Cyberattaque : que faire dans les 24 premières heures?

Votre entreprise vient d’être victime d’une cyberattaque. Chaque minute qui passe aggrave la situation. Les 24 premières heures sont décisives : elles déterminent l’ampleur des dégâts, le coût de la remédiation et la capacité de votre entreprise à se remettre de l’incident. Ce guide vous donne le protocole d’urgence étape par étape, de la détection à la reprise d’activité, pour que vous sachiez exactement quoi faire, dans quel ordre, et à qui vous adresser.

Pourquoi les 24 premières heures sont décisives

Dans la cybersécurité, on parle de « dwell time » pour désigner le temps entre l’intrusion initiale et la détection. En France, ce délai moyen est de 207 jours pour les PME, ce qui signifie que dans la plupart des cas, les attaquants sont déjà dans votre système depuis longtemps lorsque vous découvrez l’incident.

Mais une fois l’attaque détectée ou déclenchée (chiffrement ransomware, exfiltration de données détectée, accès suspect identifié), le compte à rebours commence. Voici pourquoi chaque heure compte :

• Propagation latérale : un ransomware peut chiffrer l’intégralité d’un réseau en moins de 45 minutes si aucune isolation n’est effectuée.
• Exfiltration de données : les attaquants continuent souvent à extraire des données après le déclenchement visible de l’attaque.
• Obligations légales : le RGPD impose une notification à la CNIL dans les 72 heures après la découverte d’une violation de données personnelles.
• Preuves forensiques : les logs, traces mémoire et artefacts numériques s’effacent rapidement. Une intervention tardive compromet l’analyse post-incident.
• Coût de l’inaction : chaque heure d’arrêt d’activité a un coût direct. Pour une PME de 20 salariés, un arrêt de 48h représente souvent 30 000 à 80 000 € de perte.

Pour anticiper et réduire ces risques, votre entreprise devrait disposer d’un plan de réponse aux incidents formalisé ainsi que d’une politique de sécurité informatique (PSI) avant que la crise survienne. Mais si vous n’en avez pas, ce guide est votre plan de secours.

Reconnaître les signes d’une cyberattaque en cours

Avant d’agir, il faut s’assurer qu’il s’agit bien d’une cyberattaque et non d’une panne technique ordinaire. Voici les signaux d’alerte les plus courants :

• Des fichiers qui ont été renommés avec une extension inconnue (signe de ransomware)
• Un message de demande de rançon apparaissant sur les écrans
• Des comptes utilisateurs bloqués ou dont les mots de passe ont été modifiés sans raison
• Des ralentissements inhabituels du réseau ou des systèmes
• Des connexions à des heures anormales (nuit, week-end) détectées dans les logs
• Des alertes de votre antivirus/EDR signalant des activités suspectes
• Des emails non envoyés par vos collaborateurs qui partent depuis vos adresses
• Des données sensibles retrouvées publiées ou mises en vente sur le dark web
• Des partenaires ou clients vous signalant des communications suspectes de votre part

Si vous observez un ou plusieurs de ces signaux, déclenchez immédiatement la procédure d’urgence ci-dessous.

La timeline d’urgence : H+0 à H+24

H+0 à H+1 : Détection, alerte et isolation immédiate

La première heure est la plus critique. Vos actions dans cette fenêtre déterminent si l’attaque reste limitée ou se propage à l’ensemble du système.

• Déconnectez immédiatement les systèmes compromis du réseau. Débranchez le câble réseau ou désactivez le Wi-Fi. Ne les éteignez pas, cela peut effacer des preuves forensiques précieuses en mémoire vive.
• Alertez le responsable IT ou la direction. Même en dehors des heures de bureau. C’est une urgence.
• Préservez les preuves. Photographiez les écrans d’erreur ou de demande de rançon avant toute action. Notez l’heure exacte de découverte.
• Ne payez pas de rançon. Aucune décision irréversible ne doit être prise dans cette première heure, surtout pas le paiement d’une rançon.
• Identifiez l’étendue visible de l’incident. Combien de postes sont touchés ? Est-ce limité à un segment du réseau ou généralisé ?
• Changez les mots de passe des comptes administrateurs depuis un appareil non compromis, de préférence en dehors du réseau d’entreprise.

H+1 à H+4 : Confinement et évaluation des dommages

Une fois les premiers systèmes isolés, l’objectif est de contenir la propagation et d’évaluer l’ampleur réelle de l’incident.

• Contactez votre prestataire cybersécurité ou votre assureur cyber. S’ils ont un service d’urgence, c’est le moment de l’activer. Ne tentez pas de gérer seul une attaque majeure.
• Analysez les logs disponibles (pare-feu, Active Directory, antivirus) pour identifier le vecteur d’entrée et les systèmes atteints.
• Identifiez les données potentiellement compromises. Y a-t-il des données personnelles (clients, RH) dans les systèmes touchés ? Cela déterminera vos obligations RGPD.
• Évaluez l’état des sauvegardes. Sont-elles intactes ? À quelle date remonte la dernière sauvegarde testée ? Les sauvegardes hors-ligne sont-elles accessibles ?
• Commencez à documenter chronologiquement toutes vos actions, découvertes et décisions. Ce journal sera indispensable pour les assureurs, les autorités et les analyses post-incident.

H+4 à H+8 : Notifications légales et communication de crise

Une fois la situation stabilisée, vous devez gérer les obligations légales et la communication, en interne comme en externe.

• Notifiez la CNIL si des données personnelles sont compromises. Le RGPD impose une notification dans les 72 heures suivant la découverte. Mieux vaut notifier tôt et compléter ultérieurement que de dépasser le délai.
• Déposez une plainte auprès des autorités. Contactez le service spécialisé de la Police nationale (C3N) ou de la Gendarmerie (CNRBC). Ce dépôt de plainte est souvent exigé par les assureurs pour déclencher l’indemnisation.
• Signalez l’incident à l’ANSSI si votre entreprise est dans un secteur critique ou si l’attaque semble organisée. L’ANSSI peut fournir une assistance technique.
• Informez vos collaborateurs de manière factuelle, sans panique. Précisez quels systèmes sont indisponibles et comment travailler en mode dégradé.
• Préparez un message pour vos clients et partenaires si des données les concernant sont potentiellement compromises. Soyez transparent sans créer de panique inutile.

H+8 à H+24 : Analyse forensique et début de reprise

La phase finale des 24 premières heures consiste à comprendre ce qui s’est passé et à initier la remise en service des systèmes les plus critiques.

• Lancez l’analyse forensique. Un expert cybersécurité doit examiner les systèmes compromis pour identifier le vecteur d’attaque, l’étendue de la compromission et les données exfiltrées.
• Ne restaurez pas les systèmes avant d’avoir compris l’attaque. Restaurer depuis une sauvegarde sans avoir éliminé la cause racine expose à une réinfection immédiate.
• Priorisez la remise en service des systèmes critiques depuis des sauvegardes propres validées, en commençant par les fonctions vitales de l’activité.
• Auditez les accès. Révoquez toutes les sessions actives, changez tous les mots de passe, y compris ceux des comptes de service et des accès prestataires.
• Vérifiez l’intégrité des sauvegardes avant toute restauration. Un ransomware sophistiqué peut chiffrer ou corrompre les sauvegardes accessibles en réseau.

Qui appeler en cas de cyberattaque ?

Avoir les bons contacts déjà identifiés avant une crise fait gagner un temps précieux. Voici les interlocuteurs à contacter selon la nature de l’incident.

Si votre PME est soumise à la directive NIS2 (entité essentielle ou importante dans des secteurs comme l’énergie, la santé, le numérique ou les transports), une obligation supplémentaire s’ajoute à cette liste d’appels : vous devez adresser une alerte précoce à l’ANSSI dans les 24 heures suivant la découverte de l’incident, avant même d’avoir terminé votre analyse. Un rapport plus détaillé doit ensuite suivre sous 72 heures. Ce délai très court doit faire partie de votre plan de réponse à incident, au même titre que les contacts ci-dessus : identifiez en amont qui, dans votre PME, est responsable de cette notification pour ne pas perdre un temps précieux le jour J.

Vous ne savez pas si votre PME est concernée par NIS2, ni quelles obligations s’appliquent réellement à votre activité ? Notre outil gratuit d’analyse de conformité NIS2 vous permet de le vérifier en quelques minutes.

Faut-il payer la rançon ?

C’est la question que se posent immédiatement toutes les PME victimes d’un ransomware. La réponse des autorités françaises (ANSSI, Police nationale) et des experts en cybersécurité est unanime : non, ne payez pas la rançon.

Voici pourquoi :

• Le paiement ne garantit pas la récupération des données. Selon les statistiques, seulement 65 % des entreprises qui paient récupèrent effectivement leurs données. Les autres ont payé pour rien.
• Le paiement finance la cybercriminalité et encourage de futures attaques, y compris contre votre propre entreprise (vous êtes désormais identifié comme une cible qui paye).
• Les données peuvent avoir été exfiltrées avant le chiffrement. Même en payant, les attaquants peuvent publier ou revendre vos données.
• Le paiement peut être illégal. Si le groupe d’attaquants est sous sanctions internationales (de nombreux groupes ransomware le sont), payer constitue une violation des lois sur les sanctions.
• Cela invalide potentiellement votre assurance cyber. Certains contrats prévoient des exclusions en cas de paiement de rançon sans accord préalable de l’assureur.

Que faire à la place ? Contactez immédiatement votre assureur cyber, votre prestataire cybersécurité, et l’ANSSI. Des outils de déchiffrement gratuits existent pour certains ransomwares sur le site nomoreransom.org (initiative coordonnée par Europol). Vérifiez si votre variante est couverte avant toute décision.

Les erreurs fatales à éviter dans les premières heures

Sous le stress d’une cyberattaque, certaines réactions instinctives peuvent aggraver considérablement la situation. Évitez absolument ces erreurs :

• Éteindre immédiatement les machines compromises. Cela efface la mémoire vive, qui contient souvent des preuves forensiques précieuses (clés de déchiffrement, traces de l’attaquant).
• Tenter de tout réinstaller seul sans analyse préalable. Sans comprendre comment l’attaquant est entré, vous risquez une réinfection immédiate après restauration.
• Communiquer de manière non coordonnée sur les réseaux sociaux. Une communication mal maîtrisée peut amplifier la crise et nuire à votre réputation avant que vous ayez les faits en main.
• Ignorer les sauvegardes connectées au réseau. Si le ransomware a accès à vos partages réseau, vos sauvegardes en ligne peuvent avoir été chiffrées aussi. Vérifiez avant de restaurer.
• Croire que la situation est réglée après la restauration. Sans identifier et corriger la cause racine (la vulnérabilité exploitée), vous serez réattaqué, souvent par le même groupe.
• Ne pas documenter. Un journal précis de l’incident est indispensable pour l’assureur, les autorités, et pour améliorer votre posture sécurité après l’incident.

Checklist des actions prioritaires dans les 24 premières heures

Imprimez cette checklist et gardez-la accessible, en dehors de votre réseau informatique si possible.

Comment communiquer pendant une cyberattaque ?

La communication de crise est un aspect souvent négligé, mais elle peut faire la différence entre une crise maîtrisée et une catastrophe réputationnelle.

En interne

Informez vos collaborateurs rapidement et factuellement, sans minimiser ni dramatiser. Précisez quels systèmes sont indisponibles, comment travailler en mode dégradé (papier, téléphone, emails personnels temporaires si nécessaire), et quelles actions ils ne doivent surtout pas effectuer (ne pas utiliser les systèmes identifiés comme compromis, ne pas partager d’informations sur l’incident en dehors de l’entreprise).

En externe (clients, fournisseurs, presse)

Ne communiquez pas publiquement tant que vous n’avez pas les faits essentiels en main. Lorsque vous communiquez, soyez transparent sur ce que vous savez, rassurant sur les mesures prises, et précis sur ce que cela implique pour vos interlocuteurs. Évitez les formules vagues du type « incident technique en cours » si vos clients sont directement affectés cela nuit à la confiance sur le long terme.

Après les 24 premières heures : la suite du plan de reprise

Les 24 premières heures ont permis de stabiliser la situation. La phase suivante (J+1 à J+30) consiste à :

• Mener l’investigation forensique complète pour identifier la cause racine, le vecteur d’entrée et l’étendue exacte de la compromission.
• Éradiquer la menace : supprimer tous les artefacts malveillants, les comptes backdoor créés par les attaquants, et les persistances installées.
• Restaurer progressivement les systèmes depuis des sauvegardes propres et validées, en commençant par les services les plus critiques pour l’activité.
• Corriger la vulnérabilité exploitée : patching, fermeture de port, révocation d’accès, changement de procédure selon la cause identifiée.
• Réaliser un bilan post-incident (RCA) pour documenter les enseignements et améliorer votre plan de réponse pour l’avenir.
• Renforcer la posture de sécurité sur les axes identifiés comme défaillants lors de l’incident.

Pour structurer cette phase de reprise, notre guide complet du plan de réponse aux incidents pour PME vous fournit un cadre méthodologique complet avec des modèles de documents.

Et pour éviter que cette situation se reproduise, notre audit cybersécurité PME complet vous aidera à identifier et corriger vos vulnérabilités avant qu’elles ne soient exploitées.

Questions fréquentes sur la gestion d’une cyberattaque

Que faire si je ne sais pas si c’est une vraie cyberattaque ou une panne ?

Appliquez le principe de précaution : traitez la situation comme une cyberattaque jusqu’à preuve du contraire. Une isolation préventive de quelques heures coûte bien moins cher qu’une propagation de ransomware non contenue. Votre prestataire IT pourra rapidement différencier une panne d’un incident de sécurité en analysant les logs et les artefacts présents.

Mon entreprise peut-elle être tenue responsable d’une cyberattaque ?

Oui, si des données personnelles de clients, employés ou partenaires sont compromises et que vous n’avez pas mis en place les mesures de sécurité raisonnables exigées par le RGPD. La CNIL peut sanctionner les entreprises qui n’ont pas notifié dans les délais ou qui ne prenaient pas les mesures de sécurité appropriées. En revanche, une entreprise qui démontre avoir mis en place des mesures sérieuses et réagi rapidement sera généralement traitée plus favorablement.

Combien de temps dure la reprise après une cyberattaque ?

Pour une PME, la reprise complète prend en moyenne de 3 semaines à 3 mois selon la gravité de l’incident. Les systèmes les plus critiques peuvent souvent être remis en service dans les 48 à 72 heures si des sauvegardes propres sont disponibles. La remédiation complète et le renforcement de la posture de sécurité prennent généralement plusieurs semaines supplémentaires.

Que faire si je n’ai pas de sauvegardes récentes ?

C’est la situation la plus difficile. Vos options sont alors : tenter le déchiffrement via nomoreransom.org (si le ransomware est connu), faire appel à un spécialiste de récupération de données (coûteux et non garanti), ou reconstruire les systèmes depuis zéro. Cette expérience douloureuse est précisément pourquoi la règle 3-2-1 de sauvegarde est non négociable pour toute PME.

Dois-je contacter l’ANSSI si mon entreprise est petite ?

L’ANSSI priorise son assistance aux opérateurs d’importance vitale (OIV) et aux administrations. Cependant, si votre PME opère dans un secteur critique (santé, eau, énergie, transport) ou si l’attaque semble coordonnée à grande échelle, signalez-le via le formulaire de signalement sur cert.ssi.gouv.fr. Pour les PME hors secteurs critiques, votre prestataire cybersécurité et la plateforme Cybermalveillance.gouv.fr sont vos interlocuteurs privilégiés.

Conclusion : préparez votre plan de réponse avant la crise

La meilleure chose à faire après avoir lu ce guide est de ne pas attendre d’en avoir besoin. Préparez votre plan de réponse aux incidents maintenant, à tête reposée, avant d’être sous pression. Identifiez vos contacts d’urgence, testez vos sauvegardes, formez vos équipes aux premiers réflexes, et assurez-vous que ce guide est accessible en dehors de vos systèmes informatiques.

La question n’est pas de savoir si votre PME sera un jour victime d’une cyberattaque, mais de savoir si vous serez prêt à y répondre efficacement. Les entreprises qui s’en sortent le mieux ne sont pas celles qui n’ont jamais été attaquées, ce sont celles qui avaient préparé leur réponse.

Pour une vision complète des technologies IA au service de la cybersécurité de votre entreprise, consultez notre panorama des technologies IA pour la cybersécurité des PME en 2026.