Cyberattaque en TPE : les premiers réflexes et les bons contacts

Face à une cyberattaque, les premiers réflexes sont : isoler l’appareil ou le compte touché, ne pas éteindre ni effacer sans réfléchir, conserver les preuves, changer les mots de passe depuis un poste sain, prévenir votre prestataire informatique et demander de l’aide au dispositif national 17Cyber, accessible en ligne à toute heure. Portez plainte quand vous avez subi un préjudice (données, argent, activité), avec vos preuves.

Une TPE n’a pas d’équipe sécurité. Heureusement, des ressources publiques et gratuites existent. Cet article explique comment les utiliser, dans quel ordre agir et ce qu’il faut préparer avant que cela arrive.

Quelles sont les ressources publiques à connaître ?

• Cybermalveillance.gouv.fr : dispositif national d’assistance aux victimes et de prévention. Il propose des fiches pratiques, un diagnostic et la mise en relation avec des professionnels de la sécurité informatique référencés.
• 17Cyber : service d’assistance en ligne ouvert fin 2024, porté conjointement par Cybermalveillance.gouv.fr, la Police nationale et la Gendarmerie nationale. Il est accessible 24 h sur 24 et 7 jours sur 7. On répond à quelques questions pour identifier la menace, on reçoit des conseils adaptés et, si la situation le justifie, on peut échanger par messagerie avec un policier ou un gendarme.
• ANSSI : agence nationale de la sécurité des systèmes d’information. Elle publie des guides et des recommandations, et s’adresse en priorité aux opérateurs et administrations ; les PME s’appuient surtout sur ses publications.
• CNIL : à contacter si des données personnelles sont concernées.

Que faire dans les premières minutes ?

1. Ne pas paniquer, ne pas payer sans conseil. Une demande de rançon n’appelle pas de réponse immédiate.
2. Isoler : débrancher l’appareil du réseau (câble, Wi-Fi) sans l’éteindre brutalement quand c’est possible, car l’état de la machine peut servir à comprendre l’attaque.
3. Alerter : prévenir votre responsable informatique ou prestataire, la direction, et les personnes qui utilisent les mêmes accès.
4. Conserver les preuves : captures d’écran, messages reçus, journaux, copies de fichiers suspects. N’effacez rien avant d’avoir sauvegardé ces éléments.
5. Changer les mots de passe des comptes concernés depuis un poste sain, et activer la double authentification.
6. Contacter l’assistance : 17Cyber ou Cybermalveillance.gouv.fr pour établir un diagnostic.
7. Prévenir la banque en cas de virement frauduleux ou d’identifiants bancaires divulgués.

Quels types d’incidents rencontrent le plus les TPE ?

Cybermalveillance.gouv.fr décrit ces situations dans ses fiches, parmi lesquelles : hameçonnage (message qui imite un tiers pour obtenir des identifiants), piratage de compte de messagerie, rançongiciel (fichiers chiffrés contre rançon), fraude au virement (faux ordre de paiement), défiguration ou piratage de site internet. La réponse varie : le piratage d’un site est traité dans site WordPress piraté : que faire, et l’usurpation de votre domaine par e-mail relève de SPF, DKIM et DMARC.

Consultez les fiches de réflexes du site officiel pour la situation précise, plutôt que de vous fier à des conseils génériques.

Quand porter plainte, et comment ?

Portez plainte lorsque vous avez subi un préjudice : argent perdu, données volées, activité interrompue, usurpation d’identité ou de marque, extorsion. Une plainte permet d’ouvrir une enquête et soutient vos démarches auprès de votre assureur et de votre banque. Préparez :

• une chronologie datée des faits ;
• les captures d’écran, e-mails complets et journaux conservés ;
• les relevés bancaires ou factures montrant le préjudice ;
• les références de vos contrats d’assurance et d’hébergement.

Le service 17Cyber peut vous orienter, y compris vers le dépôt de plainte. La CNIL recommande aussi, en cas de cyberattaque, de déposer plainte auprès de la police ou de la gendarmerie.

Faut-il prévenir la CNIL ou d’autres autorités ?

Si des données personnelles (clients, salariés) sont perdues, altérées ou divulguées avec un risque pour les personnes, l’entreprise doit en principe notifier la CNIL dans les meilleurs délais, au plus tard 72 heures après en avoir pris connaissance, quand c’est possible. La page de la CNIL décrit les conditions et le téléservice. Votre assureur cyber, s’il y en a un, demande aussi souvent une déclaration rapide : vérifiez le délai prévu au contrat.

Comment se préparer avant l’incident ?

Quelques actions simples diminuent beaucoup l’impact d’une attaque :

• une liste à jour des comptes et accès importants, avec leur responsable ;
• des sauvegardes hors ligne ou isolées, dont la restauration est testée ;
• des mises à jour appliquées sur les postes, le site et les équipements ;
• la double authentification sur la messagerie, le domaine et l’hébergement ;
• une fiche d’urgence : qui appeler, dans quel ordre, avec les numéros du prestataire, de l’hébergeur, de l’assureur et de la banque ;
• une sensibilisation courte des équipes au hameçonnage ;
• un contrat de maintenance et sécurité qui précise les délais d’intervention.

Pour le site, la checklist d’audit de sécurité et le guide de maintenance et sauvegardes apportent des contrôles concrets. Côté équipe, la sensibilisation à l’hameçonnage des salariés réduit les risques de départ, et l’OWASP Top 10 expliqué aux dirigeants aide à comprendre les failles les plus courantes des applications web.

Questions fréquentes

Faut-il payer une rançon ?

En règle générale, il est déconseillé de payer : rien ne garantit la récupération des données et le paiement finance les attaquants. Demandez conseil à 17Cyber ou à un professionnel avant toute décision.

Peut-on faire appel à un prestataire privé ?

Oui. Cybermalveillance.gouv.fr référence des prestataires de proximité. Vérifiez leurs références et ce qui est inclus dans l’intervention avant de leur donner accès à vos systèmes.

Que dire à mes clients ?

Dites-leur ce qui s’est passé, ce qui est concerné et ce qu’ils doivent faire (changer un mot de passe, se méfier de certains messages), sans minimiser ni exagérer. Si leurs données personnelles sont exposées à un risque élevé, vous pouvez avoir l’obligation de les informer.

Comment organiser la réponse quand l’incident dure ?

Une attaque ne se règle pas toujours en une heure. Désignez une personne qui coordonne, tient un journal horodaté des décisions (qui a fait quoi, à quelle heure) et centralise les échanges avec le prestataire, l’hébergeur, la banque et l’assureur. Ce journal sert ensuite pour la plainte, pour la CNIL et pour tirer les leçons de l’incident.

Décidez ensuite des priorités de remise en route : quels outils sont indispensables pour continuer à facturer, répondre aux clients et livrer ? Redémarrez-les en premier, depuis des sauvegardes saines, et ne reconnectez un poste ou un compte qu’après vérification. Évitez de communiquer sur des canaux possiblement compromis (une messagerie piratée, par exemple) ; utilisez un canal alternatif connu de tous.

Que faire après l’incident ?

Faites un retour d’expérience sobre, sans chercher de coupable : comment l’attaquant est entré, pourquoi il n’a pas été vu plus tôt, ce qui a bien fonctionné. Traduisez-le en trois ou quatre actions concrètes avec un responsable et une date : activer la double authentification, corriger la sauvegarde, former les équipes, mettre à jour un outil. Revoyez votre fiche d’urgence et testez-la une fois par an. Si l’incident a révélé un défaut du site ou de la messagerie, un audit de sécurité ou un renforcement de la sécurité de la messagerie et des comptes peut suivre.

Pour préparer votre dispositif de réponse ou faire le point sur vos protections, contactez-nous ; n’envoyez pas de mots de passe ni de documents sensibles par ce canal. Notre page cybersécurité présente nos accompagnements.