Réagir en cas d’incident

1. Pourquoi savoir réagir change tout pour une TPE

Une TPE ne se demande plus si elle sera visée, mais quand. Les attaques ne ciblent plus seulement les grands groupes : les rançongiciels et les fraudes se sont industrialisés, et les petites structures — souvent moins protégées, rarement préparées — sont devenues des cibles de choix. Selon le dispositif public cybermalveillance.gouv.fr, les TPE, PME, associations et collectivités représentent l’essentiel des demandes d’assistance qu’il traite chaque année. Le hameçonnage (vu en leçon 288) reste la première porte d’entrée, devant le piratage de compte et le rançongiciel.

Face à une attaque, la différence entre une frayeur passagère et une catastrophe ne tient pas au budget informatique : elle tient à la préparation et aux premiers gestes. Une entreprise qui sait débrancher la bonne machine, appeler les bons interlocuteurs et restaurer une sauvegarde repart en quelques jours. Celle qui panique, éteint tout, efface des traces et paie une rançon peut perdre ses données, son argent et la confiance de ses clients. Réagir, cela s’apprend et cela se répète, comme un exercice d’évacuation incendie.

Notre fil rouge. Tout au long de cette leçon, nous suivons le Cabinet Verne, un cabinet d’expertise comptable installé à Issoire. Quatre personnes y travaillent : Claire Verne, l’experte-comptable qui dirige le cabinet, Thomas et Nadia, collaborateurs comptables, et Léa, à l’accueil et à la gestion administrative. Le cabinet manipule les données les plus sensibles qui soient : bilans, bulletins de paie, RIB, numéros de sécurité sociale, déclarations fiscales de dizaines d’entreprises clientes. Une fuite ou un blocage, ici, n’est jamais anodin — c’est aussi la responsabilité juridique du cabinet qui est engagée. Nous verrons comment le Cabinet Verne traverse, étape par étape, trois incidents bien réels.

Le schéma ci-dessous fixe la ligne directrice de toute la leçon. Quels que soient l’attaque et le désordre du moment, on revient toujours à ces quatre temps, dans cet ordre.

Retenez cette colonne vertébrale : isoler pour stopper la propagation, préserver pour comprendre et prouver, notifier pour respecter la loi et obtenir de l’aide, restaurer pour reprendre l’activité sur des bases saines. Les sections suivantes déroulent chacun de ces temps.

2. Reconnaître un incident : les signaux qui ne trompent pas

On ne peut pas réagir à ce qu’on ne voit pas. Or un incident ne s’annonce pas toujours par un écran noir spectaculaire : il se glisse souvent dans des détails — un fichier qui ne s’ouvre plus, un collègue qui reçoit une réponse à un mail que vous n’avez jamais écrit, un virement « urgent » qui ressemble aux vôtres. Savoir lire ces signaux, c’est gagner les minutes qui comptent.

Un incident, une panne : quelle différence ?

Une panne est un dysfonctionnement accidentel (disque défaillant, coupure de courant, bug logiciel). Un incident de sécurité suppose une action malveillante ou une compromission : quelqu’un a pris la main, a chiffré, volé ou détourné. La règle de prudence est simple : en cas de doute, on traite l’événement comme un incident. Mieux vaut isoler une machine pour rien que laisser une attaque se propager pendant qu’on cherche « une explication normale ».

Les trois familles d’incidents les plus fréquentes en TPE

1. Le rançongiciel (ou ransomware). Un logiciel malveillant chiffre vos fichiers et réclame une rançon contre une clé de déchiffrement. Symptômes typiques : documents renommés avec une extension bizarre, impossibles à ouvrir, et un fichier texte ou un fond d’écran affichant une demande de paiement en cryptomonnaie. C’est l’incident le plus redouté car il paralyse d’un coup toute l’activité.

2. La compromission de messagerie ou de compte. Un pirate a obtenu vos identifiants (via un hameçonnage, un mot de passe réutilisé, une fuite). Il lit vos mails, répond à votre place, crée des règles de transfert automatique ou usurpe votre identité pour piéger vos clients (fausse facture, changement de RIB). Symptômes : e-mails « déjà lus » que vous n’avez pas ouverts, messages dans les « Envoyés » que vous n’avez pas écrits, contacts qui reçoivent des spams en votre nom, connexions depuis des lieux inhabituels.

3. L’intrusion sur le système. Un attaquant s’est introduit sur un poste ou sur le serveur : logiciel espion, cheval de Troie, prise en main à distance non autorisée. Symptômes : lenteurs anormales, logiciels inconnus, nouveaux comptes utilisateurs, antivirus désactivé, fenêtres qui s’ouvrent seules, voyant de webcam qui s’allume.

Le tableau suivant relie chaque signal d’alerte à ce qu’il peut cacher et à l’urgence associée (🔴 = agir tout de suite, 🟠 = vérifier vite).

Signal observé	Ce qu’il peut cacher	Réflexe
Fichiers renommés, illisibles, message de rançon	Rançongiciel en cours	🔴 Isoler immédiatement
Mails dans « Envoyés » que vous n’avez pas écrits	Messagerie compromise	🔴 Changer le mot de passe, isoler
Réponses à des mails que vous n’avez jamais envoyés	Usurpation / compte piraté	🟠 Vérifier, alerter les contacts
Alertes antivirus répétées, antivirus désactivé	Logiciel malveillant actif	🔴 Déconnecter du réseau
Lenteurs soudaines, ventilateur à fond au repos	Intrusion ou minage possible	🟠 Investiguer, surveiller
Comptes ou logiciels inconnus apparus	Accès non autorisé	🔴 Isoler et analyser
Virement « urgent » inhabituel demandé par mail	Fraude au président / BEC	🟠 Vérifier par un autre canal
Connexion signalée depuis l’étranger	Identifiants volés	🔴 Réinitialiser, activer la 2FA

L’arbre ci-dessous vous aide à trancher en quelques secondes, sans être informaticien.

3. Les premières minutes : garder son sang-froid et isoler

Les premières minutes décident souvent de la suite. Deux ennemis : la panique, qui pousse à des gestes malheureux, et la précipitation technique, qui détruit des preuves. La bonne attitude tient en une phrase : on ralentit pour agir juste. On respire, on prévient le responsable, puis on isole méthodiquement.

Le geste n°1 : couper le réseau, pas le courant

Le premier réflexe utile est d’isoler la machine touchée du réseau pour empêcher l’attaque de se propager aux autres postes et au serveur, et pour couper la communication avec l’attaquant. Concrètement : on débranche le câble Ethernet et on désactive le Wi-Fi (mode avion). En revanche — c’est contre-intuitif — on n’éteint pas la machine sans raison. L’ANSSI et cybermalveillance.gouv.fr recommandent de la laisser allumée mais déconnectée : éteindre efface la mémoire vive, où se trouvent des preuves précieuses, et certains rançongiciels déclenchent un chiffrement supplémentaire au redémarrage.

Le schéma ci-dessous illustre ce premier geste : on isole le poste, on protège les autres, on laisse l’appareil allumé.

La séquence des premiers gestes, dans l’ordre

1. Respirer et alerter. Prévenez immédiatement le dirigeant ou le référent informatique. Personne n’agit seul dans son coin.
2. Débrancher le câble réseau de la machine touchée et couper le Wi-Fi (mode avion). Coupez aussi le Bluetooth.
3. Ne pas éteindre la machine (sauf danger immédiat). Ne plus l’utiliser, ne plus ouvrir de fichiers, ne pas se reconnecter « pour voir ».
4. Si le serveur ou les dossiers partagés sont atteints, isolez tout le réseau : débranchez la box ou le switch, coupez le Wi-Fi général, pour protéger les postes encore sains.
5. Protéger les sauvegardes. Débranchez les disques externes et le NAS qui ne sont pas encore touchés : ils seront votre planche de salut.
6. Consigner. Notez sur papier l’heure, la machine concernée et chaque geste effectué.

4. Préserver les preuves : ne rien effacer

Une fois la machine isolée, la tentation est grande de « faire le ménage » : supprimer le message de rançon, vider la corbeille, réinstaller. C’est une erreur. Les traces que vous laissez intactes serviront à quatre choses : porter plainte, être indemnisé par l’assurance, notifier correctement la CNIL, et permettre à un professionnel de comprendre l’attaque pour la refermer vraiment. Considérez votre poste comme une scène à ne pas piétiner.

Ce qu’il faut conserver, et comment

La règle d’or : on photographie plutôt qu’on ne capture, on déconnecte plutôt qu’on n’efface, et on écrit tout ce qu’on fait. Le tableau récapitule les preuves utiles.

Preuve à conserver	Comment faire	À quoi ça sert
L’écran (rançon, message d’erreur)	Photo avec un smartphone, jamais de capture sur la machine suspecte	Plainte, assurance, identification de l’attaque
Le message de rançon / fichier « readme »	Le laisser en place, le photographier	Identifier la souche : un déchiffreur gratuit existe parfois
L’e-mail piégé (vecteur probable)	Ne pas le supprimer ; noter l’expéditeur, l’heure ; conserver l’en-tête complet	Comprendre l’entrée, étayer la plainte
Les journaux (logs) du poste, du serveur, de la box	Ne pas les écraser ; laisser un pro les copier	Reconstituer le déroulé de l’attaque
La machine elle-même	La laisser en l’état, isolée et allumée	Analyse technique (forensique)
La chronologie des faits	Sur papier : heure de découverte, actions menées, personnes prévenues	Récit clair pour la plainte et la CNIL

5. Ne jamais payer la rançon

Quand tous les fichiers sont chiffrés et que l’activité est à l’arrêt, payer semble être la sortie la plus rapide. C’est un piège. L’ANSSI et cybermalveillance.gouv.fr sont formels et constants sur ce point : il ne faut pas payer. Voici pourquoi, et ce qu’on fait à la place.

Que faire à la place ? On s’appuie sur ses sauvegardes saines (section 8), on signale l’attaque sur cybermalveillance.gouv.fr — qui identifie parfois la souche et l’existence d’un déchiffreur gratuit (le projet européen No More Ransom en recense beaucoup) — et l’on se fait accompagner par un prestataire référencé. Payer n’est jamais une stratégie de reprise ; la préparation, si.

6. Alerter : qui prévenir, et dans quel ordre

Un incident se gère à plusieurs, mais pas dans le désordre. Une chaîne d’alerte claire évite deux écueils : l’attente (personne n’ose déranger le dirigeant) et la cacophonie (tout le monde prévient tout le monde, y compris à l’extérieur). Le principe : celui qui découvre alerte le dirigeant ou le référent, qui devient le chef d’orchestre et décide qui contacter ensuite.

À l’intérieur : prévenir, cadrer, rassurer

Le dirigeant informe rapidement l’équipe avec des consignes simples : ne plus utiliser les machines suspectes, ne pas brancher de clés USB, ne pas relayer l’information à l’extérieur avant que la communication soit préparée. Chez le Cabinet Verne, Claire réunit Thomas, Nadia et Léa en cinq minutes : chacun sait quoi faire et à qui parler. Un seul point de contact est désigné pour les échanges avec les prestataires et les autorités, afin d’éviter les messages contradictoires.

Le tableau ci-dessous précise, pour chaque interlocuteur, le bon moment et la raison de l’appel.

Interlocuteur	Quand le prévenir	Pourquoi
Dirigeant / référent	Immédiatement	Décide, coordonne, communique
Les salariés	Très vite	Consignes : ne pas utiliser les machines, ne pas relayer
Prestataire informatique	Dès l’isolement	Diagnostic, éradication, restauration
Banque	Si fraude ou virement	Bloquer ou rappeler un virement, sécuriser les comptes
Assureur (cyber)	Sous 48-72 h	Ouvrir le dossier, obtenir un accompagnement
cybermalveillance.gouv.fr / 17Cyber	Rapidement	Diagnostic guidé, mise en relation avec des prestataires
CNIL	Sous 72 h si données personnelles	Obligation légale (RGPD)
Clients / partenaires concernés	Si leurs données sont touchées	Transparence, limiter les fraudes en cascade

7. Les démarches officielles : plainte, cybermalveillance, CNIL

Passé le premier feu, trois démarches s’imposent presque toujours : porter plainte, se faire assister par le dispositif public, et — si des données personnelles sont concernées — notifier la CNIL. Elles ne sont pas optionnelles : elles conditionnent votre indemnisation, votre défense juridique et le respect de la loi.

7.1 Déposer plainte

Une cyberattaque est un délit. Déposer plainte n’est pas une formalité vaine : c’est indispensable pour être indemnisé par l’assurance, cela permet aux enquêteurs de relier les affaires entre elles, et cela vous protège juridiquement (vous êtes reconnu victime). Vous pouvez vous rendre au commissariat ou à la gendarmerie, réaliser une pré-plainte en ligne, ou passer par 17Cyber qui oriente et met en relation avec les forces de l’ordre. Apportez votre chronologie, vos photos d’écran et la liste des préjudices. Attention : de nombreux contrats d’assurance cyber exigent le dépôt de plainte sous 48 à 72 heures.

7.2 cybermalveillance.gouv.fr et le réflexe 17Cyber

cybermalveillance.gouv.fr est le dispositif national d’assistance aux victimes d’actes de cybermalveillance — particuliers, entreprises, associations et collectivités. Il propose un diagnostic en ligne qui vous pose quelques questions et débouche sur des conseils adaptés, des fiches réflexes, et surtout une mise en relation avec des prestataires de proximité référencés (label ExpertCyber). Depuis fin 2024, le guichet unique 17Cyber.gouv.fr, opéré avec le ministère de l’Intérieur, réunit au même endroit l’auto-diagnostic, un tchat avec des spécialistes et l’orientation vers la police ou la gendarmerie. Pour une TPE sans informaticien, c’est le premier numéro à composer, au sens figuré : le point d’entrée qui évite de se sentir seul.

Quant à l’ANSSI (Agence nationale de la sécurité des systèmes d’information), elle publie des guides de référence — notamment sur les rançongiciels — et pilote le CERT-FR pour les alertes. Elle traite surtout les grandes organisations et les opérateurs essentiels, mais ses recommandations irriguent tout le dispositif, y compris les fiches destinées aux TPE.

Le tableau ci-dessous résume ces trois démarches et leurs délais.

Démarche	Où	Délai	À retenir
Dépôt de plainte	Police, gendarmerie, pré-plainte en ligne, 17Cyber	Au plus vite (48-72 h pour l’assurance)	Apporter preuves et chronologie
Assistance / signalement	cybermalveillance.gouv.fr, 17Cyber.gouv.fr	Rapidement	Diagnostic guidé, prestataires référencés
Notification de violation	cnil.fr (téléservice sécurisé)	72 h après connaissance	Si données personnelles à risque

7.3 Notifier la CNIL sous 72 heures

Si l’incident touche des données personnelles — et c’est presque toujours le cas dès qu’il y a des fichiers clients, des e-mails ou des bulletins de paie — vous êtes confronté à une violation de données au sens du RGPD. L’article 33 impose alors de notifier la CNIL dans les 72 heures après en avoir pris connaissance, sauf si la violation ne présente pas de risque pour les personnes. Le compte à rebours démarre au moment où vous prenez conscience du caractère avéré de la fuite ou du blocage, pas quand tout est résolu.

La notification se fait en ligne, via le téléservice sécurisé de cnil.fr. Elle décrit la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les conséquences probables et les mesures déjà prises. Si tout n’est pas connu sous 72 h, on notifie ce qu’on sait et l’on complète ensuite : mieux vaut une notification initiale incomplète qu’un silence. Voici, pour le Cabinet Verne, à quoi ressemblerait le contenu.

Information demandée	Exemple — Cabinet Verne
Nature de la violation	Chiffrement par rançongiciel du serveur de fichiers
Catégories et volume de données	Paie et comptabilité d’environ 30 entreprises clientes ; RIB et numéros de sécurité sociale de ~400 salariés
Conséquences probables	Indisponibilité des dossiers ; risque de divulgation ou d’usage frauduleux
Mesures prises	Isolement, plainte, restauration depuis sauvegarde, réinitialisation des mots de passe

8. Restaurer et reprendre l’activité sur des bases saines

La restauration est la récompense de la préparation — mais elle se mérite. La pire erreur consiste à tout remettre en marche trop vite : si la menace n’a pas été éradiquée, ou si la sauvegarde restaurée est elle-même infectée, l’attaque repart de plus belle. On procède donc dans un ordre strict.

1. Comprendre et éradiquer (idéalement avec un prestataire) : identifier la porte d’entrée, retirer le logiciel malveillant, et réinstaller le système à neuf sur les machines touchées plutôt que de « nettoyer » à moitié.
2. Restaurer depuis une sauvegarde saine, antérieure à l’infection et restée déconnectée (c’est tout l’intérêt de la règle 3-2-1 : 3 copies, 2 supports, 1 hors site ou hors ligne).
3. Changer tous les mots de passe et activer la double authentification partout, car les identifiants peuvent avoir fuité.
4. Corriger la faille et appliquer les mises à jour en attente avant toute reconnexion.
5. Reconnecter progressivement et surveiller les jours suivants (une réapparition est fréquente).

Le schéma rappelle le principe : on ne restaure jamais depuis la machine touchée, mais depuis une copie saine et isolée.

9. Retour d’expérience : apprendre de l’incident

Un incident bien géré se termine par une dernière étape, souvent négligée : le retour d’expérience (RETEX). À froid, quelques jours après, l’équipe reconstitue la chronologie, identifie la cause d’entrée, et se pose trois questions : qu’est-ce qui a bien fonctionné ? qu’est-ce qui a manqué ? que change-t-on dès maintenant ? L’objectif n’est pas de chercher un coupable, mais de transformer la crise en progrès durable.

De ce bilan naît un petit plan d’action : corriger la faille, renforcer les sauvegardes, généraliser la double authentification, mettre à jour le carnet d’urgence, et former l’équipe. La sécurité est une boucle : prévenir, détecter, réagir, apprendre — puis mieux prévenir. La check-list ci-dessous condense les gestes de reprise et de prévention à cocher.

🧭 Erreurs fréquentes et dépannage

Beaucoup de dégâts viennent moins de l’attaque elle-même que des réactions maladroites qui la suivent. Le tableau relie chaque situation à sa cause et au bon réflexe.

Symptôme / situation	Cause probable	Bon réflexe
Après un clic sur un mail douteux, tout devient lent	Programme malveillant en cours d’installation	Débrancher le réseau, ne pas éteindre, alerter
Les fichiers portent une extension inconnue et ne s’ouvrent plus	Rançongiciel : chiffrement en cours ou terminé	Isoler, photographier, ne pas payer, restaurer
Des mails partent en votre nom	Messagerie compromise	Changer le mot de passe, activer la 2FA, prévenir les contacts
La sauvegarde restaurée est elle aussi infectée	Sauvegarde restée connectée pendant l’attaque	Utiliser une copie hors ligne antérieure ; adopter le 3-2-1
Impossible de prouver l’attaque à l’assureur	Preuves effacées, aucune chronologie	Conserver photos, journaux et main courante dès le début
L’attaque revient quelques jours plus tard	Faille non corrigée ou machine mal nettoyée	Réinstaller à neuf, corriger la faille, surveiller
On ne sait pas si la CNIL doit être prévenue	Doute sur la présence de données personnelles	Par prudence, qualifier le risque ; si données perso à risque, notifier sous 72 h
Panique générale, informations qui fuitent à l’extérieur	Aucune chaîne d’alerte définie	Un seul point de contact ; préparer la communication

📋 Cas pratique 1 — Le Cabinet Verne face au rançongiciel

La situation. Lundi, 8 h 40. Nadia allume son poste : ses dossiers clients portent une extension inconnue et refusent de s’ouvrir. Un fichier texte s’affiche sur le bureau : « Vos fichiers ont été chiffrés. Payez 3 bitcoins sous 48 h. » Le serveur partagé est touché lui aussi. Voici l’écran auquel elle fait face.

La résolution, dans l’ordre des 4 temps.

1. Isoler. Nadia ne touche à rien et appelle Claire. Ensemble, elles débranchent le câble réseau du poste et du serveur, coupent le Wi-Fi général, mais laissent les machines allumées. Elles débranchent le disque de sauvegarde encore connecté ; la copie hebdomadaire hors ligne, elle, dormait dans l’armoire — intacte.
2. Préserver. Léa photographie l’écran avec son téléphone, note l’heure (8 h 40) et démarre la main courante. Personne ne supprime la note de rançon.
3. Notifier. Claire appelle le prestataire référencé, se rend à la gendarmerie d’Issoire pour porter plainte le jour même (son assurance l’exige sous 48 h), lance le diagnostic sur 17Cyber, et — parce que des données de paie de clients sont en jeu — notifie la CNIL sous 72 h puis informe les entreprises clientes concernées.
4. Restaurer. Le prestataire réinstalle les postes à neuf, restaure les données depuis la sauvegarde hors ligne de vendredi soir, impose de nouveaux mots de passe et la double authentification, et corrige la faille (une pièce jointe piégée). Le cabinet rouvre dès le mardi en mode dégradé, priorité aux échéances.

Le dénouement. Le Cabinet Verne n’a pas payé. Il a perdu une demi-journée de saisie (entre la sauvegarde de vendredi et l’attaque), non trois cabinets de données. Le coût réel : le temps du prestataire, une déclaration, et un week-end de vigilance — sans commune mesure avec la rançon exigée.

📋 Cas pratique 2 — La messagerie compromise et la fausse facture

La situation. Un client appelle Thomas pour confirmer « le nouveau RIB envoyé ce matin ». Or Thomas n’a rien envoyé. En vérifiant, il découvre dans ses « Envoyés » des messages qu’il n’a pas écrits et une règle de transfert automatique cachée qui renvoie ses mails vers une adresse inconnue. Sa boîte est compromise : un pirate lit ses échanges et se fait passer pour lui pour détourner des paiements. Le message ci-dessous est celui qu’ont reçu plusieurs clients.

La résolution. Thomas agit sur trois fronts :

• Reprendre la main sur le compte. Il change immédiatement son mot de passe, déconnecte toutes les sessions actives, supprime la règle de transfert frauduleuse et active la double authentification. Comme il réutilisait ce mot de passe ailleurs, il le change aussi sur les autres services.
• Préserver et déclarer. Il conserve les messages frauduleux et leurs en-têtes, note les heures, porte plainte, et fait le point sur 17Cyber. Les coordonnées de clients ayant été exposées, le cabinet en informe la CNIL et prévient les clients.
• Endiguer la fraude. Le cabinet envoie à tous ses clients un message clair : « Nos coordonnées bancaires ne changent jamais par e-mail ; en cas de doute, appelez-nous. » Un client avait déjà lancé un virement : la banque, prévenue vite, parvient à le rappeler.

📋 Cas pratique 3 — Le portable volé et la violation de données

La situation. En rentrant d’un rendez-vous client, Léa se fait voler son ordinateur portable dans sa voiture. La machine contient une copie de dossiers clients. Ce n’est pas un rançongiciel, mais c’est bien un incident de sécurité — et probablement une violation de données personnelles. Toute la question tient à un mot : le disque était-il chiffré ?

La résolution. Léa signale aussitôt le vol à Claire. Le cabinet change les mots de passe des comptes accessibles depuis ce portable, révoque les sessions et, grâce à l’outil de gestion, déclenche un effacement à distance. Une plainte est déposée pour le vol. Le disque étant chiffré, les données restent illisibles pour le voleur : le risque pour les personnes est faible, mais l’incident est tout de même consigné au registre des violations. Si le disque n’avait pas été chiffré, il aurait fallu notifier la CNIL sous 72 h et informer les clients concernés. La leçon pour l’avenir : chiffrer tous les portables et n’y stocker que le strict nécessaire.

🏋️ Exercices

À vous de jouer. Pour chaque situation, réfléchissez à votre réaction, puis dépliez le corrigé.

Exercice 1 — Le premier réflexe. Un collègue voit, en direct, ses fichiers se renommer les uns après les autres. Quelle est sa toute première action ?

✅ Voir le corrigé

Il débranche le câble réseau et coupe le Wi-Fi pour stopper la propagation, sans éteindre la machine, et alerte immédiatement le référent. Isoler d’abord, réfléchir ensuite : chaque seconde de connexion, le rançongiciel gagne du terrain sur les dossiers partagés.

Exercice 2 — Éteindre ou pas ? Vrai ou faux : « Face à un rançongiciel, le mieux est d’éteindre tout de suite l’ordinateur. » Justifiez.

✅ Voir le corrigé

Faux. On isole du réseau mais on laisse la machine allumée : éteindre efface la mémoire vive (des preuves) et peut déclencher un chiffrement supplémentaire au redémarrage. On n’éteint qu’en cas de danger immédiat, et si possible après avoir photographié l’écran.

Exercice 3 — Faut-il payer ? Le message promet la clé de déchiffrement contre 3 bitcoins « sous 48 h ». L’activité est à l’arrêt. Faut-il payer ? Donnez au moins deux raisons.

✅ Voir le corrigé

Non. Aucune garantie de récupérer les données ; on finance le crime ; on devient une cible récurrente ; et la faille d’entrée reste ouverte. L’ANSSI et cybermalveillance.gouv.fr déconseillent formellement de payer. On restaure depuis la sauvegarde saine et on signale l’attaque (un déchiffreur gratuit existe parfois).

Exercice 4 — Le bon délai. Le serveur contenant les bulletins de paie de clients est chiffré. Sous quel délai, et auprès de qui, faut-il déclarer ?

✅ Voir le corrigé

Il s’agit d’une violation de données personnelles : on notifie la CNIL sous 72 h (article 33 du RGPD), via le téléservice de cnil.fr. Si le risque pour les personnes est élevé, on informe aussi les personnes concernées. Dans tous les cas, on consigne la violation au registre.

Exercice 5 — La fausse facture. Un fournisseur habituel vous écrit que son RIB a changé et vous demande de régler vite sur le nouveau compte. Quel réflexe adopter ?

✅ Voir le corrigé

On vérifie par un second canal : un appel au numéro habituel du fournisseur (jamais celui indiqué dans le mail). Un changement de RIB annoncé par e-mail, avec un sentiment d’urgence, est un signal classique de messagerie compromise ou de fraude au virement. On ne valide jamais sur la seule foi d’un message.

Exercice 6 — Remettre dans l’ordre. Classez ces quatre actions dans le bon ordre : restaurer, isoler, notifier, préserver.

✅ Voir le corrigé

1. Isoler (couper la propagation) — 2. Préserver (garder les preuves) — 3. Notifier (alerter, porter plainte, CNIL) — 4. Restaurer (repartir sain). C’est la colonne vertébrale de la figure 1, valable pour tout incident.

🚀 Aller plus loin

La meilleure gestion d’incident se joue avant l’incident. Voici les réflexes de ceux qui traversent une attaque sans couler.

Se préparer quand tout va bien

• Le carnet d’urgence affiché près des postes : numéros du dirigeant, du prestataire, de la banque, de l’assureur, et l’adresse 17Cyber.gouv.fr. On ne cherche pas ces numéros en pleine crise.
• Des sauvegardes testées selon la règle 3-2-1, dont une copie hors ligne. Une sauvegarde jamais restaurée n’est qu’une promesse.
• La double authentification partout (messagerie, banque, logiciels métier) : elle bloque l’essentiel des compromissions de compte.
• Un exercice à blanc une fois par an : « et si le serveur était chiffré lundi matin ? » Dérouler le scénario révèle les trous avant l’attaque.
• Une page de plan de réponse : les 4 temps (isoler, préserver, notifier, restaurer) et qui fait quoi. Une feuille suffit.

Les passerelles avec le reste de la formation

Réagir suppose d’avoir préparé le terrain. La leçon 286 (sauvegardes 3-2-1) vous donne la planche de salut ; la 288 (reconnaître le phishing) ferme la porte d’entrée n°1 ; la 289 (sécuriser postes, wifi et smartphones) réduit la surface d’attaque et rappelle l’importance du chiffrement des appareils. Cette leçon 290 est le filet de sécurité : quand la prévention a cédé, elle vous dit quoi faire.

🧩 Adapter à votre activité

Le fil rouge est un cabinet comptable, mais la méthode se transpose à tout métier — seuls les enjeux changent.

• Professions du chiffre et du droit (comptables, avocats, notaires). Données très sensibles et secret professionnel : notification et information des clients quasi systématiques ; chiffrement et double authentification indispensables.
• Commerce et e-commerce. Attention au piratage du site et à la fraude au paiement : isoler le site, prévenir l’hébergeur et la banque, surveiller les commandes anormales.
• Artisan et BTP. Cible privilégiée de la fraude au faux fournisseur et au changement de RIB : le réflexe du second canal (l’appel) est votre meilleure protection.
• Santé et social. Les données de santé sont ultra-sensibles : toute violation se traite avec le plus haut niveau de vigilance et de rapidité.
• Association. Un fichier d’adhérents est une donnée personnelle : sauvegardes, accès limités et carnet d’urgence s’imposent aussi.

🔑 L’essentiel à retenir

• Un incident porte atteinte à la disponibilité, l’intégrité ou la confidentialité : dans le doute, on le traite comme un incident.
• Quatre temps, toujours dans cet ordre : isoler → préserver → notifier → restaurer.
• Isoler ≠ éteindre : on coupe le réseau (câble + Wi-Fi) mais on laisse la machine allumée.
• On préserve les preuves : photos, journaux, message de rançon, et une main courante horodatée.
• On ne paie jamais la rançon : aucune garantie, on finance le crime, on reste vulnérable.
• Une chaîne d’alerte claire : le dirigeant coordonne, un seul point de contact parle à l’extérieur.
• Trois démarches : plainte, appui de cybermalveillance.gouv.fr / 17Cyber, et notification CNIL sous 72 h si données personnelles.
• On restaure depuis une sauvegarde saine et hors ligne, après avoir éradiqué la menace et changé les mots de passe.
• Un plan de continuité permet de tenir en mode dégradé ; un retour d’expérience évite de rejouer l’incident.
• La meilleure réaction se prépare à froid : carnet d’urgence, sauvegardes testées, 2FA, exercice annuel.

📖 Glossaire

Terme	Définition
Incident de sécurité	Événement portant atteinte à la disponibilité, l’intégrité ou la confidentialité d’un système ou de ses données.
Rançongiciel	Logiciel malveillant qui chiffre les fichiers et réclame une rançon (aussi appelé ransomware).
Hameçonnage	Message piégé visant à voler des identifiants ou à installer un logiciel malveillant (phishing).
Compromission	Prise de contrôle d’un compte ou d’un appareil par un tiers non autorisé.
Fraude au virement (BEC)	Usurpation d’identité par e-mail pour détourner un paiement (faux fournisseur, faux président, changement de RIB).
Isoler	Couper les liaisons réseau (câble, Wi-Fi, Bluetooth) d’une machine pour stopper la propagation, sans l’éteindre.
Analyse forensique	Examen technique d’un système compromis pour comprendre l’attaque et en conserver les preuves.
Sauvegarde 3-2-1	3 copies des données, sur 2 supports différents, dont 1 hors site ou hors ligne.
Violation de données	Perte, vol, altération ou divulgation de données personnelles, accidentelle ou malveillante (RGPD).
CNIL	Autorité française de protection des données personnelles ; reçoit les notifications de violation.
ANSSI	Agence nationale de la sécurité des systèmes d’information ; publie les guides de référence et pilote le CERT-FR.
cybermalveillance.gouv.fr	Dispositif public d’assistance aux victimes ; guichet 17Cyber.gouv.fr pour le diagnostic et l’orientation.
Plan de continuité (PCA)	Organisation permettant de maintenir l’activité essentielle en mode dégradé pendant une crise.
Registre des violations	Document interne où l’on consigne toute violation de données, même non notifiée à la CNIL.

❓ Questions fréquentes

Faut-il tout éteindre dès qu’on soupçonne une attaque ?

Non. On isole du réseau (câble et Wi-Fi) mais on laisse la machine allumée, pour préserver les preuves en mémoire et éviter un chiffrement au redémarrage. On n’éteint qu’en cas de danger immédiat.

Et si nous n’avons pas de sauvegarde utilisable, peut-on payer ?

C’est fortement déconseillé, même sans sauvegarde. Contactez d’abord cybermalveillance.gouv.fr : un déchiffreur gratuit existe pour certaines souches. Payer n’offre aucune garantie et vous expose à de nouvelles attaques.

Sommes-nous obligés de porter plainte ?

Ce n’est pas une obligation légale absolue, mais c’est vivement recommandé : la plainte est souvent exigée par l’assurance, elle vous reconnaît victime et permet aux enquêteurs de relier les affaires.

Quand devons-nous prévenir la CNIL ?

Dès qu’une violation de données personnelles présente un risque pour les personnes : notification sous 72 h après en avoir pris connaissance (article 33 du RGPD), via le téléservice de cnil.fr.

Devons-nous informer nos clients ?

Si leurs données sont touchées et que le risque est élevé pour eux, oui : dans un langage clair, en expliquant la nature de la violation et les précautions à prendre. La transparence limite aussi les fraudes en cascade.

Notre assurance couvrira-t-elle l’incident ?

Cela dépend de votre contrat (une garantie cyber est souvent en option). Déclarez l’incident sous 48 à 72 h, conservez toutes les preuves et la chronologie : ce sont elles qui conditionnent l’indemnisation.

Comment distinguer une vraie attaque d’un simple bug ?

Les signaux de la section 2 aident (fichiers illisibles, envois non faits, comptes inconnus). En cas de doute, on traite l’événement comme un incident : mieux vaut isoler pour rien que laisser une attaque s’étendre.

Combien de temps faut-il pour reprendre l’activité ?

Tout dépend de la préparation. Avec des sauvegardes testées et un plan de réponse, une TPE repart souvent en quelques jours. Sans sauvegarde, la reprise peut prendre des semaines — ou ne jamais être complète.

Num Compagny accompagne les dirigeants et les équipes des TPE-PME pour se préparer aux incidents de cybersécurité et réagir sereinement le jour venu, au sein de son Académie et lors de formations sur mesure. Retrouvez la suite de ce parcours sur numcompagny.com.

---

🏁 Testez vos connaissances

★ Quiz — Cybersécurité TPE

4 questions

1. La règle d’or des mots de passe :

Le même partout, mais compliqué Un mot de passe unique par compte, via un gestionnaire Les noter dans un carnet Les changer tous les jours

2. Un fournisseur vous email un nouveau RIB. Que faites-vous ?

Je paie, l’email vient de son adresse Je vérifie par téléphone au numéro habituel Je réponds à l’email pour confirmer Je paie la moitié

3. La règle 3-2-1 concerne :

Les mots de passe Les sauvegardes Le wifi Les mises à jour

4. Premier geste face à un rançongiciel :

Payer vite Redémarrer Débrancher la machine du réseau Antivirus en ligne

Valider mes réponses