Que faire après une cyberattaque : les premières heures, dans l'ordre
Sommaire · 7 sections
01Les cinq gestes de la première heure
02Les trois erreurs qui aggravent tout
Éteindre les machines. Le réflexe est naturel et il est mauvais. La mémoire vive contient des éléments qui disparaissent à l’extinction : processus en cours, connexions actives, parfois des clés de chiffrement. Isolez du réseau, laissez sous tension.
Réinstaller ou nettoyer tout de suite. Formater un poste supprime la preuve de l’entrée. Sans elle, vous ne saurez pas par où l’attaquant est passé — donc vous ne pourrez pas l’empêcher de revenir par le même chemin, ce qui arrive régulièrement.
Restaurer avant d’avoir compris. Remettre en service une sauvegarde sur un environnement encore compromis, c’est offrir une seconde cible. Il faut d’abord établir que le chemin d’entrée est fermé.
03Qui prévenir, et dans quel délai
| Qui | Quand | Pourquoi |
|---|---|---|
| Direction | immédiatement | Les décisions qui suivent — arrêt d’activité, communication, paiement — lui appartiennent |
| Prestataire informatique | immédiatement | Confinement, analyse, restauration |
| Assureur | dans les délais du contrat, souvent très courts | Beaucoup de polices imposent une déclaration sous 24 à 72 heures et le recours à leurs experts |
| CNIL | 72 heures après la prise de connaissance | Obligatoire si des données personnelles sont concernées, à moins que la violation ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes |
| Personnes concernées | sans délai injustifié | Si le risque pour leurs droits et libertés est élevé |
| Dépôt de plainte | Au plus tard 72 h après connaissance de l’atteinte pour la garantie cyber concernée | Condition légale de certaines indemnisations des professionnels ; déposez plainte rapidement dans tous les cas |
| Clients et partenaires | selon l’impact | Mieux vaut l’apprendre de vous que d’une fuite publiée |
La notification CNIL et la plainte pour certaines garanties cyber ont chacune leur propre délai de 72 h et leurs propres conditions. Sources officielles en fin de guide.
Le délai de 72 heures court à partir du moment où vous prenez connaissance de la violation, pas de la date de l’attaque. Si vous ne disposez pas encore de toutes les informations, la notification peut être faite en plusieurs temps — mieux vaut notifier incomplet dans le délai que complet hors délai.
04Faut-il payer la rançon ?
La réponse courte est non, et la réponse longue mérite d’être connue avant d’être en situation de se la poser.
Payer n’achète pas ce qu’on croit. Vous obtenez au mieux un outil de déchiffrement, souvent lent et partiel : la restauration reste longue, et une partie des données ne revient pas. Vous n’obtenez aucune garantie sur les données déjà exfiltrées, qui peuvent être publiées ou revendues malgré le paiement. Vous signalez enfin que votre entreprise paie, ce qui augmente la probabilité d’une seconde attaque.
Le paiement finance également l’écosystème qui a produit l’attaque, et selon l’entité destinataire, il peut vous exposer juridiquement. La position des autorités françaises est constante sur ce point : ne pas payer.
La seule situation où la question se pose réellement est celle d’une entreprise sans sauvegarde exploitable dont l’activité s’arrête. C’est-à-dire une entreprise pour laquelle la décision s’est jouée des mois plus tôt, le jour où personne n’a testé la restauration.
05Reprendre l’activité
La reprise suit un ordre, et le sauter coûte cher.
La durée de cette reprise est ce que mesure le délai de rétablissement d’un plan de continuité. Si vous ne l’avez jamais estimée, vous la découvrirez à ce moment-là — voir le guide construire un PRA pour une PME.
Deux délais à décider avant l’incident.
La reprise se prépare en définissant la perte de données acceptable et le temps maximal avant le retour du service.
- 01Dernière copieRPO
Le RPO fixe la quantité de données que l’activité peut perdre.
- 02IncidentAlerte
On isole, on comprend et on choisit le mode dégradé.
- 03Service rétabliRTO
Le RTO fixe le temps acceptable pour reprendre l’activité.
Ces objectifs se chiffrent par service ; ils ne sont pas une garantie sans plan et contrat adaptés.
06Les jours suivants
La crise ne se termine pas au redémarrage. Trois choses restent à faire, et ce sont elles qui déterminent si l’incident aura servi à quelque chose.
Le retour d’expérience écrit. Chronologie, chemin d’entrée, ce qui a fonctionné, ce qui a manqué, décisions prises et leur motif. Rédigé pendant que les souvenirs sont frais, il vaut mieux que n’importe quel audit théorique.
Le plan de correction. Les mesures qui auraient empêché ou limité l’attaque, ordonnées, chiffrées, avec une échéance. C’est le moment où une organisation accepte des changements qu’elle refusait six mois plus tôt.
La surveillance renforcée. Les retours d’attaquants sur un environnement déjà compromis sont fréquents dans les semaines qui suivent. Une supervision accrue pendant cette période est justifiée.
07Ce qu’il fallait avoir préparé
Si vous lisez ce guide sans être en crise, voici la partie utile. Quatre choses, qui se préparent en quelques jours et changent tout le jour venu.
| À préparer | Ce que ça évite |
|---|---|
| Une sauvegarde hors d’atteinte, restaurée au moins une fois | La question de la rançon ne se pose plus |
| La liste des numéros à appeler, hors du système d’information | Chercher le contact de son assureur dans une messagerie chiffrée |
| Un inventaire à jour de ce qui tourne | Des heures perdues à établir le périmètre en pleine crise |
| Les conditions de votre police d’assurance, lues avant | Découvrir un délai de déclaration dépassé |
Sources : obligations de notification issues du règlement général sur la protection des données (articles 33 et 34) ; recommandations des autorités nationales en matière de réponse à incident — sources datées en fin de guide. 8TECH est labellisée ExpertCyber — où le vérifier. Les constats de terrain proviennent des incidents traités par nos équipes (1er semestre 2026, ensemble des clients).