Cyberattaque en TPE : que faire pendant les premières heures ?

Un écran bloqué, des fichiers chiffrés, une connexion inconnue ou des virements inhabituels peuvent révéler un incident numérique. Dans les premières minutes, l’objectif n’est pas de trouver immédiatement le coupable ni de remettre chaque outil en service. Il faut limiter la propagation, conserver les preuves, organiser les décisions et maintenir les activités indispensables. Cette procédure aide une petite entreprise à agir dans l’ordre, sans remplacer l’intervention d’un professionnel qualifié ou les consignes des autorités.

1. Confirmez les faits sans retarder la mise en sécurité

Un incident peut se manifester par un message de rançon, des fichiers renommés, un compte inaccessible, des connexions inconnues, des courriels envoyés à votre insu, un antivirus désactivé ou une opération bancaire suspecte. Notez l’heure, l’équipement, le compte et ce que vous voyez. Prenez une photographie de l’écran si cela ne nécessite pas de manipuler le système touché. Ne concluez pas trop vite à une panne banale ou à une attaque précise.

Si plusieurs appareils montrent les mêmes signes, considérez une propagation possible. Alertez immédiatement la personne ou le prestataire chargé de l’informatique. Si vous n’en avez pas, le service public 17Cyber et Cybermalveillance.gouv.fr peuvent orienter le diagnostic. N’utilisez pas un ordinateur potentiellement compromis pour rechercher de l’aide ou modifier tous vos mots de passe : prenez un appareil sain et un réseau distinct.

La page sur les contrôles de cybersécurité d’une TPE traite la prévention. Ici, la situation est supposée en cours : les priorités deviennent le confinement, la preuve, la continuité et la reprise contrôlée.

2. Dans les quinze premières minutes, isolez sans effacer

Déconnectez les équipements manifestement touchés du Wi-Fi, du câble réseau et des supports externes afin de limiter la propagation. Ne les reconnectez pas pour « voir si cela remarche ». Ne lancez pas de nettoyage, de réinstallation ou de restauration avant l’avis du spécialiste, car ces actions peuvent détruire des preuves et masquer l’origine de l’incident. L’extinction dépend du contexte ; suivez les consignes du professionnel qui prend en charge l’analyse.

Bloquez ou suspendez les comptes compromis depuis un appareil sain. Si la messagerie est touchée, vérifiez les règles de transfert, les sessions ouvertes et les méthodes de récupération. Changez les mots de passe exposés en commençant par les comptes capables de réinitialiser les autres. Activez le MFA lorsqu’il est disponible, mais ne considérez pas ce changement comme la fin de l’incident.

3. Préservez les preuves et tenez un journal horodaté

Conservez les courriels, fichiers, captures, numéros appelants et journaux disponibles. Notez chaque action : qui l’a effectuée, à quelle heure, sur quel système et pour quel motif. Ce journal facilite le travail technique, la déclaration à l’assureur, le dépôt de plainte et l’analyse ultérieure. Évitez de transférer une pièce suspecte par la messagerie habituelle ou de la copier sur plusieurs appareils.

Ne négociez pas seul avec un attaquant et ne payez pas de rançon. Les autorités rappellent qu’un paiement ne garantit ni la récupération des données ni leur non-divulgation, tout en finançant l’activité criminelle. Conservez les coordonnées et demandes reçues comme éléments de preuve, puis sollicitez les services compétents. Si une fraude financière est possible, contactez immédiatement votre banque par un canal officiel.

4. Séparez la décision, la technique et la communication

Désignez une personne pour piloter la crise, même dans une très petite équipe. Elle tient le journal, valide les priorités et organise les points de situation. Le prestataire technique analyse et remédie ; le dirigeant arbitre les activités à maintenir, les dépenses, les notifications et les messages. Cette séparation évite qu’une personne absorbée par un diagnostic oublie de prévenir un client ou de sécuriser un paiement.

Activez le plan de continuité de l’activité : planning exporté, canal téléphonique alternatif, documents essentiels et procédure de travail dégradé. Listez les engagements des prochaines vingt-quatre heures et appelez les clients dont la sécurité, le rendez-vous ou la livraison sont réellement affectés. Ne diffusez pas de fichier issu d’un système compromis avant contrôle.

5. Évaluez les obligations sans attendre un diagnostic parfait

Une violation de données personnelles correspond à une perte de confidentialité, d’intégrité ou de disponibilité de données traitées par l’organisation. Documentez toujours l’incident en interne : nature, catégories et volume approximatif, conséquences probables et mesures prises. Si la violation présente un risque pour les droits et libertés des personnes, la CNIL indique qu’elle doit être notifiée dans les meilleurs délais, si possible dans les 72 heures suivant sa constatation. Une notification initiale peut être complétée lorsque l’enquête avance.

En cas de risque élevé, les personnes concernées peuvent aussi devoir être informées. Faites-vous accompagner lorsque l’analyse est incertaine. Vérifiez parallèlement les obligations contractuelles, sectorielles, assurantielles et celles liées aux systèmes de paiement. Déposez plainte en apportant les preuves disponibles, idéalement avant les opérations de remédiation qui pourraient les modifier.

Contactez l’assureur selon les délais et canaux du contrat. Informez la banque si des identifiants, factures ou coordonnées bancaires ont pu être consultés. Si un changement de RIB frauduleux est possible, prévenez les clients et fournisseurs à partir d’une liste fiable, par un canal différent de la messagerie compromise.

6. Dites ce qui est certain, l’impact et la prochaine mise à jour

Préparez un message court : « Nous rencontrons un incident affectant [service confirmé]. Les équipes ont isolé le périmètre et travaillent avec [type de spécialiste]. Votre rendez-vous est maintenu / reporté. Prochaine information à [heure]. » N’accusez personne et n’affirmez pas que les données sont intactes avant l’analyse. Évitez les détails techniques qui faciliteraient une attaque en cours.

Centralisez les demandes des clients, collaborateurs et partenaires vers un interlocuteur. Une communication cohérente limite les versions contradictoires et protège le temps de l’équipe technique. Mettez à jour le message lorsque les faits changent, même si la réponse complète n’est pas encore disponible. Archivez les versions envoyées et leurs destinataires.

7. Redémarrez progressivement à partir d’un état de confiance

La reprise ne consiste pas à rallumer tous les systèmes dès qu’un fichier redevient accessible. Corrigez la faille identifiée, vérifiez les sauvegardes, réinitialisez les accès concernés et restaurez d’abord un périmètre limité. Surveillez les journaux, les connexions et les comportements inhabituels. Ne reconnectez un appareil isolé qu’après validation du spécialiste.

Priorisez les services essentiels, puis les outils secondaires. Rapprochez les opérations financières, vérifiez les modifications de coordonnées, les règles de messagerie et les comptes administrateurs. La restauration doit suivre votre procédure de sauvegarde testée, pas une copie choisie au hasard. Conservez les preuves nécessaires avant de supprimer ou réinitialiser les systèmes.

Après la crise, réalisez un retour d’expérience factuel : chronologie, cause confirmée, contrôles efficaces, délais, pertes, décisions et actions. Donnez à chaque correction un responsable et une date. Prenez aussi en compte la charge humaine : une cyberattaque peut provoquer fatigue, culpabilité et surcharge durable. Organisez la récupération de l’équipe comme celle des outils.

8. Gardez cette checklist près du plan de crise

1. Observer et horodater les signes.
2. Isoler les équipements touchés sans nettoyage improvisé.
3. Alerter le prestataire ou demander une assistance qualifiée.
4. Utiliser un appareil sain pour sécuriser les comptes critiques.
5. Préserver les preuves et ouvrir un journal d’actions.
6. Nommer un pilote et activer le mode dégradé.
7. Évaluer banque, assurance, données personnelles et contrats.
8. Communiquer des faits vérifiés avec une prochaine échéance.
9. Restaurer progressivement après remédiation.
10. Corriger les causes et tester le nouveau dispositif.

Imprimez la liste des contacts et conservez-la dans un emplacement protégé mais accessible. Un incident qui touche la messagerie ou le stockage peut rendre la documentation en ligne indisponible. Répétez un exercice simple avant d’en avoir besoin : la rapidité vient d’un ordre connu, pas d’une improvisation plus énergique.

Sources officielles et primaires : Cybermalveillance.gouv.fr — premiers réflexes, pilotage et sortie de crise ; CNIL — documenter et notifier une violation de données personnelles ; Entreprendre.Service-Public.fr — 17Cyber, assistance en ligne contre les cybermalveillances. Consultées le 2 août 2026. Les exemples et méthodes doivent être adaptés à votre situation, à vos contrats et aux règles à jour.

En résumé

Face à une cyberattaque, une TPE doit d’abord contenir l’incident, préserver les preuves et organiser la décision. Elle maintient ses activités essentielles, analyse les données et obligations, puis restaure progressivement après remédiation. Un journal horodaté et des contacts préparés évitent les actions contradictoires.