En bref
Face à une cyberattaque, isolez les machines touchées du réseau sans les éteindre, coupez les accès de l’attaquant sans en alerter les autres, préservez les journaux et les sauvegardes saines, prévenez la direction et votre assureur, puis faites appel à un prestataire de réponse à incident. Ne payez pas, ne reformatez pas et ne restaurez pas avant d’avoir compris le point d’entrée. Si des données personnelles sont concernées, le délai de notification à la CNIL est de 72 heures.
Que faire dans les dix premières minutes ?
- 1Ne paniquez pas et ne redémarrez rien. Un redémarrage détruit la mémoire des machines, qui contient souvent la trace de ce que l’attaquant a fait.
- 2Isolez les machines touchées du réseau : débranchez le câble ou coupez le Wi-Fi, sans éteindre. L’isolement stoppe la propagation et préserve l’état de la machine.
- 3Prévenez une seule personne décisionnaire et ouvrez une conversation de crise sur un canal que l’attaquant ne peut pas lire. Si la messagerie est compromise, utilisez le téléphone ou un outil indépendant.
- 4Notez l’heure, ce qui a été vu, par qui, et chaque action entreprise. Cette chronologie sera réclamée par l’assureur, par l’autorité et par l’enquêteur.
Que faire dans la première heure ?
- 1Qualifiez l’incident : rançongiciel (fichiers chiffrés, message de demande de rançon), compromission de messagerie, fuite de données, fraude au virement. La réponse diffère.
- 2Identifiez ce qui est touché et ce qui ne l’est pas, sans naviguer sur les machines atteintes avec des comptes d’administration : cela exposerait ces comptes à l’attaquant.
- 3Protégez les sauvegardes : déconnectez-les du réseau si elles sont encore intactes. Les sauvegardes sont la première cible d’un rançongiciel évolué.
- 4Prévenez votre assureur cyber si vous en avez un : son contrat peut imposer un délai de déclaration et ses propres prestataires. Vérifiez ce que le contrat impose avant de signer un autre mandat.
- 5Appelez un prestataire de réponse à incident : la qualification initiale se fait au téléphone, avant toute intervention.
- 6Ne réinitialisez pas encore tous les mots de passe en masse : tant que tous les accès de l’attaquant ne sont pas identifiés, cela l’alerte et lui laisse le temps d’agir. Les comptes d’administration font l’objet d’un traitement ordonné par l’équipe d’intervention.
Quelles erreurs aggravent la situation ?
- Reformater ou restaurer tout de suite : on perd les traces, on ignore le point d’entrée, et l’attaquant revient par la même porte.
- Restaurer depuis une sauvegarde sans la dater : si elle a été faite après la compromission, elle contient déjà l’accès de l’attaquant.
- Négocier ou payer la rançon avant de savoir ce qui est récupérable. Le paiement n’assure ni le déchiffrement complet, ni la suppression des données volées.
- Communiquer publiquement avant d’avoir qualifié ce qui a fui : une déclaration inexacte coûte plus cher qu’un silence de quelques heures.
- Supprimer le message de rançon ou les fichiers déposés par l’attaquant : ce sont des éléments de preuve.
Quelles obligations de notification s’appliquent ?
Si l’incident touche des données personnelles, le règlement général sur la protection des données (RGPD) impose de notifier la violation à l’autorité de contrôle, en France la CNIL, dans les 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les personnes. Si le risque est élevé, les personnes concernées doivent aussi être informées. Toute violation, même non notifiée, doit être consignée dans un registre interne.
Si vous entrez dans le champ de NIS 2 : définition, un incident important déclenche en plus une alerte précoce dans les 24 heures, une notification dans les 72 heures et un rapport final dans le mois. Les secteurs financiers soumis à DORA : définition ont leurs propres règles de déclaration des incidents majeurs.
Déposez plainte rapidement : depuis la loi du 24 janvier 2023 (dite LOPMI), l’article L. 12-10-1 du code des assurances subordonne l’indemnisation des pertes liées à une cyberattaque au dépôt d’une plainte au plus tard 72 heures après la connaissance de l’atteinte. Vérifiez aussi ce que votre contrat ajoute.
Quand et comment faire appel à un prestataire ?
Dès que vous avez un doute sérieux : plus l’intervention est précoce, plus les preuves sont intactes. Un prestataire de réponse à incident vous aide à décider quoi isoler, à collecter les éléments de preuve avant toute action destructive, à identifier le point d’entrée et à choisir la bonne version à restaurer.
Le service gouvernemental d’assistance aux victimes de cybermalveillance peut orienter les petites structures et les particuliers vers des prestataires de proximité. Pour les organisations plus importantes, un contrat de réponse à incident signé avant la crise évite de chercher un interlocuteur sous pression.
Que préparer avant qu’une attaque ne survienne ?
- Une liste de contacts imprimée : direction, informatique, assureur, prestataire de réponse à incident, juriste ou délégué à la protection des données.
- Des sauvegardes hors ligne ou immuables, dont la restauration a été testée récemment.
- Des journaux conservés assez longtemps pour enquêter plusieurs semaines en arrière.
- Une décision écrite sur qui peut décider d’isoler un site, de notifier ou de communiquer.
- Un exercice de crise sur table, au moins une fois par an, pour que la première heure ne soit pas la première fois.
À retenir
- 1Isolez du réseau sans éteindre : on arrête la propagation et on garde les traces.
- 2Ne restaurez, ne reformatez et ne payez pas avant d’avoir compris le point d’entrée.
- 3La notification à la CNIL court 72 heures à partir de la connaissance de la violation de données personnelles.
- 4Un prestataire contacté tôt préserve les preuves ; un contrat signé avant la crise évite de chercher sous pression.
Sources citées
- SP 800-61 Rev. 3, Incident Response Recommendations and Considerations for Cybersecurity Risk Management: A CSF 2.0 Community Profile, NIST
- Violations de données personnelles : les règles à suivre, CNIL
- Notifier une violation de données personnelles, CNIL
- Assistance aux victimes de cybermalveillance, Cybermalveillance.gouv.fr
Comment se déroulent les jours qui suivent la première heure ?
Après l’urgence vient l’investigation. L’objectif est de répondre à quatre questions : par où l’attaquant est entré, depuis quand il était présent, ce qu’il a consulté ou emporté, et s’il reste un accès. Sans ces réponses, toute remise en service est un pari. L’analyse des journaux, des systèmes et des artefacts permet de dater la compromission et de choisir la version saine à restaurer.
Vient ensuite l’éradication : suppression des accès persistants, rotation des secrets et des mots de passe dans un ordre maîtrisé, reconstruction des systèmes quand elle s’impose, puis réouverture par étapes contrôlées, avec une surveillance renforcée pendant plusieurs semaines. Un retour trop rapide à la normale est la cause la plus fréquente d’une seconde attaque par la même porte.
Le dernier temps est celui des enseignements : un rapport factuel, la correction du chemin d’entrée, la revue de la détection et un exercice pour tester ce qui a été amélioré. Le cycle de réponse décrit par le NIST place d’ailleurs cette phase de retour d’expérience au même niveau que la préparation et la détection.