Comment réagir en cas de cyberattaque : guide pratique

Votre écran affiche un message de rançon. Vos fichiers sont inaccessibles. Votre site web est hors ligne. La panique s'installe. Chaque minute compte. En 2026, les cyberattaques touchent toutes les entreprises, des grands groupes aux TPE. La différence entre une crise maîtrisée et une catastrophe réside dans la rapidité et la pertinence de votre réaction. Voici un guide concret pour savoir exactement quoi faire.

Les premières minutes : contenir l'attaque

Isoler les systèmes touchés

La priorité absolue est d'empêcher la propagation de l'attaque au reste de votre réseau.

• Déconnectez immédiatement les machines infectées du réseau (câble Ethernet et Wi-Fi)
• Ne les éteignez pas : la mémoire vive peut contenir des traces utiles pour l'investigation
• Isolez les segments réseau concernés si vous disposez d'un pare-feu avec segmentation
• Changez les mots de passe des comptes administrateurs depuis un poste sain

Alerter les bonnes personnes

Constituez sans attendre votre cellule de crise :

• Votre responsable informatique ou votre prestataire IT
• La direction générale
• Le délégué à la protection des données (DPO) si des données personnelles sont concernées
• Votre assureur si vous disposez d'une cyber-assurance

Les premières heures : évaluer et communiquer

Évaluer l'étendue des dégâts

Avant de tenter quoi que ce soit, il faut comprendre ce qui s'est passé :

• Quel type d'attaque ? Ransomware, vol de données, déni de service, compromission de compte…
• Quels systèmes sont touchés ? Serveurs, postes de travail, messagerie, site web, ERP…
• Des données ont-elles été exfiltrées ? Vérifiez les logs réseau et les alertes de votre solution de sécurité
• Quel est le point d'entrée ? Email de phishing, vulnérabilité exploitée, accès distant compromis…

Communiquer en interne

Informez vos collaborateurs de manière claire et factuelle :

• Décrivez la situation sans minimiser ni dramatiser
• Donnez des consignes précises : ne pas utiliser certains outils, ne pas ouvrir certains fichiers
• Mettez en place un canal de communication alternatif si la messagerie est compromise (téléphone, messagerie instantanée externe)

Prévenir les autorités

En France, plusieurs obligations légales s'appliquent :

• CNIL : si des données personnelles sont compromises, vous devez notifier la CNIL dans les 72 heures (article 33 du RGPD)
• ANSSI : l'Agence nationale de la sécurité des systèmes d'information peut vous accompagner, notamment via la plateforme cybermalveillance.gouv.fr
• Dépôt de plainte : portez plainte auprès de la police ou de la gendarmerie, service spécialisé en cybercriminalité

La phase de remédiation

Ne jamais payer la rançon

Dans le cas d'un ransomware, les autorités recommandent unanimement de ne pas payer :

• Rien ne garantit la récupération de vos données
• Vous financez directement les activités criminelles
• Vous devenez une cible privilégiée pour de futures attaques
• Dans certains cas, le paiement peut engager votre responsabilité juridique

Restaurer depuis les sauvegardes

C'est le moment de vérité pour votre stratégie de sauvegarde :

• Vérifiez l'intégrité de vos sauvegardes avant toute restauration
• Restaurez d'abord dans un environnement isolé pour vous assurer que les données ne sont pas infectées
• Procédez par priorité : systèmes critiques d'abord (ERP, messagerie, comptabilité)
• Documentez chaque étape de la restauration

Corriger les vulnérabilités

Avant de remettre vos systèmes en production :

• Appliquez tous les correctifs de sécurité en attente
• Réinitialisez l'ensemble des mots de passe
• Renforcez les accès avec l'authentification multifacteur
• Vérifiez qu'aucune porte dérobée n'a été installée

Après la crise : tirer les leçons

Une fois la situation stabilisée, organisez un retour d'expérience complet :

• Chronologie détaillée de l'incident
• Identification des failles exploitées
• Évaluation de l'efficacité de la réponse
• Plan d'action pour renforcer votre sécurité

Conclusion

Une cyberattaque ne prévient pas. La meilleure façon de limiter les dégâts est de s'y préparer. Élaborez un plan de réponse aux incidents, testez-le régulièrement et formez vos équipes. Si vous n'avez pas encore de plan de continuité d'activité, c'est le moment d'en faire une priorité. Faites appel à un expert en cybersécurité pour évaluer votre niveau de préparation et construire un dispositif adapté à votre entreprise.