Fiche réflexe cyberattaque : que faire dans les premières heures

Votre serveur principal affiche des fichiers chiffrés et une demande de rançon. Ou vos équipes signalent que le site web a été défiguré. Ou votre direction découvre qu’un virement de 80 000 euros est parti après un faux email du PDG. Quel que soit le scénario, les premières heures décident de l’étendue des dégâts.

Cette fiche donne la procédure : qui appeler, dans quel ordre, avec quels délais légaux. Elle couvre tous les types de cyberattaques, et se termine par le plan de réponse en une page à préparer avant l’incident. Pour le phishing, notre procédure que faire en cas de phishing détaille les gestes minute par minute.

Imprimez cette page. Affichez-la à côté des extincteurs. Le jour d’une attaque, vous n’aurez pas le temps de chercher.

Les contacts d’urgence cyber en France

Gardez cette liste accessible sans passer par votre réseau informatique : s’il est compromis, vous en aurez besoin depuis un téléphone ou un poste non connecté.

3218 : CERT-FR (numéro national, 24 h sur 24)

Le 3218 (ou 09 70 83 32 18, depuis l’étranger +33 9 70 83 32 18) est la ligne du CERT-FR, joignable 7 jours sur 7 et 24 h sur 24 (cert.ssi.gouv.fr/contact, septembre 2026). C’est le premier appel à passer pour un incident en cours si vous n’avez pas de prestataire sous contrat. Le CERT-FR se joint aussi par email à cert-fr@ssi.gouv.fr.

cybermalveillance.gouv.fr : signalement et accompagnement

La plateforme cybermalveillance.gouv.fr propose un diagnostic en ligne, le signalement de l’incident et une mise en relation avec des prestataires labellisés ExpertCyber. Le 17Cyber offre, 24 h sur 24, un diagnostic et un tchat avec un policier ou un gendarme spécialisé.

Entités régulées : notification NIS2

Si votre entreprise entre dans le périmètre de la directive NIS2, la notification à l’ANSSI est obligatoire : alerte initiale sous 24 heures, rapport complet sous 72 heures. Notre guide NIS2 pour les PME précise qui est concerné.

CNIL : notification des violations de données

Pour notifier une violation de données personnelles (obligatoire sous 72 heures), utilisez le téléservice de notification de la CNIL. Pour un conseil sur vos obligations : 01 53 73 22 22.

Police ou gendarmerie : dépôt de plainte

Rendez-vous au commissariat ou à la brigade de gendarmerie la plus proche : tout service est compétent pour enregistrer une plainte pour cyberattaque, inutile de chercher une unité spécialisée. La brigade numérique de la gendarmerie répond aussi en ligne sur gendarmerie.interieur.gouv.fr pour un premier contact.

Votre assureur cyber : déclaration de sinistre

Délai contractuel : souvent 5 jours ouvrés (vérifiez votre police). La condition préalable, elle, est légale : une plainte déposée dans les 72 heures (loi LOPMI). Gardez hors ligne les coordonnées de votre assureur et votre numéro de contrat.

---

Les 15 premières minutes

L’objectif est unique : limiter la propagation et préserver les preuves. Chaque minute d’accès supplémentaire pour l’attaquant aggrave les dégâts.

Checklist immédiate :

• Isoler les systèmes compromis du réseau : coupez le Wi-Fi et débranchez les câbles réseau des machines touchées. Si vous ne savez pas lesquelles sont touchées, isolez le segment de réseau entier.
• Ne pas éteindre les machines. La mémoire vive contient des éléments précieux pour l’enquête : clés de chiffrement actives, processus malveillants, connexions en cours. Laissez-les allumées, hors réseau.
• Ne pas supprimer les emails suspects : si l’attaque est arrivée par email, l’original est une pièce à conviction. Ne le déplacez pas, ne le supprimez pas.
• Ne pas nettoyer les journaux : aucun fichier journal ne doit être effacé ou modifié.
• Prendre des captures d’écran : messages d’erreur, demandes de rançon, fenêtres inhabituelles, pages défigurées. Photographiez l’écran avec un téléphone si nécessaire.
• Alerter le responsable informatique ou le prestataire par téléphone, jamais par email si la messagerie peut être compromise.
• Activer la cellule de crise prévue par votre plan (voir plus bas). Sans plan, désignez maintenant la personne qui décide.
• Ouvrir un journal d’incident : un document (papier si les systèmes sont indisponibles) où chaque action est notée avec l’heure et le nom de la personne.

Rançongiciel : ne redémarrez aucune machine. Un redémarrage peut relancer le chiffrement ou effacer des traces. Voir la section dédiée ci-dessous.

Fraude au virement : appelez votre banque en premier, avant même le 3218. Chaque minute compte pour tenter un rappel de fonds.

---

Identifier le type d’attaque

Le type d’attaque fixe les priorités. Voici un diagnostic rapide.

Rançongiciel

Signes : des fichiers chiffrés (extension modifiée, noms illisibles), une note de rançon à l’écran ou dans les dossiers, des services inaccessibles.

Actions immédiates :

• Isolez toutes les machines du réseau : le rançongiciel se propage aux partages et aux autres postes.
• Identifiez la première machine touchée pour comprendre le vecteur d’entrée.
• Vérifiez l’état de vos sauvegardes : sont-elles accessibles, ou chiffrées elles aussi ? Les sauvegardes connectées en permanence au réseau sont souvent visées.
• Appelez le 3218 et un prestataire spécialisé avant toute tentative de restauration.
• Consultez NoMoreRansom : des outils de déchiffrement gratuits existent pour certaines familles de rançongiciels.

Ne payez pas la rançon. La position de l’ANSSI est claire : le paiement ne garantit pas la récupération des données et encourage les attaquants à recommencer.

Phishing et compromission de compte

Signes : un salarié a cliqué sur un lien frauduleux ou saisi ses identifiants sur un faux site, des connexions suspectes apparaissent dans les journaux, des emails sont partis d’un compte interne à l’insu de son titulaire, un virement a été émis après une demande par email.

Actions immédiates : changez le mot de passe du compte compromis depuis un appareil sain, révoquez toutes les sessions actives, vérifiez les règles de transfert d’email. Si un virement est parti, appelez la banque avant tout autre appel.

Pour la procédure complète, y compris les manipulations dans Microsoft 365 et Google Workspace, suivez notre guide que faire en cas de phishing.

Fuite ou vol de données

Signes : des données confidentielles (base clients, données RH, informations financières) ont été exfiltrées, un tiers signale que vos données circulent sur un forum, ou vous recevez une demande d’extorsion avec un extrait de données volées.

Actions immédiates :

• Identifiez les données exposées et le nombre de personnes concernées.
• Vérifiez si des données personnelles sont touchées : dans ce cas, notification CNIL sous 72 heures.
• Coupez l’accès à la source de la fuite (compte compromis, accès externe mal protégé, API exposée).
• Faites appel à un avocat spécialisé si la fuite est importante : la communication aux personnes concernées se rédige avec soin.

Déni de service (DDoS)

Signes : site ou services en ligne inaccessibles sans raison apparente, volume anormal de requêtes dans les journaux.

Actions immédiates : contactez votre hébergeur pour activer la protection anti-DDoS. Surveillez en même temps vos journaux : un DDoS sert parfois d’écran de fumée pour masquer une intrusion. Signalez l’attaque sur cybermalveillance.gouv.fr.

Défiguration de site web

Signes : votre site affiche un contenu que vous n’avez pas publié.

Actions immédiates : mettez le site en maintenance, faites des captures d’écran avant toute correction, restaurez depuis une sauvegarde saine, changez tous les mots de passe d’administration du CMS et de l’hébergement, et identifiez le vecteur d’entrée (extension vulnérable, accès FTP compromis).

Menace interne

Signes : un salarié, en poste ou récemment parti, a exfiltré des données, supprimé des fichiers critiques ou accédé à des systèmes sans autorisation.

Actions immédiates :

• Révoquez tous ses accès (messagerie, VPN, applications métier).
• Préservez les journaux d’accès sans les modifier : ce sont des preuves.
• Consultez un avocat en droit du travail avant toute mesure disciplinaire.
• Déposez plainte si des données ont été volées ou des systèmes sabotés.

---

Les obligations légales

La réponse technique et le volet juridique avancent en parallèle dès les premières heures.

CNIL : 72 heures (RGPD, article 33)

Si l’attaque a compromis des données personnelles (noms, emails, téléphones, données bancaires, données de santé, mots de passe), vous devez notifier la CNIL dans les 72 heures suivant la prise de connaissance de la violation. Le délai court dès que vous savez qu’un incident s’est produit, pas quand vous en avez mesuré toutes les conséquences. La notification peut être partielle et complétée ensuite.

Trois cas selon la gravité :

• Aucune donnée personnelle exposée : inscription au registre interne des violations, sans notification.
• Données personnelles exposées, risque modéré : notification à la CNIL sous 72 heures.
• Données sensibles exposées ou exploitation confirmée (risque élevé) : notification à la CNIL et information individuelle des personnes concernées dans les meilleurs délais (article 34 du RGPD).

Ne pas notifier expose à une amende pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial.

ANSSI : 24 heures puis 72 heures (NIS2)

Pour les entités dans le périmètre de NIS2 (secteurs listés aux annexes I et II de la directive) :

• alerte initiale sous 24 heures ;
• notification d’incident sous 72 heures ;
• rapport final sous un mois.

Plainte : 72 heures pour l’assurance (LOPMI)

La loi LOPMI du 24 janvier 2023 (article L12-10-1 du Code des assurances), applicable depuis le 24 avril 2023, subordonne l’indemnisation d’une cyberattaque par l’assurance à une plainte déposée dans les 72 heures suivant sa découverte. Ce délai est indépendant de celui de la CNIL. Sans plainte dans ce délai, l’assureur peut refuser d’indemniser.

Information des personnes concernées (RGPD, article 34)

Si le risque pour les droits et libertés des personnes est élevé (données de santé, données bancaires, données permettant une usurpation d’identité), informez-les directement, dans les meilleurs délais et en langage clair : nature de l’incident, données concernées, conséquences probables, mesures prises.

---

Porter plainte

La plainte conditionne l’indemnisation par l’assurance, alimente l’enquête et ouvre une éventuelle procédure pénale.

Où déposer plainte

• En commissariat ou en gendarmerie : tout service est compétent, y compris si l’attaquant est à l’étranger.
• Brigade numérique de la gendarmerie : premier contact en ligne, par tchat, sur gendarmerie.interieur.gouv.fr.
• Par courrier au procureur de la République du tribunal judiciaire de votre siège, utile si vous ne pouvez pas vous déplacer dans le délai.

La pré-plainte en ligne (pre-plainte-en-ligne.gouv.fr) obtient un rendez-vous mais ne vaut pas plainte pour le délai LOPMI : déplacez-vous pour la finaliser.

Ce qu’il faut apporter

• La chronologie des faits (heure de détection, actions observées, systèmes touchés)
• Les captures d’écran (demande de rançon, pages défigurées, emails suspects, transactions frauduleuses)
• Les journaux de connexion et d’événements, exportés bruts
• Les emails suspects au format .eml, avec leurs en-têtes complets
• L’évaluation de l’impact : données compromises, perte financière estimée, systèmes indisponibles

Articles du Code pénal à mentionner

• Article 323-1 : accès frauduleux à un système informatique (3 ans et 100 000 €, 5 ans et 150 000 € en cas de modification ou de suppression de données)
• Article 323-2 : entrave au fonctionnement d’un système (5 ans et 150 000 €), pour les DDoS et les rançongiciels
• Article 323-3 : extraction frauduleuse de données (5 ans et 150 000 €), pour les fuites de données
• Article 313-1 : escroquerie (5 ans et 375 000 €), pour les fraudes au virement
• Article 226-4-1 : usurpation d’identité (1 an et 15 000 €), pour le phishing avec usurpation

---

La déclaration à votre assureur

Deux contraintes se cumulent. La première est légale : la plainte dans les 72 heures (LOPMI). La seconde est contractuelle : la déclaration de sinistre dans le délai de votre police, en général 5 jours ouvrés après la découverte, parfois 48 heures. Vérifiez votre contrat maintenant, avant l’incident.

Ce que l’assureur demande

• Le récépissé de dépôt de plainte
• La description de l’incident : type d’attaque, vecteur d’entrée identifié ou supposé, systèmes touchés
• La chronologie détaillée : détection, actions, personnes impliquées
• La liste des données potentiellement exposées
• L’estimation de l’impact financier : remédiation, perte d’exploitation, notification, frais juridiques
• Les mesures de sécurité en place au moment de l’incident (MFA, sauvegardes, antivirus) : l’assureur vérifiera qu’elles respectaient le contrat

Ce que couvre en général une assurance cyber

Les frais de remédiation technique, de notification aux personnes concernées et de conseil juridique, la perte d’exploitation et les frais de gestion de crise. La prise en charge des rançons et de la fraude au virement varie fortement selon les contrats. Les amendes réglementaires sont en général exclues. Notre article sur l’assurance cyber et la preuve de formation détaille ce que demandent les assureurs.

---

Avant l’incident : le plan de réponse en une page

Une PME de 60 personnes subit un rançongiciel un lundi matin. Le responsable informatique ne sait pas qui décide. Le dirigeant ne sait pas à qui notifier l’incident. Personne n’a le numéro de l’assureur sous la main. L’entreprise passe ses premières heures à s’organiser au lieu d’agir. Un plan de réponse à incident évite ce scénario : c’est le document, rédigé à froid, qui dit qui fait quoi, dans quel ordre, avec quels contacts. Pour une PME, une page bien remplie vaut mieux qu’un classeur que personne n’ouvre.

La cellule de crise

Nommez quatre rôles, même si une seule personne en cumule plusieurs :

• Le pilote, qui décide : en PME, le dirigeant ou un cadre désigné. Il tranche sur les sujets engageants (rançon, communication publique, activation de l’assurance, notification CNIL) et ne gère pas la technique.
• Le référent technique : responsable informatique ou, le plus souvent, prestataire. Il confine, analyse et restaure. Joignable à toute heure, il connaît les accès administrateurs, qui ne doivent jamais dépendre d’une seule personne.
• Le référent juridique et RGPD : DPO, avocat ou personne en charge des contrats. Il évalue les obligations de notification et prépare les messages aux autorités et aux personnes concernées.
• Le référent communication : souvent la direction ou les RH. Il rédige les messages internes et externes, et veille à ce qu’une seule voix parle au nom de l’entreprise.

Prévoyez une suppléance pour chaque rôle (que se passe-t-il si le référent technique est en vacances ?) et repérez à l’avance un prestataire de réponse à incident : l’ANSSI publie sur cyber.gouv.fr la liste des prestataires qualifiés. Un rançongiciel actif n’est pas le moment de comparer des devis.

L’arbre d’appel

Qui appelle qui, dans quel ordre, par quel canal. Imprimé, plastifié, rangé dans le tiroir du dirigeant et dans celui du référent technique : il doit rester utilisable quand les systèmes ne le sont plus.

Trois niveaux de gravité

• Niveau 1, incident mineur : tentative bloquée, alerte antivirus isolée, email de phishing signalé sans clic. Traité par le référent technique, consigné dans le journal, sans activer la cellule.
• Niveau 2, incident significatif : compte compromis, logiciel malveillant actif sur un poste, fuite limitée, service secondaire interrompu. Le pilote et le référent technique sont activés ; le référent juridique évalue la présence de données personnelles.
• Niveau 3, crise : rançongiciel actif, infrastructure centrale compromise, exfiltration confirmée de données sensibles, systèmes critiques arrêtés, fraude au virement aboutie. Toute la cellule est activée, les notifications légales partent, la communication passe par le pilote.

Un niveau 1 n’est pas anodin pour autant : un email de phishing signalé tôt évite souvent tout le reste. C’est l’intérêt d’un canal de signalement simple, qui répond à chaque salarié. Avec nophi.sh, le salarié transfère l’email douteux et reçoit un verdict motivé, en général en une à deux minutes, pendant que vos contacts sécurité sont alertés.

Tester le plan

Un plan jamais testé se découvre le jour de la crise. Une fois par an, réunissez la cellule deux heures autour d’un scénario fictif : notre guide de l’exercice de crise cyber fournit des scénarios prêts à l’emploi. Entre deux exercices, les simulations de phishing entretiennent les réflexes individuels : repérer l’email, ne pas cliquer, le signaler.

Après l’incident : le retour d’expérience

Organisez le retour d’expérience dans les 5 à 10 jours suivant la clôture, quand les souvenirs sont précis et le stress retombé. Le rapport tient en quelques pages :

• un résumé d’une page pour la direction : type d’incident, durée, impact, décisions clés ;
• la chronologie complète, heure par heure, avec le nom de la personne responsable de chaque action ;
• le vecteur d’entrée (email de phishing, vulnérabilité non corrigée, accès tiers compromis), ou les hypothèses s’il reste incertain ;
• ce qui a fonctionné, ce qui a manqué : procédures absentes, délais dépassés, contacts introuvables ;
• les actions correctives, chacune avec un responsable et une échéance ;
• le coût de l’incident : remédiation, perte d’exploitation, frais juridiques, notification.

Mettez ensuite à jour le plan, la fiche et l’arbre d’appel. Faites de même après chaque exercice et chaque changement d’organisation (nouveau prestataire, départ d’un référent).

Prévenir le prochain incident

Une cyberattaque révèle toujours une faille. Les vecteurs d’entrée les plus fréquents :

• Phishing : email frauduleux qui mène à une saisie d’identifiants ou à un logiciel malveillant. Prévention : simulation de phishing régulière, formation courte après chaque clic, canal de signalement qui répond.
• Mots de passe faibles ou réutilisés. Prévention : gestionnaire de mots de passe d’entreprise, MFA sur tous les comptes.
• Logiciels non mis à jour : exploitation d’une vulnérabilité connue dans un VPN, un CMS ou une application exposée. Prévention : mises à jour automatiques, inventaire des services exposés sur internet.
• Accès tiers mal protégés : prestataire ou sous-traitant compromis qui sert de porte d’entrée. Prévention : cartographie des accès tiers, exigences de sécurité dans les contrats.

Pour vérifier que personne ne peut écrire à vos clients en usurpant votre domaine, notre test de sécurité email contrôle en quelques secondes la configuration SPF, DKIM et DMARC de votre domaine.

Si votre entreprise relève de NIS2, l’article 21 impose notamment des pratiques de cyberhygiène et la formation à la cybersécurité, parmi de nombreuses autres mesures. Les simulations de phishing sont une façon de mettre en œuvre cette formation et d’en garder la trace.

---

Questions fréquentes

Quel numéro appeler en cas de cyberattaque ?

Le 3218 (ou 09 70 83 32 18) est la ligne du CERT-FR, joignable 7 jours sur 7 et 24 h sur 24 (cert.ssi.gouv.fr, septembre 2026). Pour les entreprises non régulées, cybermalveillance.gouv.fr oriente vers des prestataires de proximité référencés. Le 17Cyber propose aussi, 24 h sur 24, un diagnostic en ligne et un tchat avec un policier ou un gendarme spécialisé.

Faut-il déposer plainte au commissariat ou à la gendarmerie ?

Les deux sont compétents. Déposez plainte dans le service le plus proche et le plus rapide à joindre. Une unité spécialisée en cybercriminalité peut être saisie pour les affaires complexes. Ce qui compte : respecter le délai de 72 heures prévu par la loi LOPMI pour conserver le droit à l’indemnisation de votre assurance cyber.

Quel est le délai pour notifier la CNIL ?

72 heures à compter du moment où vous avez connaissance de la violation de données personnelles (article 33 du RGPD). Le délai court dès que vous savez qu’un incident s’est produit. Notifiez même si l’évaluation est partielle : la CNIL accepte les compléments. Ne pas notifier expose à une sanction pouvant atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial.

Est-ce que déclarer l’incident à l’assureur est obligatoire ?

La déclaration suit les délais de votre contrat, souvent 5 jours ouvrés. Depuis le 24 avril 2023, l’indemnisation d’une cyberattaque est en outre subordonnée à une plainte déposée dans les 72 heures (loi LOPMI, article L12-10-1 du Code des assurances). Sans cette plainte, l’assureur peut refuser d’indemniser.

Faut-il payer la rançon en cas de rançongiciel ?

La position de l’ANSSI et du gouvernement est de ne pas payer. Le paiement ne garantit ni la récupération des données ni l’absence de nouvelle attaque, et il finance les groupes criminels. Concentrez les efforts sur la restauration depuis des sauvegardes saines.

Faut-il communiquer publiquement sur l’attaque ?

Aucune obligation générale ne s’applique aux PME. En revanche, si des données de clients ont été compromises avec un risque élevé pour leurs droits, vous devez les informer individuellement (article 34 du RGPD). Une communication publique se justifie quand l’incident est déjà connu ou quand la transparence protège votre réputation.

Que faire si l’attaque survient un week-end ou la nuit ?

Le délai de 72 heures pour la plainte court aussi le week-end : découverte un vendredi soir, plainte au plus tard le lundi soir. Appliquez tout de suite les gestes de confinement, appelez le numéro d’astreinte de votre prestataire, et utilisez le 17Cyber pour un premier diagnostic.

Un plan de réponse à incident est-il obligatoire pour une PME ?

Aucune loi ne l’impose à toutes les PME. Les entités soumises à NIS2 doivent disposer de procédures de gestion des incidents, le RGPD (article 32) exige des mesures organisationnelles de sécurité, et beaucoup d’assureurs demandent une organisation documentée. Pour une PME hors NIS2, une version en une page suffit à éviter l’improvisation.

Qui doit piloter la cellule de crise dans une PME ?

Un décideur (dirigeant ou cadre désigné), épaulé par un référent technique et par une personne pour le volet juridique et RGPD. Dans une petite structure, une même personne cumule souvent plusieurs rôles : l’important est que les noms et les numéros soient écrits avant l’incident.

---

Thomas Ferreira (CISSP, GCFA, GCIH, GCFE), ingénieur sécurité chez nophi.sh. Ce guide s’appuie sur les publications officielles de cybermalveillance.gouv.fr, de l’ANSSI (cyber.gouv.fr), de la CNIL, et sur le texte de la loi LOPMI disponible sur legifrance.gouv.fr.