée avant toute restauration.
-
03Ne pas éteindre
Laissez les machines touchées sous tension : une extinction électrique peut effacer de la mémoire des éléments utiles à l'enquête, voire au déchiffrement. Si le chiffrement est encore en cours, privilégiez la mise en veille prolongée.
-
04Ne rien rallumer
Les équipements éteints au moment de l'attaque restent éteints : poste d'un collaborateur absent, machine pas encore démarrée ce matin. Interdisez aussi les clés USB et les disques externes.
-
05Alerter
Prévenez immédiatement votre service ou prestataire informatique. Sans prestataire, le service 17Cyber, opéré par la Police nationale, la Gendarmerie nationale et Cybermalveillance.gouv.fr, vous oriente.
-
06Piloter la crise
Réunissez une cellule de crise autour de la direction et ouvrez une main courante : pour chaque action ou événement, l'heure, la personne et une description. Ce journal servira aux décisions, à la plainte et à l'assureur.
-
07Ne pas payer
Rien ne garantit que vous récupérerez vos données, et le paiement encourage de nouvelles attaques (voir la section 03).
-
08Préserver les preuves
Ne supprimez rien : message de rançon, journaux, fichiers chiffrés. Faites conserver les traces par un professionnel et gardez les données chiffrées : un outil de déchiffrement peut être publié plus tard.
Pourquoi ne pas tout éteindre ? Parce que le réflexe naturel détruit des indices : selon le guide de l'ANSSI « Attaques par rançongiciels, tous concernés », l'extinction d'une machine chiffrée peut réduire les chances de retrouver en mémoire de quoi récupérer les fichiers. Couper Internet a un coût (applications externalisées et courriels bloqués), mais il se gère en parallèle. Ces huit gestes suivent l'ordre de la fiche réflexe de Cybermalveillance.gouv.fr : c'est la première étape de toute gestion de crise cyber.
Qui prévenir après une cyberattaque, et dans quels délais ?
En parallèle de la réponse technique, quatre démarches : l'assistance (prestataire informatique ou 17Cyber), la plainte auprès de la police ou de la gendarmerie, la déclaration à votre assureur et, si des données personnelles ont pu être consultées, modifiées ou détruites, la notification à la CNIL. Deux délais comptent, en l'état du droit au 15 octobre 2026 : 72 heures pour la plainte si vous voulez être indemnisé par votre assurance, 72 heures pour la CNIL.
| Qui prévenir | Quand | Pourquoi |
|---|---|---|
| Votre prestataire informatique, ou 17Cyber | Immédiatement | Endiguer et qualifier l'incident ; 17Cyber oriente les victimes sans prestataire. |
| Police, gendarmerie ou procureur de la République | Au plus tard 72 h après avoir eu connaissance de l'atteinte (droit en vigueur au 15 octobre 2026), et avant de réinstaller les machines | Ouvrir une enquête. Sans plainte dans ce délai, l'assureur ne peut pas indemniser l'atteinte : article L12-10-1 du Code des assurances. |
| Votre assureur | Dès que possible, et au plus tard dans le délai fixé par votre contrat | Déclarer le sinistre : selon votre contrat, prise en charge des pertes ou assistance. |
| La CNIL | Dans les meilleurs délais et, si possible, 72 h au plus tard après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes | Obligation de l'article 33 du RGPD ; notification en ligne, qui peut être complétée ensuite. |
| Les personnes concernées | Dans les meilleurs délais, si le risque pour elles est élevé | Article 34 du RGPD : clients, salariés, partenaires. |
La plainte se dépose au nom de l'entreprise, au commissariat, en gendarmerie ou par écrit au procureur de la République ; un collaborateur qui s'en charge doit disposer d'une délégation de pouvoir signée par le représentant légal. Le guide de l'ANSSI liste les pièces utiles : main courante, message de rançon, journaux de sécurité, échantillons de fichiers chiffrés, adresses de messagerie et de cryptomonnaie fournies par l'attaquant.
Côté CNIL, l'article 33 du RGPD impose de notifier « dans les meilleurs délais et, si possible, 72 heures au plus tard » après avoir pris connaissance de la violation. Inutile d'attendre d'avoir tout compris : le téléservice de la CNIL accepte une notification initiale, complétée ensuite. Des fichiers clients ou RH chiffrés ou copiés par l'attaquant constituent une violation de données : elle doit être notifiée, sauf si elle n'est pas susceptible d'engendrer un risque pour les personnes. Dans le doute, notifiez. Chaque violation doit, en outre, être documentée en interne.
Attaque par ransomware : faut-il payer la rançon ?
Non. L'ANSSI recommande de ne jamais payer : le paiement ne garantit pas d'obtenir un moyen de déchiffrement, il entretient l'activité des cybercriminels et n'empêche pas une nouvelle attaque. Cybermalveillance.gouv.fr donne la même consigne. Et même avec la clé, tout ne revient pas : les fichiers modifiés pendant leur chiffrement, comme une base de données en cours d'écriture, ont de fortes chances d'être corrompus.
Ce que vous pouvez faire à la place : conserver les données chiffrées, puis vérifier si un outil de déchiffrement existe pour votre rançongiciel. Le projet No More Ransom, lancé par Europol, la police néerlandaise et des éditeurs de sécurité, recense des outils pour un grand nombre de rançongiciels. Selon le guide de l'ANSSI, la plainte ouvre aussi une enquête, suivie d'une « chasse aux clés » qui permet parfois de déchiffrer les données.
La vraie réponse à un rançongiciel se prépare avant l'attaque : une sauvegarde saine, hors d'atteinte de l'attaquant, rend la rançon sans objet. C'est pourquoi l'ANSSI demande que les sauvegardes, au moins les plus critiques, soient déconnectées du système d'information. Les cybercriminels s'en prennent de plus en plus à elles, précisément pour forcer le paiement.
Comment restaurer l'activité après une cyberattaque ?
En reconstruisant depuis des sources saines, pas en « nettoyant ». L'ANSSI recommande de réinstaller les systèmes touchés sur un support connu, puis de restaurer les données depuis une sauvegarde antérieure à la compromission, vérifiée saine. Avant toute remise en service : faille corrigée, mots de passe changés, mises à jour appliquées. Pendant ce temps, c'est votre plan de continuité qui fait tourner l'activité.
PCA et cyberattaque : deux plans, deux rôles. Le plan de continuité permet de fonctionner pendant que le système d'information est altéré, en mode dégradé, parfois « au papier et au crayon », note l'ANSSI ; le plan de reprise remet en service systèmes et données. Un plan de continuité et de reprise d'activité (PCA/PRA) fixe ces priorités à froid : quelles applications redémarrer d'abord, dans quel délai (RTO), avec quelle perte de données acceptable (RPO).
La remise en service se fait ensuite progressivement, sous contrôle : Cybermalveillance.gouv.fr recommande de vérifier que les vulnérabilités sont corrigées et de surveiller étroitement le réseau, pour repérer un éventuel retour de l'attaquant.
Chez Global SP, la procédure d'incident cyber suit ces mêmes temps : isolation immédiate des systèmes compromis pour stopper la propagation, analyse forensique pour identifier le vecteur d'attaque, puis restauration depuis les sauvegardes saines. Si la production est entièrement chiffrée et que l'option de sauvegarde immuable est souscrite, la restauration part de la copie immuable, hors réseau.
Comment communiquer pendant une crise cyber ?
Vite, avec transparence, et d'une seule voix. Informez d'abord vos équipes, que l'écran de rançon inquiète, puis clients, partenaires, fournisseurs et, si besoin, autorités et médias, avec des messages validés par la direction. Toute sollicitation extérieure remonte à une personne désignée. Prévoyez des canaux de secours : messagerie et téléphonie peuvent tomber avec le reste du système.
Le guide de l'ANSSI insiste sur la préparation : cartographier à l'avance les publics à informer, les parties prenantes avec qui se coordonner (prestataires, filiales, autorités) et les actions à mener à court et moyen terme. Pendant la crise, il conseille de rappeler aux collaborateurs la clause de confidentialité de leur contrat face aux sollicitations extérieures et aux réseaux sociaux.
Une règle simple aide à tenir la ligne : dire ce que l'on sait, ce que l'on fait, et quand viendra le prochain point. Ne vous engagez ni sur l'origine de l'attaque ni sur un délai de reprise que personne ne maîtrise encore.
Que faire une fois l'attaque maîtrisée ?
Comprendre, corriger, durcir. Identifiez l'origine de l'attaque et ce que l'attaquant a fait sur votre réseau (comptes créés, programmes inconnus, tâches planifiées), mesurez l'étendue de l'intrusion, puis corrigez la faille exploitée. La main courante devient alors la base du retour d'expérience : ce qui a fonctionné, ce qui a manqué, ce qui doit changer dans votre plan de réponse.
Il n'existe pas de solution unique contre une cyberattaque. Les mesures qui reviennent dans les recommandations de l'ANSSI et de Cybermalveillance.gouv.fr sont connues : mises à jour rapides, en priorité sur ce qui est exposé à Internet ; antivirus ou EDR sur tous les postes et serveurs ; double authentification sur les accès distants ; droits d'administration limités ; cloisonnement du réseau ; supervision des journaux pour détecter l'intrusion avant le chiffrement.
La difficulté, pour une PME, n'est pas de connaître ces mesures mais de les tenir dans la durée. C'est l'objet de notre offre de cybersécurité pour PME : chez Global SP, EDR, MFA et durcissement sont opérés au quotidien et, à partir du niveau Maîtrise, les alertes sont surveillées 24/7 par des experts basés en France, qui les qualifient et les escaladent.
Comment se préparer avant une cyberattaque ?
Se préparer à une cyberattaque tient en trois chantiers : des sauvegardes déconnectées ou immuables, éprouvées par de vraies restaurations ; un plan de réponse écrit, qui dit qui décide, qui appelle qui et avec quels moyens de secours ; des exercices de crise pour le tester. L'ANSSI recommande d'actualiser ce plan et de l'éprouver régulièrement, direction comprise.
Sur les sauvegardes, la règle 3-2-1 reste la base : trois copies, sur deux supports différents, dont une hors ligne, comme le recommande l'ANSSI. Une sauvegarde immuable va plus loin : protégée en écriture pendant une durée configurable, elle ne peut pas être modifiée par un rançongiciel, même si l'attaquant a obtenu des droits d'administrateur. Encore faut-il la restaurer pour de vrai : une sauvegarde qui n'a jamais été restaurée reste une hypothèse.
Pour l'exercice, l'ANSSI publie un guide, « Organiser un exercice de gestion de crise cyber », complété par des kits prêts à l'emploi pour certains secteurs. Pour la prévention au sens large, consultez notre guide de la cybersécurité des PME.
Chez Global SP, les plans de reprise (PRA/PCA) sont définis contractuellement avant un incident, pas pendant ; en option, la sauvegarde immuable est hébergée dans nos datacenters en Île-de-France, et le niveau Sérénité de notre offre PRA / PCA prévoit un test PRA semestriel qui contrôle la capacité réelle de reprise. Pour savoir où vous en êtes, l'audit PRA/PCA gratuit pose cinq questions critiques sur vos sauvegardes, vos dépendances et votre reprise.
Gestion de crise cyberattaque : les questions fréquentes.
Faut-il éteindre un ordinateur touché par un rançongiciel ?
Non. Isolez-le du réseau, câble et Wi-Fi, mais laissez-le allumé : sa mémoire peut contenir des éléments utiles à l'enquête, voire au déchiffrement. Si le chiffrement est encore en cours, Cybermalveillance.gouv.fr et l'ANSSI conseillent la mise en veille prolongée. Les machines déjà éteintes, elles, ne doivent pas être rallumées.
Quel est le délai pour porter plainte après une cyberattaque ?
En l'état du droit au 15 octobre 2026, pour être indemnisée par son assurance, une entreprise doit porter plainte au plus tard 72 heures après avoir eu connaissance de l'atteinte : c'est l'article L12-10-1 du Code des assurances, en vigueur depuis le 24 avril 2023. Ce point de départ pourrait évoluer : vérifiez la version en vigueur sur Légifrance le jour de l'incident. Déposez-la avant de réinstaller les machines touchées, pour préserver les preuves.
Faut-il prévenir la CNIL après une cyberattaque ?
Oui, si des données personnelles ont pu être consultées, modifiées ou détruites, sauf si la violation n'est pas susceptible d'engendrer un risque pour les personnes. L'article 33 du RGPD impose de notifier dans les meilleurs délais, si possible sous 72 heures ; une notification initiale peut être complétée ensuite. Si le risque est élevé, les personnes concernées doivent aussi être informées.
Quelle différence entre PCA et PRA face à une cyberattaque ?
Le plan de continuité (PCA) permet de continuer à travailler pendant que le système d'information est altéré, en mode dégradé si besoin. Le plan de reprise (PRA) remet en service les systèmes et restaure les données. Face à un rançongiciel, il faut les deux, préparés et testés avant l'incident : voir notre offre PRA / PCA et continuité d'activité.
Comment gérer une attaque ransomware quand on est une PME sans service informatique ?
Appliquez les premiers gestes (couper Internet, isoler sans éteindre), puis faites-vous aider : le service 17Cyber oriente les victimes, et Cybermalveillance.gouv.fr permet d'entrer en contact avec des prestataires de proximité. Les clients de Global SP joignent le support au 01 44 70 48 48, où un humain répond du lundi au vendredi de 8h à 19h. En dehors de ces horaires, la supervision proactive continue et nos ingénieurs internes interviennent 24/7, sur site si nécessaire.
Sources officielles citées dans ce guide
Plus de 2 000 entreprises accompagnées depuis 2000
La prochaine crise se prépare aujourd'hui.
Sauvegardes, plan de reprise, scénario de crise : faites le point avec un ingénieur, sans engagement. Si l'attaque est en cours, appliquez d'abord les premiers gestes ci-dessus.
Support 01 44 70 48 48 · Commerce 01 44 70 48 42