Après une cyberattaque : premiers gestes pour un indépendant

Vous avez reçu un lien douteux, perdu l’accès à un compte ou découvert une demande de rançon. Le premier geste dépend de ce qui s’est passé : la procédure d’un rançongiciel ne s’applique pas automatiquement à un message suspect.

Si un incident touche vos outils professionnels, alertez le contact informatique du client ou un prestataire compétent sans attendre d’avoir tout compris. Ce guide aide à organiser les premiers gestes ; il ne remplace pas une investigation et ne garantit pas la récupération des données.

Message ou lien suspect : commencer par ce qui a eu lieu

Si votre doute porte sur un e-mail ou un lien, consultez le guide des premiers gestes face à un message suspect. Précisez ce qui s’est passé : message reçu, lien ouvert, informations saisies ou fichier ouvert. Ces faits aideront la personne qui vous accompagne à choisir la réponse adaptée.

La suite de cet article s’appuie principalement sur la fiche rançongiciels de Cybermalveillance.gouv.fr. D’autres incidents, dont un compte compromis, peuvent nécessiter une réponse différente : ne leur appliquez pas mécaniquement toutes les étapes ci-dessous.

Rançongiciel : isoler et alerter

Cybermalveillance.gouv.fr recommande de couper les connexions Internet du réseau attaqué, de déconnecter les machines touchées du réseau et de débrancher les sauvegardes connectées pour éviter leur destruction.[13] Prévenez immédiatement le service ou prestataire informatique.[13]

Sur votre équipement personnel touché, coupez le Wi-Fi et débranchez le câble réseau. Sur une infrastructure partagée ou critique, faites coordonner l’isolement par la personne responsable. N’intervenez pas sur des systèmes que vous ne maîtrisez pas.

Conserver les preuves : faut-il éteindre l’ordinateur ?

La fiche officielle recommande de ne pas éteindre les machines touchées pour préserver les éléments en mémoire. Elle précise toutefois que, si le chiffrement est encore en cours, une extinction conservatoire doit être envisagée, en privilégiant la mise en veille prolongée.[13] Faites arbitrer rapidement cette décision avec l’intervenant : ni « toujours éteindre » ni « toujours laisser tourner » n’est une consigne adaptée à tous les cas.

Notez les horaires, les messages observés et chaque action réalisée. Conservez les éléments disponibles pour les investigations ; ne lancez pas de nettoyage ou de réinstallation avant d’avoir organisé cette préservation.[13]

Alerter le client et les autres interlocuteurs

Transmettez au client ou au responsable les faits connus : ce que vous avez observé, les outils potentiellement touchés, les mesures prises et ce qui reste incertain. Ne promettez pas que les données n’ont pas été copiées si vous ne pouvez pas l’établir.

Cybermalveillance.gouv.fr recommande de ne pas payer la rançon et de déposer plainte ; payer ne donne aucune certitude de récupération.[13] Si vous êtes assuré, contactez rapidement votre assureur et vérifiez ses exigences de déclaration. Si des opérations financières sont concernées, contactez aussi votre banque par un canal connu.

Données personnelles : ne pas attendre la fin de l’enquête

Le responsable de traitement doit documenter toute violation. La notification à l’autorité compétente est requise dans les meilleurs délais et, si possible, au plus tard 72 heures après connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés ; un retard doit être expliqué.[12]

Le risque élevé est le seuil de communication aux personnes concernées, sous réserve des exceptions de l’article 34. Ce n’est pas le seuil général de notification à la CNIL.[11][12] Si vous êtes sous-traitant, informez le responsable de traitement dans les meilleurs délais, sans attendre 72 heures.[12]

Une notification initiale peut être complétée au fil des investigations.[11] En cas de doute, demandez un avis compétent. Le guide RGPD pour indépendant explique la distinction entre les rôles et les obligations.

Reprendre le travail avec l’intervenant

La fiche officielle prévoit d’identifier l’origine et l’étendue de l’intrusion, de réinstaller les systèmes touchés et de restaurer une sauvegarde antérieure à l’attaque après vérification qu’elle n’est pas infectée. Elle recommande également de changer les mots de passe.[13]

Organisez ces changements depuis un appareil considéré sain avec votre intervenant. Faites aussi examiner les accès qui pourraient rester ouverts, les sessions et les secrets des applications concernées avant de reconnecter les systèmes. Un scan sans alerte ne prouve pas, à lui seul, que tous les accès de l’attaquant ont disparu.

Après l’urgence : garder une trace et préparer la suite

Documentez la cause établie ou encore incertaine, les accès retirés, les restaurations validées et les mesures à suivre. Les sauvegardes déconnectées et les essais réguliers de restauration font partie des recommandations de prévention.[13] Reprenez la section « Sauvegardes et restauration » du guide de sécurité en télétravail pour organiser ce suivi.

La prochaine action, pendant l’incident, reste de transmettre vos observations à l’intervenant et de coordonner la suite avec lui. Un VPN ou un antivirus commercial n’est pas présenté ici comme un remède post-attaque. CyberFacile n’a réalisé ni test de récupération ni intervention sur un système compromis pour rédiger cet article.

Documents consultés le 15 septembre 2026.

Sources

[11] https://www.cnil.fr/fr/notifier-une-violation-de-donnees-personnelles — CNIL — notifier une violation [12] https://www.cnil.fr/fr/reglement-europeen-protection-donnees/chapitre4 — CNIL — RGPD chapitre IV [13] https://www.cybermalveillance.gouv.fr/tous-nos-contenus/fiches-reflexes/rancongiciels-ransomwares — Cybermalveillance.gouv.fr — rançongiciels