Lundi, 7 h 40. Les fichiers du serveur portent une extension inconnue et un message de rançon s’affiche sur plusieurs postes. Ce qui se passe dans la première heure détermine souvent l’ampleur des dégâts : une machine éteinte trop vite fait disparaître des preuves, une sauvegarde restée connectée se fait chiffrer à son tour, un e-mail d’alerte envoyé depuis une messagerie compromise prévient l’attaquant. Voici un playbook opérationnel, minute par minute, à adapter et à imprimer pour votre structure.
L’essentiel en 30 secondes
- Isoler, pas éteindre : débrancher le réseau des machines touchées, mais les laisser allumées.
- Protéger les sauvegardes immédiatement : les déconnecter si elles sont joignables depuis le réseau.
- Communiquer hors bande : téléphone, messagerie personnelle, pas la messagerie de l’entreprise.
- Appeler à l’aide tôt : prestataire, assureur, 17Cyber, CERT-FR ou CSIRT régional.
- Tracer tout dans une main courante horodatée, et déposer plainte dans les 72 heures si vous êtes assuré.
Pourquoi préparer ce plan maintenant
Selon le rapport Active Adversary 2026 de Sophos, 88 % des rançongiciels ont été déployés en dehors des heures de bureau, et le temps médian entre l’intrusion et la découverte est tombé à trois jours. L’incident arrivera donc probablement un week-end ou une nuit, quand l’informaticien est absent. En 2025, Cybermalveillance.gouv.fr a accompagné plus de 500 000 victimes, un chiffre en hausse de 20 %. Un plan sur papier, connu de deux ou trois personnes, fait la différence.
Minute 0 à 10 : contenir
| Action | Comment | À éviter |
|---|---|---|
| Isoler les machines touchées | Débrancher le câble réseau, couper le Wi-Fi ; via l’EDR si disponible (isolation à distance) | Éteindre : la mémoire contient des preuves et parfois des clés |
| Protéger les sauvegardes | Déconnecter NAS et disques de sauvegarde du réseau, suspendre les synchronisations cloud | Lancer une restauration immédiatement : l’attaquant est peut-être encore présent |
| Couper les accès distants | Désactiver VPN et accès RDP, bloquer les comptes manifestement compromis | Réinitialiser tous les mots de passe depuis une machine potentiellement compromise |
| Ouvrir la main courante | Cahier ou document hors réseau : heure, constat, action, auteur | Se fier à sa mémoire |
Minute 10 à 25 : alerter et mobiliser
- Désigner un responsable de l’incident et un suppléant : une seule personne décide, les autres exécutent.
- Prévenir la direction par téléphone.
- Appeler votre prestataire informatique ou votre service d’infogérance.
- Appeler l’assistance de votre cyberassurance si vous en avez une : certaines garanties imposent de les contacter avant d’engager un prestataire. Voir les points à vérifier dans un contrat de cyberassurance.
- Demander de l’aide publique : le 17Cyber (via cybermalveillance.gouv.fr) oriente vers des prestataires référencés ; les collectivités et opérateurs régulés peuvent saisir le CERT-FR ; en Occitanie, le centre régional Cyber’Occ accompagne aussi les acteurs du territoire.
- Informer les salariés par un canal hors bande : ne pas allumer les postes éteints, ne pas brancher de clés USB, ne rien supprimer.
Minute 25 à 45 : qualifier et préserver les preuves
- Quoi ? Rançongiciel, compte de messagerie piraté, fraude au virement, fuite de données ?
- Quelle étendue ? Quels serveurs, quels postes, quels comptes ? Les sauvegardes sont-elles intactes ?
- Depuis quand ? Les premières traces remontent souvent à plusieurs jours.
- Preuves : photographier les écrans et la note de rançon, conserver un exemplaire de fichier chiffré, exporter les journaux (pare-feu, VPN, contrôleurs de domaine, EDR) avant qu’ils ne s’écrasent. Ne réinstallez rien.
Pour savoir quoi chercher, voir les journaux Windows à examiner et l’exploitation des indicateurs de compromission.
Minute 45 à 60 : obligations et décisions
| Obligation ou décision | Délai | Détail |
|---|---|---|
| Dépôt de plainte | 72 heures pour conserver l’indemnisation | L’article L. 12-10-1 du Code des assurances conditionne l’indemnisation des pertes liées à une cyberattaque au dépôt d’une plainte dans les 72 heures suivant la connaissance de l’attaque |
| Notification à la CNIL | 72 heures si des données personnelles sont concernées | Notification initiale possible, complétée ensuite ; information des personnes si le risque est élevé |
| Rançon | Aucune urgence à décider | Les autorités recommandent de ne pas payer : aucune garantie de récupération, et cela finance de nouvelles attaques |
| Communication externe | Dès que la situation est qualifiée | Message factuel, coordonné avec l’assureur et, le cas échéant, un conseil juridique |
Après la première heure
Vient l’investigation (comment l’attaquant est entré, s’il est encore présent), l’éradication (comptes, portes dérobées, failles), puis la reconstruction à partir de sauvegardes saines, en commençant par l’Active Directory et les services critiques. C’est là qu’un plan de continuité et des restaurations déjà testées font gagner des jours.
La fiche à préparer dès aujourd’hui
- Noms et numéros de téléphone (personnels) du responsable d’incident, de son suppléant, de la direction.
- Numéros du prestataire informatique, de l’assistance de l’assureur et numéro de contrat.
- Liste des serveurs critiques, emplacement des sauvegardes, procédure pour les déconnecter.
- Accès d’urgence (comptes « bris de glace ») stockés hors du système d’information.
- Modèle de main courante et de message aux salariés.
Imprimez-la : le jour de l’incident, le serveur de fichiers où elle est rangée sera peut-être chiffré.
Questions fréquentes
Faut-il vraiment ne pas éteindre les machines ?
En règle générale, oui : on isole du réseau et on laisse allumé pour préserver les éléments en mémoire. Exception : si le chiffrement est en cours sur une machine qu’on ne peut pas isoler, couper l’alimentation peut limiter les dégâts.
Peut-on restaurer immédiatement les sauvegardes ?
Pas avant de savoir comment l’attaquant est entré : restaurer sur un réseau encore compromis expose à un second chiffrement.
Qui doit déposer plainte ?
Le représentant légal de la structure, auprès de la police ou de la gendarmerie, en apportant la main courante et les preuves recueillies.
Un EDR change-t-il ce plan ?
Il accélère l’isolation et l’investigation, surtout s’il est surveillé 24 h/24 (voir EDR, XDR et antivirus), mais les étapes de décision, d’alerte et d’obligations restent les mêmes.
Sources
- Sophos, Active Adversary Report 2026, février 2026.
- Cybermalveillance.gouv.fr, communiqué du rapport d’activité 2025, 26 mars 2026.
- ANSSI, anticiper et gérer une crise cyber.
- Direction générale du Trésor, FAQ sur l’obligation de dépôt de plainte (article L. 12-10-1 du Code des assurances).
- CNIL, notifier une violation de données personnelles.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous vous aidons à préparer et tester votre plan de réponse lors d’un audit de votre parc. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
