Après une cyberattaque : premiers gestes pour un indépendant

Si un incident touche vos outils professionnels, alertez le contact informatique du client ou un prestataire compétent sans attendre d’avoir tout compris. Ce guide de premiers gestes n’est pas une procédure complète d’investigation ni une garantie de récupération. Il s’appuie principalement sur la fiche rançongiciels de Cybermalveillance.gouv.fr ; d’autres incidents peuvent demander une réponse différente.

1. Isoler en cas de rançongiciel

Cybermalveillance.gouv.fr recommande de couper les connexions Internet du réseau attaqué, de déconnecter les machines touchées du réseau et de débrancher les sauvegardes connectées pour éviter leur destruction.[13] Prévenez immédiatement le service ou prestataire informatique.[13]

Sur un équipement personnel touché, coupez le Wi-Fi et débranchez le câble réseau. Sur une infrastructure partagée ou critique, faites coordonner l’isolement par la personne responsable plutôt que de modifier des systèmes que vous ne maîtrisez pas.

2. Préserver les preuves, sans règle d’extinction automatique

La fiche officielle recommande de ne pas éteindre les machines touchées pour préserver les éléments en mémoire. Elle précise toutefois que, si le chiffrement est encore en cours, une extinction conservatoire doit être envisagée, en privilégiant la mise en veille prolongée.[13] Faites arbitrer rapidement cette décision avec l’intervenant : ni « toujours éteindre » ni « toujours laisser tourner » n’est une consigne adaptée à tous les cas.

Notez les horaires, les messages observés et chaque action réalisée. Conservez les éléments disponibles pour les investigations ; ne lancez pas de nettoyage ou de réinstallation avant d’avoir organisé cette préservation.[13]

3. Alerter et éviter les décisions sous pression

Cybermalveillance.gouv.fr recommande de ne pas payer la rançon et de déposer plainte ; un paiement n’apporte pas de certitude de récupération.[13] Contactez rapidement votre assureur si vous êtes couvert et vérifiez ses exigences de déclaration. Si des opérations financières sont concernées, contactez aussi votre banque par un canal connu.

Prévenez le client ou responsable concerné avec des faits : ce qui a été observé, les systèmes potentiellement touchés, les mesures prises et les inconnues. Ne promettez pas que les données n’ont pas été copiées si vous ne pouvez pas l’établir.

4. Traiter la violation de données personnelles

Le responsable de traitement doit documenter toute violation. La notification à l’autorité compétente est requise dans les meilleurs délais et, si possible, au plus tard 72 heures après connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés ; un retard doit être expliqué.[12]

Le risque élevé est le seuil de communication aux personnes concernées, sous réserve des exceptions de l’article 34 : ce n’est pas le seuil général de notification à la CNIL.[11][12] Si vous êtes sous-traitant, informez le responsable de traitement dans les meilleurs délais, sans attendre 72 heures.[12]

Une notification initiale peut être complétée lorsque les investigations progressent.[11] Demandez un avis compétent en cas de doute, et consultez notre guide RGPD.

5. Préparer la reprise avec l’intervenant

La fiche officielle prévoit d’identifier l’origine et l’étendue de l’intrusion, de réinstaller les systèmes touchés et de restaurer une sauvegarde antérieure à l’attaque après vérification qu’elle n’est pas infectée.[13] Elle recommande également de changer les mots de passe.[13]

Organisez ces changements depuis un appareil considéré sain avec votre intervenant. Faites examiner aussi les accès persistants, les sessions et les secrets applicatifs concernés avant la reconnexion. Un scan sans alerte ne suffit pas, à lui seul, à attester que tous les accès de l’attaquant ont disparu.

Après l’urgence

Documentez la cause établie ou encore incertaine, les accès retirés, les restaurations validées et les mesures à suivre. Les sauvegardes déconnectées et les essais réguliers de restauration font partie des recommandations de prévention.[13]

Aucun VPN ou antivirus commercial n’est présenté ici comme un remède post-attaque. CyberFacile n’a réalisé aucun test de récupération ni intervention sur un système compromis pour rédiger cet article.

Documents consultés le 15 septembre 2026.

Sources

[11] https://www.cnil.fr/fr/notifier-une-violation-de-donnees-personnelles — CNIL — notifier une violation [12] https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4 — CNIL — RGPD chapitre IV [13] https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/rancongiciels-ransomwares — Cybermalveillance.gouv.fr — rançongiciels