Cyberattaque ou rançongiciel : les premières heures pour une TPE

Les signes qui doivent alerter

• des fichiers renommés ou impossibles à ouvrir, souvent avec une nouvelle extension ;
• un message demandant un paiement pour récupérer vos données ;
• des emails envoyés depuis votre adresse que vous n'avez pas écrits ;
• un mot de passe qui ne fonctionne plus, ou des alertes de connexion inconnues ;
• un ordinateur anormalement lent, ou des programmes qui s'ouvrent seuls.

1. Isoler sans éteindre

Débranchez le câble réseau et coupez le Wi-Fi des postes touchés pour empêcher la propagation aux autres ordinateurs et au stockage partagé. Évitez d'éteindre brutalement : certaines traces utiles à l'analyse disparaissent à l'arrêt. Débranchez aussi les disques de sauvegarde encore connectés.

2. Ne pas payer la rançon

Les autorités françaises recommandent de ne pas payer : rien ne garantit la récupération des données, et le paiement finance de nouvelles attaques. Conservez le message de rançon, sans y répondre.

3. Garder des traces

Photographiez les écrans, notez l'heure des premiers signes, les postes concernés et ce qui a été fait. Ces éléments serviront à l'enquête, à l'assureur et au prestataire qui vous aidera.

4. Prévenir les bons interlocuteurs

• Cybermalveillance.gouv.fr : le dispositif national d'assistance propose un diagnostic en ligne et met en relation avec des prestataires référencés.
• Police ou gendarmerie : déposez plainte, avec les traces conservées.
• Votre assureur, si votre contrat couvre le risque cyber : les délais de déclaration sont souvent courts.
• La CNIL, si des données personnelles sont concernées (clients, salariés) : le RGPD impose de notifier une violation de données dans les 72 heures après en avoir pris connaissance, lorsqu'elle présente un risque pour les personnes.

5. Changer les mots de passe depuis un poste sain

Depuis un ordinateur ou un téléphone non touché, changez en priorité les mots de passe de la messagerie, de la banque en ligne, du nom de domaine et des comptes administrateurs. Activez la double authentification partout où elle existe.

6. Redémarrer depuis une sauvegarde saine

La reprise passe par un poste nettoyé ou réinstallé, puis par la restauration des données depuis une sauvegarde antérieure à l'attaque. C'est là que tout se joue : une sauvegarde déconnectée et testée permet de repartir. Voir l'article vérifier que ses sauvegardes fonctionnent vraiment.

Après l'incident : éviter que ça recommence

• comprendre la porte d'entrée : email piégé, mot de passe réutilisé, logiciel non mis à jour ;
• mettre en place des sauvegardes régulières, dont une hors ligne ;
• former l'équipe à reconnaître les emails frauduleux ;
• écrire une procédure d'urgence d'une page, connue de tous.

JOSY EI accompagne les TPE de la Vienne sur ces sujets : audit de sécurité et sauvegardes, sensibilisation des équipes, à Montmorillon, Poitiers et dans toute la zone d'intervention.

Cette page donne des repères généraux. En cas d'attaque en cours, contactez d'abord cybermalveillance.gouv.fr et les forces de l'ordre.