Cyberattaque en TPE : que faire pendant les premières heures ?

Un écran bloqué, des fichiers chiffrés, une connexion inconnue ou des virements inhabituels peuvent révéler un incident numérique. Dans les premières minutes, l’objectif n’est pas de trouver immédiatement le coupable ni de remettre chaque outil en service. Il faut limiter la propagation, conserver les preuves, organiser les décisions et maintenir les activités indispensables. Cette procédure aide une petite entreprise à agir dans l’ordre, sans remplacer l’intervention d’un professionnel qualifié ou les consignes des autorités.

1. Confirmez les faits sans retarder la mise en sécurité

Un incident peut se manifester par un message de rançon, des fichiers renommés, un compte inaccessible, des connexions inconnues, des courriels envoyés à votre insu, un antivirus désactivé ou une opération bancaire suspecte. Notez l’heure, l’équipement, le compte et ce que vous voyez. Prenez une photographie de l’écran si cela ne nécessite pas de manipuler le système touché. Ne concluez pas trop vite à une panne banale ou à une attaque précise. Si tout a commencé par un courriel ou un SMS piégé, le guide phishing en entreprise : vérifier, signaler, réagir complète cette procédure.

Si plusieurs appareils montrent les mêmes signes, considérez une propagation possible. Alertez immédiatement la personne ou le prestataire chargé de l’informatique. Si vous n’en avez pas, le service public 17Cyber et Cybermalveillance.gouv.fr peuvent orienter le diagnostic. N’utilisez pas un ordinateur potentiellement compromis pour rechercher de l’aide ou modifier tous vos mots de passe : prenez un appareil sain et un réseau distinct.

La page sur les contrôles de cybersécurité d’une TPE traite la prévention. Ici, la situation est supposée en cours : les priorités deviennent le confinement, la preuve, la continuité et la reprise contrôlée.

2. Dans les quinze premières minutes, isolez sans effacer

Déconnectez les équipements manifestement touchés du Wi-Fi, du câble réseau et des supports externes afin de limiter la propagation. Ne les reconnectez pas pour « voir si cela remarche ». Ne lancez pas de nettoyage, de réinstallation ou de restauration avant l’avis du spécialiste, car ces actions peuvent détruire des preuves et masquer l’origine de l’incident. L’extinction dépend du contexte ; suivez les consignes du professionnel qui prend en charge l’analyse.

Bloquez ou suspendez les comptes compromis depuis un appareil sain. Si la messagerie est touchée, vérifiez les règles de transfert, les sessions ouvertes et les méthodes de récupération. Changez les mots de passe exposés en commençant par les comptes capables de réinitialiser les autres. Activez la double authentification lorsqu’elle est disponible, mais ne considérez pas ce changement comme la fin de l’incident.

3. Préservez les preuves et tenez un journal horodaté

Conservez les courriels, fichiers, captures, numéros appelants et journaux disponibles. Notez chaque action : qui l’a effectuée, à quelle heure, sur quel système et pour quel motif. Ce journal facilite le travail technique, la déclaration à l’assureur, le dépôt de plainte et l’analyse ultérieure. Évitez de transférer une pièce suspecte par la messagerie habituelle ou de la copier sur plusieurs appareils.

Ne négociez pas seul avec un attaquant et ne payez pas de rançon. Les autorités rappellent qu’un paiement ne garantit ni la récupération des données ni leur non-divulgation, tout en finançant l’activité criminelle. Conservez les coordonnées et demandes reçues comme éléments de preuve, puis sollicitez les services compétents. Si une fraude financière est possible, contactez immédiatement votre banque par un canal officiel.

4. Séparez la décision, la technique et la communication

Désignez une personne pour piloter la crise, même dans une très petite équipe. Elle tient le journal, valide les priorités et organise les points de situation. Le prestataire technique analyse et remédie ; le dirigeant arbitre les activités à maintenir, les dépenses, les notifications et les messages. Cette séparation évite qu’une personne absorbée par un diagnostic oublie de prévenir un client ou de sécuriser un paiement.

Activez le plan de continuité de l’activité : planning exporté, canal téléphonique alternatif, documents essentiels et procédure de travail dégradé. Listez les engagements des prochaines vingt-quatre heures et appelez les clients dont la sécurité, le rendez-vous ou la livraison sont réellement affectés. Ne diffusez pas de fichier issu d’un système compromis avant contrôle.

5. Évaluez les obligations sans attendre un diagnostic parfait

Une violation de données personnelles correspond à une perte de confidentialité, d’intégrité ou de disponibilité de données traitées par l’organisation. Documentez toujours l’incident en interne : nature, catégories et volume approximatif, conséquences probables et mesures prises. Si la violation présente un risque pour les droits et libertés des personnes, la CNIL indique qu’elle doit être notifiée dans les meilleurs délais, si possible dans les 72 heures suivant sa constatation. Une notification initiale peut être complétée lorsque l’enquête avance. Le guide pour décider s’il faut notifier une violation de données à la CNIL détaille cette analyse.

En cas de risque élevé, les personnes concernées peuvent aussi devoir être informées. Faites-vous accompagner lorsque l’analyse est incertaine. Vérifiez parallèlement les obligations contractuelles, sectorielles, assurantielles et celles liées aux systèmes de paiement.

Déposez plainte auprès de la police, de la gendarmerie ou du procureur de la République en apportant les preuves disponibles, avant les opérations de remédiation qui pourraient les modifier. Si une assurance couvre les cyberattaques, cette plainte est une condition légale de l’indemnisation : elle doit être déposée au plus tard 72 heures après que vous avez eu connaissance de l’attaque (article L12-10-1 du Code des assurances). Ce délai est distinct de celui de la notification à la CNIL.

Déclarez aussi le sinistre à l’assureur selon les délais et canaux du contrat : ce délai contractuel s’ajoute à celui de la plainte. Informez la banque si des identifiants, factures ou coordonnées bancaires ont pu être consultés. Si un changement de RIB frauduleux est possible (voir la fraude au faux RIB), prévenez les clients et fournisseurs à partir d’une liste fiable, par un canal différent de la messagerie compromise.

6. Dites ce qui est certain, l’impact et la prochaine mise à jour

Préparez un message court : « Nous rencontrons un incident affectant [service confirmé]. Les équipes ont isolé le périmètre et travaillent avec [type de spécialiste]. Votre rendez-vous est maintenu / reporté. Prochaine information à [heure]. » N’accusez personne et n’affirmez pas que les données sont intactes avant l’analyse. Évitez les détails techniques qui faciliteraient une attaque en cours.

Centralisez les demandes des clients, collaborateurs et partenaires vers un interlocuteur. Une communication cohérente limite les versions contradictoires et protège le temps de l’équipe technique. Mettez à jour le message lorsque les faits changent, même si la réponse complète n’est pas encore disponible. Archivez les versions envoyées et leurs destinataires.

7. Redémarrez progressivement à partir d’un état de confiance

La reprise ne consiste pas à rallumer tous les systèmes dès qu’un fichier redevient accessible. Corrigez la faille identifiée, vérifiez les sauvegardes, réinitialisez les accès concernés et restaurez d’abord un périmètre limité. Surveillez les journaux, les connexions et les comportements inhabituels. Ne reconnectez un appareil isolé qu’après validation du spécialiste.

Priorisez les services essentiels, puis les outils secondaires. Rapprochez les opérations financières, vérifiez les modifications de coordonnées, les règles de messagerie et les comptes administrateurs. La restauration doit suivre votre procédure de sauvegarde testée, pas une copie choisie au hasard. Conservez les preuves nécessaires avant de supprimer ou réinitialiser les systèmes.

Après la crise, réalisez un retour d’expérience factuel : chronologie, cause confirmée, contrôles efficaces, délais, pertes, décisions et actions. Donnez à chaque correction un responsable et une date. Prenez aussi en compte la charge humaine : une cyberattaque peut provoquer fatigue, culpabilité et surcharge durable. Organisez la récupération de l’équipe comme celle des outils.

8. Gardez cette checklist près du plan de crise

1. Observer et horodater les signes.
2. Isoler les équipements touchés sans nettoyage improvisé.
3. Alerter le prestataire ou demander une assistance qualifiée.
4. Utiliser un appareil sain pour sécuriser les comptes critiques.
5. Préserver les preuves et ouvrir un journal d’actions.
6. Nommer un pilote et activer le mode dégradé.
7. Porter plainte dans les 72 heures si une assurance cyber doit indemniser.
8. Évaluer banque, assurance, données personnelles et contrats.
9. Communiquer des faits vérifiés avec une prochaine échéance.
10. Restaurer progressivement après remédiation.
11. Corriger les causes et tester le nouveau dispositif.

Imprimez une fiche de contacts de crise : prestataire informatique, banque et son service d’opposition, assureur avec le numéro de contrat, 17Cyber, commissariat ou brigade de gendarmerie, personne qui pilote la crise et son remplaçant. Conservez-la dans un emplacement protégé mais accessible. Un incident qui touche la messagerie ou le stockage peut rendre la documentation en ligne indisponible. Répétez un exercice simple avant d’en avoir besoin : la rapidité vient d’un ordre connu, pas d’une improvisation plus énergique.

Sources officielles et primaires : Cybermalveillance.gouv.fr — premiers réflexes, pilotage et sortie de crise ; CNIL — documenter et notifier une violation de données personnelles ; Service Public Entreprendre — 17Cyber, assistance en ligne contre les cybermalveillances, consultées le 2 août 2026 ; Code des assurances — article L12-10-1, plainte sous 72 heures pour l’indemnisation d’une cyberattaque, consulté le 29 septembre 2026. Les exemples et méthodes doivent être adaptés à votre situation, à vos contrats et aux règles à jour.

En résumé

Face à une cyberattaque, une TPE doit d’abord contenir l’incident, préserver les preuves et organiser la décision. Elle maintient ses activités essentielles, analyse les données et obligations, puis restaure progressivement après remédiation. Un journal horodaté et des contacts préparés évitent les actions contradictoires.