Attaque par rançongiciel : que faire dans les 72 premières heures ?

Lundi, 7 h 40. L’accueil appelle : l’écran affiche « vos fichiers sont chiffrés ». À partir de cet instant, chaque décision compte, et certaines multiplient les dégâts : éteindre tout le parc, payer dans la panique, réinstaller avant d’avoir compris. Voici les 72 premières heures d’une attaque par rançongicielRançongiciel (ransomware)Logiciel malveillant qui chiffre les données d’une organisation et exige une rançon pour les restituer, souvent en menaçant aussi de publier les données volées. (ransomware), pour une PME sans équipe de sécurité dédiée. Imprimez cette page : le jour J, votre réseau ne sera peut-être plus accessible.

128

Source : ANSSI, Panorama de la cybermenace 2025

Comment l’attaque se prépare en amont : voir notre chapitre Rançongiciels.

La chronologie en un coup d’œil

Quand	Priorité	Gestes clés
H+0 à H+1	Contenir	Isoler sans éteindre, couper Internet, débrancher les sauvegardes, ouvrir la main courante
H+1 à H+4	Alerter et s’organiser	Prestataire informatique, 17Cyber, assureur, cellule de crise, canal de secours
H+4 à H+24	Comprendre et préserver	Preuves, périmètre touché, données personnelles concernées, message aux salariés
H+24 à H+72	Remplir ses obligations	Plainte, notification à la CNIL, information des clients et partenaires
Après H+72	Reprendre proprement	Porte d’entrée fermée, systèmes reconstruits, tous les secrets changés

Ces créneaux sont indicatifs : les délais légaux courent dès que vous avez connaissance de l’attaque, pas à la fin de l’analyse.

H+0 à H+1 : contenir sans détruire

La première heure sert à une seule chose : empêcher l’attaque de s’étendre, sans effacer ce qui permettra de la comprendre.

1. Débranchez du réseau les machines touchées (câble, Wi-Fi), mais ne les éteignez pas : leur mémoire contient des traces utiles aux enquêteurs. Si le chiffrement est visiblement en cours, Cybermalveillance.gouv.fr conseille la mise en veille prolongée plutôt qu’une coupure.
2. Coupez l’accès Internet du réseau attaqué (box ou routeur) et les accès distants (VPN, bureau à distance). L’attaquant perd la main sur ses outils et ne peut plus emporter de données.
3. Débranchez les sauvegardes encore connectées : ce sont souvent ses premières cibles.
4. N’allumez pas les machines qui étaient éteintes : elles sont peut-être saines, gardez-les ainsi.
5. Ouvrez une main courante, sur papier ou sur un appareil qui n’est pas relié au réseau : l’heure, le constat, l’action, son auteur.

Main courante · incident rançongiciel
07:40  Accueil (S. Leroy)        Écran de rançon sur PC-ACCUEIL-02, photo prise
07:46  Informatique (K. Diallo)  PC-ACCUEIL-02 débranché du réseau, laissé allumé
07:52  Informatique (K. Diallo)  Box Internet coupée, NAS de sauvegarde débranché
08:05  Direction (A. Morel)      Cellule de crise convoquée à 08:30, salle B

Ce journal servira aux enquêteurs, à l’assureur et au retour d’expérience.

Pendant ce temps, côté attaquant

Le chiffrement n’est que la fin de l’attaque. Avant lui, l’attaquant a souvent passé des jours à étendre ses droits, à passer de machine en machine (mouvement latéralMouvement latéralEnsemble des techniques qu’un attaquant utilise pour passer d’une première machine compromise aux autres machines du réseau, jusqu’à atteindre ses véritables cibles.), à copier des données et à détruire les sauvegardes. Dans les heures qui suivent, il peut encore être connecté, lire vos messages et préparer la publication des données volées.

H+1 à H+4 : alerter et s’organiser

Réunir la cellule de crise

Même dans une PME de vingt personnes, il faut savoir qui décide. Désignez au minimum un décideur (le dirigeant, qui arbitre arrêts d’activité, dépenses et messages publics), un pilote technique (informatique interne ou prestataire), une personne chargée de la main courante et un responsable des démarches : plainte, assureur, CNIL, messages aux salariés et aux clients.

Choisissez un canal de secours (téléphone, messagerie indépendante du système attaqué) et partez du principe que votre messagerie habituelle est lue.

Qui appeler, et pour quoi

Contact	Quand	Pour quoi
Votre prestataire ou service informatique	Immédiatement	Confinement, premiers constats
17Cyber (Police, Gendarmerie et Cybermalveillance.gouv.fr)	Dès la première heure	Diagnostic, conseils, mise en relation avec les forces de l’ordre et avec un prestataire labellisé ExpertCyber
Votre assureur (assistance du contrat cyber)	Dès que possible	Déclaration du sinistre, assistance d’urgence si le contrat la prévoit
Le CSIRTCSIRT / CERT (équipe de réponse aux incidents)Équipe dédiée à la réponse aux incidents de sécurité pour un périmètre donné (une entreprise, un secteur, une région, un pays), qui alerte, conseille et coordonne la riposte. de votre région	Si vous êtes une ETI, une collectivité ou une association	Orientation vers une assistance de proximité
Le CERT-FR (ANSSI), au 3218 ou au 09 70 83 32 18	Si vous êtes une administration, un opérateur d’importance vitale ou une entité régulée	Signalement et appui, 24 h/24
Votre banque	Dès que possible	Vigilance sur les fraudes au virement qui suivent souvent

Votre contrat d’assurance fixe le délai de déclaration du sinistre, au moins cinq jours ouvrés (article L113-2 du Code des assurances). N’attendez pas : l’assistance ne démarre qu’après votre appel, et demandez-lui s’il prend en charge le prestataire de réponse à incidentRéponse à incidentEnsemble organisé des actions menées pour détecter une attaque, en limiter les dégâts, chasser l’attaquant, rétablir l’activité et en tirer les leçons. que vous comptez mandater.

H+4 à H+24 : comprendre et préserver les preuves

Sans savoir par où l’attaquant est entré, vous risquez de restaurer un système qu’il contrôle encore. Les premières heures d’investigation numériqueInvestigation numérique (forensique)Discipline qui collecte, préserve et analyse les traces numériques (disques, mémoire, journaux) pour reconstituer le déroulé d’un incident, avec une rigueur qui permet de les produire en justice. cherchent à répondre à quatre questions : par où est-il entré, depuis quand, qu’a-t-il touché, qu’a-t-il emporté ?

Conservez, ou faites conserver par un professionnel :

• les journaux du pare-feu, du proxy, du VPN et de l’Active DirectoryActive Directory (AD)Annuaire de Microsoft qui centralise les comptes, les mots de passe et les droits de la plupart des réseaux d’entreprise sous Windows : qui le contrôle contrôle tout le réseau., exportés avant d’être écrasés ;
• les machines touchées ou des copies de leurs disques ;
• la note de rançon et quelques fichiers chiffrés : un outil de déchiffrement peut être publié plus tard, notamment sur le portail No More Ransom, auquel participe Europol ;
• la main courante.

Ne réinstallez rien à ce stade : Cybermalveillance.gouv.fr demande de porter plainte avant de réinstaller les appareils touchés.

Faire le point sur les données personnelles

Même une PME sans fichier clients détient des fiches de paie, des coordonnées bancaires et des dossiers de salariés. Si l’attaquant a pu y accéder, les copier ou les détruire, il s’agit d’une violation de données au sens du RGPDRGPDRèglement européen, applicable depuis le 25 mai 2018, qui encadre l’utilisation des données personnelles et oblige chaque organisation à les protéger par des mesures de sécurité adaptées au risque.. Rassemblez déjà ce que la CNIL demandera : nature de la violation, catégories et nombre approximatif de personnes et d’enregistrements concernés, conséquences probables, mesures prises.

Parler aux salariés

Un message court, le jour même : ce qui se passe, dans la limite de ce qui est confirmé ; ce qu’il faut faire (ne pas rallumer un poste éteint, ne brancher aucune clé USB, signaler tout message suspect) ; à qui s’adresser. Le silence nourrit les rumeurs.

H+24 à H+72 : plainte, CNIL et clients

Porter plainte avant la 72e heure

72 h

Source : Code des assurances, article L12-10-1

Depuis le 24 avril 2023, l’article L12-10-1 du Code des assurances, créé par la loi LOPMI du 24 janvier 2023, subordonne l’indemnisation d’une cyberattaque à une plainte déposée au plus tard 72 heures après que la victime en a eu connaissance. La règle vaut pour les personnes morales et pour les professionnels.

Déposez plainte au commissariat, à la brigade de gendarmerie ou par écrit auprès du procureur de la République. Apportez la main courante, la note de rançon et les premiers constats techniques.

Notifier la CNIL

L’article 33 du RGPD impose de notifier une violation de données présentant un risque pour les personnes dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance. La notification se fait sur le téléservice de la CNIL. Vous n’avez pas encore toutes les réponses ? Envoyez une notification initiale, puis complétez-la. Au-delà de 72 heures, vous devrez justifier le retard.

Si le risque est élevé pour les personnes, par exemple lorsque des données bancaires ou de santé ont été volées, l’article 34 impose d’informer aussi les personnes concernées. Dans le doute, notifiez : la CNIL vous dira si cette information est nécessaire. Et même sans notification, chaque violation doit être documentée en interne.

Informer les clients et les partenaires

Restez factuel, sans spéculer sur l’auteur ni sur le volume de données touchées, avec un porte-parole unique. Prévenez en priorité les clients et fournisseurs avec qui vous échangez des fichiers ou des accès : l’attaquant peut se servir de vos contacts pour des messages piégés ou des fraudes au virement. Le guide de l’ANSSI Anticiper et gérer sa communication de crise cyber, mis à jour en juin 2026, propose dix fiches pratiques.

Après 72 heures : reprendre sur des bases saines

Tout redémarrer vite est la meilleure façon d’être chiffré une seconde fois.

• Fermez la porte d’entrée avant de rouvrir quoi que ce soit : correctif appliqué, service exposé retiré, double authentification ajoutée.
• Reconstruisez plutôt que de nettoyer : réinstallez les systèmes touchés depuis des sources de confiance, puis restaurez les données depuis une sauvegarde antérieure à l’attaque, vérifiée saine.
• Changez tous les secrets, depuis un poste sain : comptes d’administration et comptes de service d’abord, puis tous les utilisateurs, clés d’API, certificats et accès des prestataires. Si l’Active Directory a été compromis, Microsoft recommande de réinitialiser deux fois de suite le mot de passe du compte krbtgt, qui signe les tickets d’authentification Kerberos : il conserve l’ancien mot de passe, un seul changement ne suffit donc pas.
• Redémarrez par étapes, en commençant par les activités prioritaires, et surveillez de près toute nouvelle tentative.
• Faites le retour d’expérience : ce qui a fonctionné, ce qui a manqué, et un plan d’action daté.

Pour aller plus loin, voir notre chapitre Gérer un incident.

Ce qu’il faut avoir préparé avant

Tout ce qui précède se passe mieux quand il a été préparé à froid :

À préparer	Pourquoi	Comment vérifier
Une fiche réflexe d’une page, imprimée et affichée	Le bon premier geste ne doit pas dépendre de la personne présente	Demandez à un salarié ce qu’il ferait face à un écran de rançon
Un annuaire de crise sur papier	La messagerie et l’annuaire en ligne seront peut-être inaccessibles	Prestataire, assureur et numéro de contrat, banque, 17Cyber, CSIRT régional
Une sauvegarde déconnectée ou non modifiable, selon la règle 3-2-1Règle de sauvegarde 3-2-1Règle simple de sauvegarde : 3 copies des données, sur 2 supports différents, dont 1 conservée hors site.	Un NAS toujours branché sera chiffré avec le reste	Une restauration complète testée, chronomètre en main
Un prestataire de réponse à incident choisi à l’avance	Signer en pleine crise fait perdre des heures	Contrat ou contact validé, compatible avec votre assurance
Un exercice sur table de deux heures	Une cellule de crise qui se réunit pour la première fois le jour J perd du temps	Scénario joué, rôles connus, contacts testés

Enfin, réduisez les portes d’entrée. Pour les professionnels, rappelle Cybermalveillance.gouv.fr, les attaques passent le plus souvent par des accès exposés sur Internet (VPN, bureau à distance, équipements de bordure) dont une faille n’a pas été corrigée. L’audit de surface et le test d’intrusion non destructif de KrakenShield, mené uniquement sur votre autorisation écrite, recherchent ces failles avant les attaquants : découvrir les capacités.