Cyberattaque en entreprise, que faire et qui appeler ? | C2iP

Lundi, 8 h 05, dans une PME de Chalon-sur-Saône. Tous les postes affichent le même message. Les fichiers du serveur portent une extension inconnue et une demande de rançon attend dans chaque dossier. Premier réflexe du dirigeant, éteindre le serveur. Second réflexe, chercher un numéro à appeler.

Le premier geste efface des traces précieuses pour l’enquête comme pour la remise en route. Le second est le bon, à condition de savoir qui appeler et dans quel ordre agir. Ce guide répond à la question que tout dirigeant espère ne jamais se poser, que faire en cas de cyberattaque en entreprise ? Le scénario est fictif, mais Cybermalveillance.gouv.fr a assisté plus de 500 000 victimes en 2025, 20 % de plus qu’un an plus tôt.

Cyberattaque en entreprise, les signes qui doivent alerter

Une attaque ne s’annonce pas toujours par un écran rouge. Certains signaux passent pour de simples pannes, alors qu’ils trahissent une intrusion déjà avancée.

• Des fichiers renommés avec une extension inconnue, ou un message de rançon dans les dossiers.
• Des comptes bloqués, des mots de passe soudain refusés, des connexions à des heures inhabituelles.
• Des clients ou des fournisseurs qui reçoivent de votre part des mails que personne n’a envoyés, souvent après un hameçonnage réussi.
• Un antivirus désactivé, des sauvegardes en échec, des ordinateurs anormalement lents.
• Des virements ou des changements de RIB que personne ne reconnaît.

Que faire en cas de cyberattaque en entreprise, les 10 gestes dans l’ordre

Ces gestes reprennent les recommandations de Cybermalveillance.gouv.fr et de l’ANSSI pour les organisations victimes d’une attaque. Les cinq premiers se jouent dans les toutes premières minutes.

1. 1

   Isolez les machines touchées, sans les éteindre

   Débranchez le câble réseau ou coupez le Wi-Fi des postes et serveurs atteints. Laissez-les allumés, car leur mémoire contient des traces utiles à l’enquête.

2. 2

   Coupez Internet et les accès à distance

   Déconnectez d’Internet le réseau attaqué et suspendez les connexions à distance, VPN et bureau à distance compris, pour empêcher l’attaquant de poursuivre.

3. 3

   Ne payez pas la rançon

   Payer ne garantit ni la récupération des données, ni leur suppression chez l’attaquant. Le paiement finance aussi de nouvelles attaques.

4. 4

   Appelez votre prestataire informatique

   C’est lui qui connaît votre réseau. À défaut, le 17Cyber établit un diagnostic en ligne et vous oriente vers les bons interlocuteurs.

5. 5

   Mettez les sauvegardes à l’abri

   Déconnectez les sauvegardes encore branchées au réseau. Les attaquants cherchent souvent à les détruire pour vous obliger à payer. Une sauvegarde externalisée et isolée change tout à ce moment précis.

6. 6

   Réunissez une cellule de crise

   Direction, informatique, juridique, communication. Désignez un responsable et consignez chaque action, avec l’heure, dans un journal de bord.

7. 7

   Préservez les preuves

   Ne réinstallez rien avant le dépôt de plainte. Gardez les messages de rançon, les mails suspects et les journaux de connexion.

8. 8

   Déposez plainte dans les 72 heures

   Au commissariat, à la gendarmerie ou par courrier au procureur de la République. Ce délai conditionne l’indemnisation par une assurance cyber.

9. 9

   Prévenez la CNIL et votre assureur

   Si des données personnelles sont touchées, la notification à la CNIL doit intervenir dans les meilleurs délais, si possible sous 72 heures. Déclarez aussi le sinistre à votre assureur.

10. 10

    Communiquez sur un canal sûr

    Informez salariés, clients et partenaires par un moyen que l’attaquant ne contrôle pas, téléphone ou messagerie de secours, avec des messages courts et factuels.

Qui appeler en Côte-d’Or et en Saône-et-Loire

Gardez ce tableau à portée de main, idéalement imprimé, car votre messagerie et vos fichiers seront peut-être inaccessibles le jour J.

Le CSIRT-BFC, centre régional de cybersécurité soutenu par la Région et par l’ANSSI, est installé à Dijon. Il oriente notamment vers des prestataires référencés et accompagne les démarches après un incident. Pour un accompagnement technique, Cybermalveillance.gouv.fr recense les prestataires labellisés ExpertCyber, comme C2iP.

Les obligations des 72 premières heures

Deux délais légaux démarrent dès la découverte de l’attaque. Les manquer peut priver l’entreprise d’indemnisation ou l’exposer à des sanctions.

Porter plainte pour être indemnisé

Depuis le 24 avril 2023, l’article L12-10-1 du Code des assurances subordonne l’indemnisation d’une cyberattaque à une plainte déposée au plus tard 72 heures après sa découverte. La règle concerne les entreprises et les professionnels. Sans plainte dans ce délai, la garantie cyber ne joue pas pour ces pertes.

Notifier la CNIL en cas de fuite de données

Si l’attaque touche des données personnelles de clients, de salariés ou de patients et présente un risque pour les personnes, le RGPD impose de notifier la CNIL dans les meilleurs délais, si possible sous 72 heures. En cas de risque élevé, les personnes concernées doivent aussi être informées. Dans tous les cas, l’incident doit être documenté en interne, rappelle la CNIL.

Prévenir clients et partenaires

Vos contrats peuvent prévoir une obligation d’information en cas d’incident, en particulier si vous traitez des données personnelles pour le compte d’un client. Relisez-les dès que la situation est stabilisée, et préparez un message commun pour éviter les versions contradictoires. Une démarche de sécurité et conformité bien structurée simplifie beaucoup ces échanges.

Les 5 erreurs qui aggravent une cyberattaque en entreprise

Sous le stress, les meilleures intentions produisent parfois les pires décisions. Ces cinq erreurs reviennent dans la plupart des incidents.

1. Éteindre les machines. Leur mémoire contient des informations qui disparaissent à l’extinction.
2. Payer la rançon. Aucune garantie de récupération, et une entreprise qui paie peut redevenir une cible.
3. Tout réinstaller dans la précipitation. Les preuves disparaissent, et la faille d’origine reste souvent ouverte.
4. S’organiser par la messagerie piratée. L’attaquant lit peut-être vos échanges de crise.
5. Gérer seul et attendre. Les délais de 72 heures courent, et chaque heure laisse l’attaquant avancer.

Rançongiciel, messagerie piratée, faux virement, la conduite à tenir

Toutes les attaques ne se ressemblent pas, et le premier geste dépend de la situation. Ce tableau résume la conduite à tenir dans les quatre cas les plus fréquents pour une PME.

Pour une messagerie piratée, Cybermalveillance.gouv.fr détaille aussi la marche à suivre en cas de piratage de compte.

Après une cyberattaque en entreprise, redémarrer sans revivre l’incident

Une fois l’attaque contenue, la tentation de tout relancer au plus vite est forte. Un redémarrage précipité réinstalle souvent la porte d’entrée de l’attaquant.

• Restaurer depuis une sauvegarde saine, antérieure à l’attaque et vérifiée. C’est tout l’intérêt d’une sauvegarde managée conçue selon la règle 3-2-1-1-0, comme BEEMO. Trois copies, deux supports différents, une copie hors site, une copie hors ligne ou non modifiable, et zéro erreur à la restauration.
• Changer tous les mots de passe et généraliser la double authentification.
• Mettre à jour systèmes et logiciels avant la remise en service.
• Comprendre la porte d’entrée grâce à un audit cybersécurité. FERNAND révèle, cartographie et expose les vulnérabilités restantes.
• Former les équipes à reconnaître un hameçonnage, une porte d’entrée classique des piratages de comptes.
• Installer une gestion suivie du système d’information, avec des mises à jour, des sauvegardes et des accès tenus dans la durée, comme le propose l’accompagnement VIGIE, car une simple supervision ne suffit pas.

Des cyberattaques bien réelles en Bourgogne

Aucune organisation n’est trop petite ou trop locale pour être visée. Quatre exemples, tout près de chez vous.

• Chalon-sur-Saône, 2021. La ville et l’agglomération du Grand Chalon subissent une intrusion en février. Le maire chiffre ensuite son coût à 550 000 euros, selon L’Usine Digitale.
• Ahuy, 2023. Trois semaines après une cyberattaque, les dirigeants du groupe Fimadev décrivent dans Le Bien Public une entreprise « comme paralysée ».
• Dijon, 2024. Un prestataire de DiviaMobilités subit une action malveillante et des données d’abonnés fuitent, rapporte ici. Les clients sont mis en garde contre des tentatives d’arnaque.
• Joigny, 2026. Environ 269 000 tentatives d’intrusion visent cette ville de l’Yonne en une semaine. Elles sont bloquées sans interruption de service, selon l’AFP relayée par macommune.info.

Point commun de plusieurs de ces affaires, l’attaque passe par un prestataire ou par un accès mal protégé, comme lors de la fuite de données de l’ANTS. D’où l’importance de savoir qui fait quoi le jour J.

Préparer sa PME avant l’attaque, les consignes à afficher

Le meilleur moment pour préparer une crise reste avant qu’elle n’éclate. Six actions transforment la panique en procédure.

• Une sauvegarde hors ligne, testée par une vraie restauration au moins une fois par trimestre.
• Les consignes et les contacts d’urgence imprimés et affichés, comme l’affiche ci-dessous.
• La double authentification sur toutes les messageries et tous les accès à distance.
• Un plan de crise d’une page. Qui décide, qui appelle, qui communique.
• Une charte informatique connue de tous, qui fixe les bons réflexes au quotidien.
• Un exercice annuel, même court, pour tester le tout, comme le recommande l’ANSSI.

C2iP, prestataire labellisé ExpertCyber à Dijon et Chalon-sur-Saône

C2iP accompagne plus de 250 PME, collectivités et associations depuis son siège de Saint-Désert, près de Chalon-sur-Saône, et ses agences de Dijon, Mâcon et Lyon. L’entreprise est labellisée ExpertCyber, un label délivré par Cybermalveillance.gouv.fr après un audit d’AFNOR Certification, qui atteste des compétences en sécurisation, en maintenance et en assistance en cas d’incident.

En cas d’attaque, les équipes C2iP aident à contenir l’incident, à rechercher son origine, à restaurer les données et à sécuriser durablement le système d’information. Avant l’attaque, elles mesurent votre exposition, mettent en place des protections adaptées et accompagnent votre équipe informatique en mode co-managé si vous en avez une. Pour en parler, écrivez-nous ou appelez le 03 79 46 06 60.

Questions fréquentes sur la cyberattaque en entreprise