Accueil › En cas d’attaque
Vous êtes attaqué : que faire maintenant
Les premières heures déterminent l'ampleur des dégâts. Voici les gestes à faire, dans l'ordre, et surtout ceux à ne surtout pas faire. Gardez cette page imprimée : le jour venu, votre informatique ne fonctionnera peut-être plus.
Les trois erreurs qui aggravent tout
- Ne payez pas la rançon. Rien ne garantit la restitution des données, et le paiement finance les attaques suivantes.
- N'effacez rien et ne réinstallez pas dans la précipitation. Vous détruiriez les traces nécessaires pour comprendre et pour porter plainte.
- N'attendez pas de « voir si ça se règle tout seul ». Chaque heure de délai laisse l'attaquant progresser dans vos systèmes.
Dans cet ordre
Les premières heures
Isolez, sans éteindre
Débranchez le câble réseau et coupez le Wi-Fi des machines touchées pour stopper la propagation. Ne les éteignez pas si vous le pouvez : la mémoire des machines contient des éléments utiles à l'analyse. Débranchez aussi les disques de sauvegarde encore connectés.
Alertez en interne
Prévenez la direction, la personne en charge de l'informatique et votre prestataire. Dites aux salariés de ne plus rien ouvrir et de ne plus se connecter, mais de ne rien supprimer non plus.
Coupez l'argent
Si un virement frauduleux a été effectué ou si des données bancaires sont concernées, appelez immédiatement votre banque pour tenter de bloquer l'opération. Les premières heures sont déterminantes pour espérer un rappel de fonds.
Reprenez la main sur les comptes
Depuis une machine saine, changez les mots de passe des comptes sensibles en commençant par la messagerie, activez la double authentification et déconnectez toutes les sessions actives. Vérifiez qu'aucune règle de redirection n'a été ajoutée sur les boîtes mail.
Conservez les preuves
Photographiez les écrans, conservez les messages avec leurs en-têtes complets, notez les horaires, les comptes concernés et la chronologie de ce que vous constatez. Gardez les fichiers chiffrés : des outils de déchiffrement gratuits existent pour certaines familles de rançongiciels.
Faites-vous assister
Rendez-vous sur 17Cyber pour être orienté et mis en relation avec un policier ou un gendarme, et sur Cybermalveillance.gouv.fr pour trouver un prestataire de proximité référencé.
Portez plainte
En commissariat ou en brigade de gendarmerie, avec les preuves rassemblées. C'est indispensable pour l'assurance, souvent exigé par les partenaires, et cela alimente la lutte contre les réseaux criminels.
Vérifiez vos obligations de notification
Si des données personnelles sont concernées, la CNIL doit être notifiée sous 72 heures dès lors que la violation présente un risque pour les personnes. Si le risque est élevé, les personnes concernées doivent également être informées. Consultez votre assurance : de nombreux contrats imposent une déclaration sous 48 à 72 heures.
Prévenez vos clients et vos partenaires
Une boîte mail compromise sert d'abord à piéger l'entourage professionnel. Un message clair et rapide à vos contacts évite la deuxième vague et protège votre réputation bien mieux que le silence.
Ne redémarrez pas sur les mêmes bases
Avant de tout remonter, comprenez par où l'attaquant est entré, sinon il reviendra par le même chemin. Restaurez depuis une sauvegarde antérieure à la compromission, vérifiée saine, et changez tous les mots de passe.
À préparer maintenant, tant que tout va bien
Imprimez une fiche A4 avec : le numéro de votre prestataire informatique, celui de votre banque, celui de votre assurance et son numéro de contrat, l'adresse de 17Cyber, et les coordonnées de deux personnes de l'entreprise à joindre en urgence. Rangez-la ailleurs que dans l'ordinateur.