Une demande de rançon s’affiche sur plusieurs écrans, des fichiers portent une extension bizarre et plus personne n’accède aux dossiers partagés. Pour une PME, ce moment bascule toute l’activité en quelques minutes. La réaction des premières heures décide souvent si l’entreprise reprend son rythme en quelques jours ou si elle s’enlise pendant des semaines. Ce guide détaille les actions concrètes à enchaîner sans improvisation.
Isoler sans délai les machines compromises
Deux réflexes priment dans les premières minutes : couper toute propagation, et garder une trace de ce qui a été touché.
Couper le réseau, le Wi-Fi et les synchronisations cloud
Dès la détection d’un comportement anormal ou d’un message de rançon, débranchez physiquement les câbles réseau des postes et serveurs touchés. Coupez aussi le Wi-Fi et désactivez les connexions VPN actives. Cela stoppe la propagation latérale avant que le maliciel ne chiffre d’autres volumes.
Les dossiers synchronisés avec un cloud (OneDrive, Google Drive, Dropbox) propagent les fichiers chiffrés dès la prochaine synchronisation. Suspendez ces synchronisations sur chaque poste avant de couper le réseau. Les imprimantes réseau, NAS et objets connectés professionnels sont souvent oubliés dans la précipitation. Ils peuvent pourtant héberger ou relayer le maliciel.
Garder les postes allumés et cartographier l’incident
Laissez les machines allumées. Éteindre un poste détruit les preuves présentes en mémoire vive, précieuses pour l’analyse ultérieure. Dans une structure de trente postes, un rançongiciel non contenu chiffre souvent l’ensemble du parc en moins de quarante-cinq minutes. Isolez également les partages réseau et les baies de stockage accessibles.
Identifiez rapidement le patient zéro, c’est-à-dire la première machine compromise. Notez l’heure exacte de détection et les comptes utilisateurs connectés à ce moment. Cette cartographie initiale conditionne toute la suite de la réponse et évite de reconnecter trop tôt un système encore infecté.
Préserver les preuves numériques et évaluer l’étendue
La suite conditionne l’enquête et la remise en route : documenter ce qui est visible, puis mesurer ce qui est réellement bloqué.
Documenter la note de rançon et identifier la souche
Photographiez chaque écran affichant la note de rançon avec un téléphone. Notez l’extension des fichiers chiffrés, le nom du groupe affiché et les adresses de contact proposées. Exportez immédiatement les journaux d’événements Windows, les logs de pare-feu et les traces de l’antivirus ou de l’EDR si vous en disposez.
Le site nomoreransom.org, porté par Europol et des éditeurs de sécurité, permet d’identifier la souche du rançongiciel à partir de la note de rançon ou d’un fichier chiffré. Il propose parfois un outil de déchiffrement gratuit pour d’anciennes familles de malwares. Exportez les journaux Windows sans attendre : leur taille est plafonnée par défaut, et les événements les plus anciens s’effacent dès que la limite est atteinte, parfois en quelques heures sur un serveur actif.
Vérifier les sauvegardes et chiffrer l’impact métier
Vérifiez l’état des sauvegardes. Les attaquants ciblent souvent en premier les copies de secours pour forcer le paiement. Testez l’accès à une sauvegarde récente hors ligne sans la monter sur le réseau de production. Dressez la liste des applications critiques bloquées : facturation, messagerie, ERP, outils de production.
Évaluez l’impact métier : collaborateurs immobilisés, commandes en attente, clients potentiellement affectés. Cette évaluation guide les priorités de restauration. Documentez tout dans un journal d’incident simple, tenu à jour par une seule personne désignée.
- Captures d’écran de la note de rançon
- Horodatage précis de la détection
- Liste des postes et serveurs touchés
- État des sauvegardes vérifiées
- Comptes utilisateurs suspects
Notifier les autorités et activer les relais
Plusieurs démarches se mènent en parallèle, chacune avec son propre délai.
Déclarations obligatoires : cybermalveillance.gouv.fr, CNIL, NIS2
Signalez l’incident sur la plateforme cybermalveillance.gouv.fr. Si des données personnelles sont compromises, notifiez la CNIL dans un délai de soixante-douze heures comme l’exige le RGPD. Les entités concernées par la directive NIS2 suivent un calendrier en trois temps auprès de l’ANSSI : une alerte précoce sous 24 heures, une notification détaillée sous 72 heures, puis un rapport final sous un mois. Les seuils précis déterminant quelles PME entrent dans le périmètre NIS2 restent fixés par décret, la transposition française étant encore en cours de finalisation début 2026.
Plainte, assureur et cellule de crise interne
Déposez plainte auprès de la police ou de la gendarmerie, idéalement dans les 72 heures suivant la découverte de l’attaque. Ce délai n’est pas qu’une formalité : depuis la loi LOPMI de 2023, une cyberassurance ne peut rembourser le paiement d’une rançon que si la victime a déposé plainte dans ce délai. Cette démarche ouvre aussi la possibilité d’une enquête et d’une recherche de clés de déchiffrement. Contactez votre assureur cyber si vous en avez un : une cyberassurance couvre souvent les frais de réponse à incident, la perte d’exploitation et l’accompagnement juridique, sous réserve des conditions du contrat.
Informez votre prestataire informatique ou votre équipe interne. Activez la cellule de crise même sommaire : dirigeant, responsable technique, communication. Préparez un message interne clair pour les collaborateurs afin d’éviter les rumeurs et les actions individuelles dangereuses comme le branchement d’une clé USB personnelle.
Refuser le paiement de la rançon et faire appel à l’expertise
Deux décisions structurent cette phase : ne pas céder au chantage, et confier l’analyse à des spécialistes.
Pourquoi ne pas payer
Les autorités recommandent de ne jamais payer la rançon. Le paiement ne garantit ni la récupération des données ni la non-réutilisation des informations exfiltrées. Il finance l’écosystème criminel et expose l’entreprise à de nouvelles attaques. Les groupes changent régulièrement d’infrastructure, ce qui rend le déchiffrement aléatoire même après versement.
En France, verser une rançon n’est pas en soi un délit, mais cela peut engager la responsabilité de l’entreprise si les fonds finissent sur une liste d’entités sanctionnées ou liées au financement du terrorisme — une vérification impossible à faire dans l’urgence. C’est un argument de plus, au-delà de l’incertitude sur la récupération des données, pour privilégier la restauration depuis des sauvegardes saines.
Forensique et changement des accès
Faites appel à un expert en forensique ou à un CERT dès que possible. L’analyse détermine le vecteur d’entrée (phishing, faille non patchée, compte compromis) et repère les portes dérobées laissées par les attaquants. Sans cette étape, la restauration risque de reconduire l’infection dans les vingt-quatre heures.
Changez tous les mots de passe administrateurs et les secrets d’API dès que le périmètre est stabilisé. Utilisez un gestionnaire de mots de passe en entreprise pour générer et stocker des identifiants robustes. Activez l’authentification multifacteur partout où c’est possible avant de reconnecter les systèmes.
Restaurer proprement à partir de sauvegardes saines
La restauration se joue en deux temps : remettre les systèmes en route, puis mesurer ce que l’incident a réellement coûté.
Restaurer par étapes depuis des sauvegardes saines et déconnectées
Restaurez uniquement depuis une sauvegarde vérifiée comme saine et antérieure à l’intrusion. Préférez une restauration progressive : d’abord les services critiques, puis le reste. Testez l’intégrité des données restaurées avant de les remettre en production. Une sauvegarde externalisée bien conçue selon la règle 3-2-1 (trois copies des données, sur deux supports différents, dont une hors site et si possible déconnectée du réseau) facilite grandement cette phase.
Nettoyez ou réinstallez les systèmes d’exploitation des machines compromises plutôt que de tenter un simple nettoyage. Supprimez les comptes créés par les attaquants et révoquez les sessions distantes. Surveillez intensivement le réseau pendant les quarante-huit heures suivant la remise en service pour détecter toute réinfection.
Chiffrer le coût réel et le temps de reprise
Documentez le temps de reprise réel pour chaque application : ces données servent à ajuster le plan de continuité d’activité. Il n’existe pas de coût moyen unique pour une PME française touchée par une cyberattaque, les études mesurant des choses différentes. Le guide assureur Hiscox France (2026) situe la fourchette entre 50 000 et 466 000 euros selon la gravité de l’attaque, hors rançon. L’enquête Cybermalveillance.gouv.fr 2025, menée auprès de 588 entreprises de moins de 250 salariés, indique surtout que 16 % d’entre elles ont subi un incident sur douze mois. Dans tous les cas, le temps d’immobilisation pèse souvent plus lourd que la remise en état technique elle-même.
| Phase | Action prioritaire | Délai indicatif |
| Confinement | Isolation réseau et préservation preuves | 0 à 2 heures |
| Notification | CNIL, plainte, assureur, ANSSI si concerné | 2 à 24 heures |
| Analyse | Forensique et identification vecteur | 24 à 72 heures |
| Restauration | Sauvegardes saines et tests | Selon PRA |
| Renforcement | Mots de passe, MFA, patchs | Immédiat post-restauration |
Communiquer avec clarté en interne et vers l’extérieur
Rédigez un message interne factuel : ce qui s’est passé, les consignes immédiates (ne pas allumer certains postes, signaler tout comportement suspect), et le prochain point d’information. Les collaborateurs angoissés multiplient les erreurs si l’information manque. Désignez un porte-parole unique.
Vers les clients et partenaires, communiquez uniquement les faits vérifiés et les impacts concrets sur les délais ou les livraisons. Évitez les spéculations. Si des données personnelles ont fuité, respectez les obligations de notification individuelle prévues par le RGPD ; cette notification individuelle s’impose quand la fuite présente un risque élevé pour les personnes concernées, pas systématiquement pour tout incident. Un silence prolongé dégrade la confiance plus vite qu’une information partielle mais honnête.
Préparez un communiqué basique pour les médias au cas où l’incident deviendrait public. Limitez-vous aux faits, aux mesures prises et à un contact pour les questions. La transparence contrôlée protège la réputation mieux qu’une tentative de dissimulation qui finit toujours par s’ébruiter.
Tirer les leçons et consolider les défenses
Une fois l’activité stabilisée, organisez un retour d’expérience formel. Identifiez les failles exploitées : absence de MFA, sauvegardes accessibles en ligne, mises à jour en retard, ou manque de formation au phishing. Corrigez-les dans un plan d’actions priorisé avec des échéances réalistes.
Renforcez la détection avec un outil de type EDR plutôt qu’un simple antivirus classique. Testez régulièrement la restauration des sauvegardes. Formalisez un plan de réponse à incident même simple, avec les numéros d’urgence et les rôles de chacun. Les PME qui disposent d’une procédure écrite reprennent bien plus vite que celles qui improvisent.
Sensibilisez les équipes aux techniques d’ingénierie sociale. Un exercice de simulation d’attaque, même léger, ancre les bons réflexes. Les entreprises qui redémarrent le plus vite sont presque toujours celles qui avaient déjà testé leur procédure avant l’incident, pas celles qui découvrent leur plan de reprise en pleine crise. La préparation en amont et la discipline de réaction restent les meilleurs leviers pour limiter les dégâts et préserver la pérennité de l’entreprise.
La menace ransomware évolue, mais les gestes de base restent stables : isoler vite, préserver les preuves, notifier, restaurer propre et renforcer ensuite. Une PME qui suit ces étapes avec méthode a de bien meilleures chances de s’en relever que celle qui improvise.
A voir également
