Un matin, les fichiers portent une extension inconnue et un message réclame un paiement. Ce qui se décide dans l’heure qui suit détermine ce que vous récupérerez, ce que votre assurance couvrira, et ce que les enquêteurs pourront exploiter. Deux réflexes évidents sont pourtant des erreurs : éteindre les machines, et réinstaller avant d’avoir porté plainte. Et deux délais de soixante-douze heures courent en parallèle, qui ne visent pas la même chose.
La première heure, dans l’ordre
- Coupez l’accès à internet du réseau attaqué : débranchez la box ou le routeur. C’est ce qui arrête la propagation et coupe le dialogue entre les postes infectés et l’attaquant.
- Identifiez les machines touchées et isolez-les du réseau — câble débranché, Wi-Fi désactivé.
- N’éteignez pas les machines touchées. C’est contre-intuitif, et c’est essentiel : une partie des traces — dont parfois la clé de chiffrement — ne vit qu’en mémoire vive et disparaît à l’extinction.
- Ne rallumez pas les machines qui étaient éteintes. Elles sont peut-être saines : les démarrer sur un réseau compromis les expose.
- Débranchez les sauvegardes si elles sont encore reliées au réseau. C’est la cible suivante, et la seule chose qui vous sauvera.
- Alertez votre prestataire informatique, ou passez par 17cyber.gouv.fr, le service d’assistance de l’État.
- Notez tout : l’heure, les gestes, les constats. Ce relevé servira aux enquêteurs, à l’assureur, et à vous-même dans trois jours quand plus personne ne se souviendra de l’ordre des choses.
Une chose à ne pas faire, qu’on fait souvent par réflexe de dirigeant : réinstaller les postes pour « repartir vite ». Cela efface les preuves techniques avant que quiconque les ait relevées.
Les deux délais de soixante-douze heures
On les confond, et ils n’ont ni le même destinataire ni le même objet.
| La plainte | La notification à la CNIL | |
|---|---|---|
| Destinataire | Police ou gendarmerie | CNIL |
| Point de départ | La connaissance de l’atteinte | La connaissance de la violation |
| Ce qui la déclenche | Toute atteinte à un système de traitement de données | Seulement si des données personnelles sont touchées |
| Ce qu’on risque à l’oublier | Perdre l’indemnisation de l’assurance | Un manquement au RGPD |
La plainte conditionne l’assurance. C’est un point que peu de dirigeants connaissent, et il est écrit dans le code des assurances depuis avril 2023 : le versement d’une indemnité au titre d’un contrat couvrant les pertes causées par une cyberattaque « est subordonné au dépôt d’une plainte de la victime auprès des autorités compétentes au plus tard soixante-douze heures après la connaissance de l’atteinte ». Pas soixante-douze heures après l’avoir compris, ni après le week-end : après en avoir eu connaissance. La règle ne vaut que pour les personnes morales et pour les professionnels — un particulier n’y est pas soumis.
Portez plainte avant de réinstaller quoi que ce soit. C’est l’ordre recommandé par le dispositif national, pour que les preuves techniques existent encore quand l’enquête commence.
La notification à la CNIL est due si des données personnelles ont été consultées, modifiées ou détruites — ce qui, dans un rançongiciel, est presque toujours le cas : un fichier clients chiffré est une atteinte à la disponibilité des données. Elle se fait en ligne, et n’a pas à être complète du premier coup : mieux vaut une notification initiale dans le délai, complétée ensuite, qu’une notification parfaite en retard.
Faut-il payer ?
Non, et la position officielle est explicite. Payer ne garantit ni de récupérer ses données, ni que les données volées ne seront pas publiées ou exploitées ; et cela encourage les attaquants à demander davantage tout en finançant leur activité.
Il faut savoir ce que la question cache vraiment. Dans un rançongiciel moderne, les données sont d’abord exfiltrées, puis chiffrées. Payer ne fait disparaître ni la copie qu’ils détiennent, ni le chantage qui peut revenir six mois plus tard. Ce qui vous sortira de là, c’est une sauvegarde que l’attaquant n’a pas pu atteindre.
Ce qui se prépare avant, pas pendant
- Une sauvegarde hors ligne. Un disque débranché après la copie, ou un stockage dont vos comptes d’administration ne peuvent pas supprimer les versions. Une sauvegarde accessible depuis le réseau sera chiffrée avec le reste.
- Un essai de restauration. Une sauvegarde jamais restaurée n’est pas une sauvegarde : c’est une hypothèse. Essayez une fois l’an, sur un poste vierge, et chronométrez.
- Les numéros sur une feuille de papier. Prestataire informatique, assureur, expert-comptable, banque. Le jour venu, votre annuaire est peut-être chiffré lui aussi.
- La double authentification sur la messagerie et les accès distants. C’est par là qu’on entre le plus souvent.
- La lecture de votre contrat d’assurance. Savoir, avant l’incident, si la cyberattaque est couverte, à quelle hauteur, et ce que l’assureur exige — le délai de plainte, mais aussi souvent une déclaration sous quelques jours.
Questions fréquentes
Les soixante-douze heures courent-elles à partir de l’attaque ou de sa découverte ?
De la connaissance de l’atteinte par la victime. Un rançongiciel déclenché un vendredi soir et découvert le lundi matin fait courir le délai à compter du lundi. Mais la preuve du moment où vous avez su repose sur vous : c’est une raison de plus de tenir le relevé horodaté des constats dès la première heure.
Je n’ai pas d’assurance cyber. La plainte sert-elle encore à quelque chose ?
Oui. Elle ouvre l’enquête, elle vous constitue victime, et elle vous sera demandée par vos clients, votre banque ou vos partenaires si des données les concernant ont fuité. Elle est aussi la pièce qui établit la date et la nature de l’incident, ce qui compte si un litige naît plus tard d’une prestation interrompue.
Faut-il prévenir mes clients ?
Si la violation présente un risque élevé pour les personnes concernées, le RGPD impose de les informer, en plus de la CNIL. Au-delà de l’obligation, c’est souvent la bonne décision : un client qui l’apprend par vous le prend mieux que s’il le découvre autrement. Préparez un message court, factuel, qui dit ce qui s’est passé, quelles données sont concernées et ce que vous faites.
Combien de temps l’activité reste-t-elle arrêtée ?
Cela dépend presque uniquement de l’état de vos sauvegardes. Avec une sauvegarde hors ligne récente et une restauration déjà éprouvée, on parle de jours. Sans sauvegarde exploitable, on parle de semaines, et d’une reconstitution manuelle des données à partir des documents papier, des boîtes de messagerie et des relevés bancaires.
Espace Digital met en place vos sauvegardes hors ligne et éprouve leur restauration, installe la double authentification sur vos accès sensibles, et prépare avec vous la fiche de conduite à tenir — pour que la première heure ne s’improvise pas. Écrivez-nous à contact@espacedigital.fr ou découvrez Espace Digital.
Sources
- Code des assurances, article L. 12-10-1 — l’indemnisation des pertes causées par une atteinte à un système de traitement automatisé de données est subordonnée au dépôt d’une plainte « au plus tard soixante-douze heures après la connaissance de l’atteinte par la victime » ; applicable aux seules personnes morales et aux professionnels. Créé par la loi n° 2023-22 du 24 janvier 2023, article 5, en vigueur depuis le 24 avril 2023.
- Cybermalveillance.gouv.fr, fiche réflexe « Rançongiciels » — conduite à tenir dans l’ordre : couper internet, isoler sans éteindre, ne pas rallumer les machines restées hors tension, débrancher les sauvegardes, alerter, documenter, ne pas payer, porter plainte avant toute réinstallation, préserver les preuves.
- CNIL, « Notifier une violation de données personnelles » — délai de soixante-douze heures après la prise de connaissance, notification en ligne, information des personnes concernées en cas de risque élevé.
- 17cyber.gouv.fr — service national d’assistance et d’orientation en cas d’atteinte numérique.