Une cyberattaque place rapidement une entreprise face à des décisions techniques, juridiques et organisationnelles. Préparer les faits et identifier les bons interlocuteurs permet d’éviter les réactions improvisées.
Rédaction : Cybersécurité Solution.
Synthèse documentaire préparée à partir des sources institutionnelles et des documentations officielles citées dans l’article. Consulter notre méthodologie éditoriale.
Vérification éditoriale : 12 août 2026. Ce contenu a une vocation informative et ne constitue pas un conseil technique personnalisé.
Cette page présente des informations générales issues de publications officielles. Cybersécurité Solution ne réalise aucune intervention technique et ne fournit pas de conseil personnalisé. Chaque environnement doit être examiné selon son contexte par un professionnel compétent.
En cas de cyberattaque, une entreprise doit d’abord alerter son support, isoler les systèmes touchés pour limiter la propagation, conserver une trace chronologique des actions et préserver les preuves disponibles. La gestion doit ensuite coordonner les volets technique, juridique, assurance, communication et continuité d’activité sans effacer prématurément les éléments utiles à l’analyse. Le guide de Cybermalveillance.gouv.fr pour les dirigeants détaille ces premiers réflexes et la conduite de crise.
Dans une TPE ou une PME, la même personne peut devoir informer la direction, appeler le prestataire, répondre aux clients et vérifier les paiements. Cette concentration des responsabilités augmente le risque de perdre des traces ou de communiquer trop vite des informations encore incertaines.
Une demande d’assistance utile décrit les faits sans interprétation excessive : systèmes concernés, heure des premiers symptômes, actions déjà menées, existence de sauvegardes et coordonnées des intervenants habituels. Elle ne doit jamais contenir de mots de passe ni de secrets techniques.
Ce guide présente les informations générales permettant de préparer l’échange avec un professionnel indépendant. Les mesures concrètes dépendent de l’environnement, du type d’attaque et des obligations applicables à l’organisation.
Une demande d’assistance devient prioritaire lorsque plusieurs comptes sont touchés, qu’un service essentiel est indisponible, qu’un paiement a été détourné ou que des données pourraient avoir été consultées. Un incident limité à un poste peut également révéler une compromission plus large.
La qualification ne doit pas être improvisée. Un message suspect n’est pas nécessairement une intrusion, tandis qu’un compte encore accessible peut déjà être contrôlé par un tiers. La chronologie et les journaux techniques permettent au professionnel de lever le doute.
Noter l’heure des alertes, les personnes informées et les changements observés aide à comprendre la progression. Les captures d’écran, références de tickets, messages reçus et journaux disponibles doivent être conservés dans un espace protégé.
Il est préférable de distinguer ce qui a été constaté de ce qui est supposé. Une formulation comme « trois messages ont été envoyés depuis la boîte comptabilité » est plus exploitable que « tout le réseau a été piraté » sans élément vérifié.
La priorité métier n’est pas toujours le serveur le plus visible. Une entreprise peut continuer sans son site vitrine, mais pas sans son logiciel de prise de commandes ou ses moyens de paiement. L’inventaire des activités critiques oriente les choix de continuité.
Les solutions temporaires doivent préserver la sécurité des données. Basculer vers des adresses personnelles ou copier des fichiers sensibles sur des supports non contrôlés peut créer un second incident. Le mode dégradé doit rester documenté et limité dans le temps.
Le professionnel aura généralement besoin de connaître les équipements touchés, les prestataires en place, les comptes administrateurs, les sauvegardes, les alertes de sécurité et les actions déjà réalisées. Les contrats d’hébergement ou de maintenance peuvent préciser les responsabilités et les délais.
Une personne de contact doit pouvoir répondre aux questions métier, tandis qu’un interlocuteur technique fournit les accès ou journaux nécessaires. Dans une petite structure, ces rôles peuvent être tenus par la même personne, mais ils doivent être clairement identifiés.
Une attaque peut affecter des données de clients, de salariés ou de partenaires. La CNIL rappelle qu’une analyse est nécessaire pour déterminer s’il existe une violation de données personnelles et si une notification est requise. Cette qualification dépend du risque pour les personnes.
Les assureurs, banques, hébergeurs, éditeurs et forces de l’ordre peuvent intervenir selon la situation. Leur information doit être cohérente et reposer sur des faits établis, sans attendre pour autant que tous les détails techniques soient connus lorsque des délais s’appliquent.
La reprise et l’investigation doivent être coordonnées. Restaurer trop tôt peut réintroduire un compte compromis ; attendre sans isoler les éléments touchés peut laisser l’incident se poursuivre. Le professionnel adapte la séquence au contexte.
Chaque entreprise possède un environnement, des contrats et des contraintes différents. Vous pouvez décrire votre besoin de manière factuelle, sans transmettre de mot de passe ni de donnée sensible. Avec votre accord, vos coordonnées pourront être transmises à un partenaire indépendant, qui reste seul responsable de son analyse, de ses tarifs et des suites proposées.
Accéder au formulaire| Moment | Objectif | Informations à conserver |
|---|---|---|
| Dès l’alerte | Limiter la propagation sans effacer les traces. Pour un équipement manifestement touché, suivre la procédure interne et, lorsque c’est approprié, l’isoler du réseau. | Heure, utilisateur, écran ou message observé, équipement et compte concernés. |
| Première heure | Alerter le responsable interne et le prestataire compétent, identifier les services critiques et ouvrir un journal de crise. | Liste des systèmes touchés, changements récents, contacts, sauvegardes disponibles. |
| Heures suivantes | Préserver les éléments utiles à l’analyse et organiser le fonctionnement dégradé. | Journaux, messages, fichiers suspects, décisions prises et personnes intervenues. |
| Dans la journée | Qualifier les obligations, la communication, l’assurance et la stratégie de reprise. | Données potentiellement concernées, tiers impactés, coûts et actions de remédiation. |
En cas de rançongiciel, Cybermalveillance.gouv.fr recommande notamment d’isoler les équipements touchés, de ne pas payer la rançon et de préserver les preuves disponibles. Les gestes exacts doivent rester adaptés au contexte et, si possible, être coordonnés avec un intervenant qualifié.
Une assistance efficace commence par une description simple, une chronologie et la liste des services touchés. Ces éléments permettent d’orienter l’intervention sans remplacer l’analyse technique qui doit être menée par un professionnel compétent.
La préparation de l’urgence doit aussi servir l’après-crise : contrats, sauvegardes, interlocuteurs et procédures deviennent plus faciles à améliorer lorsque les décisions prises pendant l’incident ont été documentées.
Non. Les premiers faits, la chronologie et l’étendue apparente suffisent pour demander une orientation. L’origine peut nécessiter une investigation plus longue.
Il est préférable de ne pas transmettre de fichiers techniques ou de données sensibles dans un formulaire général. Ils pourront être remis par un canal adapté au professionnel saisi.
Une personne doit centraliser les informations et les décisions, même si elle s’appuie sur le dirigeant, le prestataire informatique, le DPO ou le conseil juridique.
Non. La sauvegarde peut aider à restaurer, mais il faut vérifier son intégrité, comprendre la compromission et sécuriser les accès avant une reprise complète.
Ces ressources publiques ont servi à vérifier et à contextualiser les informations présentées.
Liens vérifiés le 12 août 2026.