Une cyberattaque ne prévient jamais : elle se déclare un vendredi à 18h, un écran de rançon apparaît, les fichiers deviennent illisibles, les services tombent un à un. C'est un accident : comme sur la route, ce sont les premières minutes qui décident si l'on s'en sort avec une frayeur ou avec un drame. Et comme pour un accident, la panique pousse à faire l'inverse de ce qu'il faut. Voici les gestes de premiers secours, dans le bon ordre.
1. Isoler, sans débrancher sauvagement
Premier objectif : stopper l'hémorragie, c'est-à-dire la propagation. Déconnectez les machines touchées du réseau (câble, Wi-Fi, VPN), isolez les segments concernés. Mais résistez à l'envie de tout éteindre d'un coup : couper brutalement le courant, c'est effacer la scène de crime. La mémoire vive d'une machine contient des indices précieux (ce que faisait l'attaquant, ses outils) qui disparaissent à l'extinction. Débrancher du réseau met le patient à l'écart ; l'éteindre lui fait perdre la mémoire. Ce n'est pas la même chose.
2. Activer la cellule de crise
Une crise cyber n'est pas qu'un problème d'informatique, c'est un problème d'entreprise. Réunissez vite les bonnes personnes : direction, IT/sécurité, juridique, communication, et surtout un décisionnaire capable de trancher sans réunir un comité. Désignez qui fait quoi, et tenez une main courante horodatée : dans le brouillard, elle sera votre seul repère.
Un détail qui n'en est pas un : communiquez hors du système compromis.
Gérer l'incident depuis la messagerie compromise, c'est exactement ça. Si l'attaquant est encore là, il lit vos constats, votre plan de réponse, vos échanges avec les autorités - et il adapte son attaque en conséquence. Basculez dès la première minute sur des moyens de communication externes (téléphones, messagerie tierce).
3. Préserver les preuves
Avant de nettoyer, de réinstaller, de « faire le ménage », arrêtez-vous. On ne passe pas la serpillière sur une scène de crime avant que l'enquêteur soit venu. Conservez les preuves : journaux, images disque des machines clés, message de rançon, adresses et indicateurs techniques. Elles serviront à comprendre par où c'est entré, à mesurer l'étendue réelle, à porter plainte et à répondre aux autorités. Effacer trop vite, c'est renoncer à la seule version fiable de l'histoire - et souvent, laisser la porte d'entrée ouverte pour la prochaine fois.
4. Ne pas payer la rançon
La position des autorités françaises est constante : ne payez pas. Payer, c'est croire un maître-chanteur sur parole : rien ne garantit que vous récupérerez vos données, que la copie volée ne sera pas revendue quand même, ni que l'attaquant ne reviendra pas - il vient de vérifier que vous payez. Vous financez au passage l'industrie qui vous a frappé. Mettez plutôt l'énergie sur la restauration à partir de sauvegardes saines et sur le durcissement. C'est précisément là qu'une stratégie de sauvegarde éprouvée fait toute la différence entre subir et décider.
5. Notifier et déclarer
Plusieurs obligations et recours s'enclenchent :
- CNIL : en cas de violation de données personnelles, une notification est requise dans les 72 heures après en avoir pris connaissance (RGPD).
- Plainte : déposez plainte auprès de la police ou de la gendarmerie.
- Assistance : le dispositif public Cybermalveillance.gouv.fr oriente et met en relation avec des prestataires ; le CERT-FR publie alertes et conseils.
- Assurance et obligations sectorielles : déclarez à votre assureur cyber et vérifiez vos obligations propres (secteur régulé, NIS2 à venir).
6. Restaurer, puis tirer les leçons
La remise en service se fait de façon maîtrisée : on ne rebranche pas un système tant qu'on n'a pas compris le point d'entrée et refermé la porte. Une fois l'activité rétablie, le retour d'expérience est essentiel : comment l'attaquant est-il entré, qu'est-ce qui a manqué, quelles mesures évitent la récidive. Une crise bien gérée renforce durablement la posture.
Le meilleur plan de réponse est celui qu'on a écrit et répété à froid : qui appeler, avec quels moyens, dans quel ordre. Kenawek vous aide à bâtir et éprouver votre dispositif de réponse à incident. Parlons-en.