Guide de première réaction en cas d'incident

Un écran qui affiche une demande de rançon. Des fichiers aux noms étranges. Une boîte mail qui envoie des messages toute seule. Dans ces moments-là, on a envie de tout débrancher, de tout effacer, ou de tout réparer tout de suite. Les premières minutes comptent, mais pas pour aller vite : pour ne pas aggraver la situation et garder ce qui permettra de comprendre.

Cette fiche tient en six gestes. Imprimez-la et rangez-la là où on la trouvera le jour où les écrans ne répondront plus.

1. Isoler, sans éteindre

Le premier réflexe est de couper l'appareil touché du réseau, pour éviter que l'attaque ne se propage aux autres postes, aux serveurs ou aux sauvegardes. Mais n'éteignez pas la machine : sa mémoire contient des traces utiles à l'analyse, qui disparaissent à l'arrêt.

• Débranchez le câble réseau et désactivez le wifi.
• Déconnectez les disques de sauvegarde encore branchés, pour les mettre à l'abri.
• Ne branchez aucune clé USB ni aucun disque sur la machine touchée.
• Laissez l'appareil allumé, sauf consigne contraire d'un spécialiste qui suit votre dossier.

Et si c'est un serveur, un site ou un compte en ligne ?

Demandez à votre prestataire ou à votre hébergeur d'isoler le serveur. Pour un compte en ligne piraté, depuis un appareil sain, changez le mot de passe et déconnectez toutes les sessions ouvertes. Ce mot de passe, gardez-le pour vous : personne n'a besoin de le connaître pour vous aider.

2. Ne pas payer, ne pas négocier seul

Les autorités recommandent de ne pas payer de rançon. Payer ne garantit ni la récupération des données, ni leur suppression chez l'attaquant. Cela finance aussi les groupes criminels et peut vous désigner comme une cible prête à payer. Ne répondez pas seul aux messages de l'attaquant : gardez-les comme preuves.

3. Préserver les traces

Sans traces, on ne comprend pas comment l'attaquant est entré, et on risque de le laisser revenir. Avant toute réparation, conservez :

• des photos de l'écran prises avec un téléphone, messages d'erreur et demandes de rançon compris ;
• les courriels suspects, sans les supprimer ni les transférer à tout le monde ;
• les journaux du pare-feu, de la messagerie ou des serveurs : demandez à votre prestataire de les conserver ;
• la machine elle-même, sans la réinstaller tant que l'analyse n'est pas faite.

4. Prévenir les bonnes personnes

1. La direction ou le responsable de la structure, qui prend les décisions.
2. Votre prestataire informatique, pour isoler, analyser et reconstruire.
3. Votre assureur, si vous avez une garantie cyber : relisez les conditions de déclaration.
4. 17Cyber, pour un diagnostic en ligne et une orientation vers une aide adaptée.
5. Vos équipes, avec une consigne simple : ne plus utiliser les postes touchés et ne rien communiquer à l'extérieur sans accord.

5. Porter plainte

Déposez plainte auprès de la police ou de la gendarmerie, ou par écrit auprès du procureur de la République. Apportez votre chronologie et vos preuves. Si vous êtes assuré, la loi conditionne l'indemnisation de certains préjudices liés à une cyberattaque à un dépôt de plainte rapide (article L. 12-10-1 du Code des assurances) : n'attendez pas. Les démarches sont détaillées sur Service-Public.fr.

6. Données personnelles : pensez à la CNIL

Si des données de clients, de salariés, de patients ou d'usagers ont pu être lues, copiées, modifiées ou rendues indisponibles, il s'agit peut-être d'une violation de données personnelles. Elle doit être documentée. Si elle présente un risque pour les personnes, le responsable du traitement la notifie à la CNIL dans les 72 heures après en avoir pris connaissance (article 33 du RGPD).

Rien n'est transmis automatiquement : c'est à vous de notifier, sur le téléservice de la CNIL. L'assistant CNIL vous aide à préparer les éléments, et les registres à garder la trace de l'incident.

Ce qu'il vaut mieux éviter

• Éteindre brutalement ou redémarrer en boucle.
• Supprimer les fichiers chiffrés, les courriels suspects ou les comptes compromis.
• Restaurer les sauvegardes avant d'être sûr que l'attaquant n'est plus là.
• Payer, ou négocier seul.
• Communiquer un mot de passe, par téléphone, par courriel ou par formulaire.

Après l'urgence

Une fois la situation stabilisée, on reconstruit proprement : postes réinstallés, mots de passe changés depuis des appareils sains, accès revus. Puis on prend une heure pour le retour d'expérience : qu'est-ce qui a marché, qu'est-ce qui a manqué ? C'est ce qui rend la prochaine fois moins difficile.

Le formulaire d'urgence de DYCAST crée un numéro de dossier et enregistre les faits. La suite dépend du contrat qui nous lie : rien n'est déclenché automatiquement. DYCAST n'est ni un service de l'État, ni un opérateur de 17Cyber.