Cyberattaque PME : le guide opérationnel des 72 premières heures
Les 72 premières heures après une cyberattaque déterminent si votre PME s'en remet ou ferme dans les 12 mois. L'erreur fatale n'est jamais l'attaque elle-même — c'est la réponse désorganisée qui transforme un incident récupérable en catastrophe. Voici le protocole exact, heure par heure.
Sophie Marchetti
Responsable Réponse à Incident · WebGuard Agency
Vous êtes en train d'être attaqué ?
Ne redémarrez pas les machines. Ne payez pas de rançon. Isolez le réseau et appelez immédiatement notre équipe de réponse à incident : 09 72 000 000 (disponible 24h/24).
Pourquoi les premières heures sont décisives
Une attaque ransomware typique en 2026 commence 3 à 6 semaines avant le chiffrement visible — les attaquants explorent silencieusement votre réseau, exfiltrent des données, compromettent des comptes admin. Quand les premiers fichiers chiffrés apparaissent, l'infrastructure est déjà profondément compromise.
Ce qui se joue dans les 72 heures :
- Périmètre de compromission — combien de machines, quelles données, quels comptes ?
- Obligation CNIL — notification obligatoire sous 72h si des données personnelles sont exposées (RGPD Art. 33).
- Preuve forensique — si vous éteignez ou redémarrez les machines, vous détruisez des preuves essentielles à l'investigation et à la plainte.
- Continuité d'activité — basculer vers les systèmes de secours dans les 8 premières heures réduit la perte de CA de 60 à 80 %.
Le protocole heure par heure
Isolation immédiate — sans éteindre
- → Débranchez les câbles réseau de toutes les machines suspectes
- → Désactivez le Wi-Fi sur ces postes (ne pas éteindre)
- → Désactivez les comptes compromis dans Active Directory / Azure AD
- → Appelez votre prestataire de réponse à incident ou l'ANSSI CERT-FR
- → Constituez une cellule de crise : DG, DSI, DAF, communication
Évaluation du périmètre
- → Cartographie des machines impactées (scan réseau depuis une machine propre)
- → Identification des données exposées (logs d'accès, exports de fichiers)
- → Vérification de l'intégrité des sauvegardes (sont-elles elles-mêmes chiffrées ?)
- → Contact avec votre assureur cyber dans les délais contractuels
- → Dépôt de plainte auprès du commissariat ou gendarmerie (garde une copie numérique)
Forensic et continuité d'activité
- → Capture forensique de la RAM des machines critiques (avant tout redémarrage)
- → Analyse des logs : premier point de compromission, comptes compromis, données exfiltrées
- → Basculement vers les systèmes de secours (VMs, cloud, postes de remplacement)
- → Communication interne aux employés : que faire / ne pas faire
- → Rédaction de la notification CNIL préliminaire (délai : 72h depuis la découverte)
Notification, communication et remédiation
- → Notification CNIL envoyée avec rapport d'incident préliminaire
- → Communication aux clients et partenaires si leurs données sont concernées
- → Nettoyage des machines compromises (réinstallation OS propre, pas de simple scan AV)
- → Rotation de tous les mots de passe et clés d'API — même sur les machines non impactées
- → Activation MFA sur tous les accès critiques avant toute remise en ligne
- → Plan de reprise d'activité (PRA) activé avec objectifs RTO/RPO documentés
Vous n'avez pas de plan de réponse à incident ?
WebGuard Agency réalise un audit de votre préparation à la crise en 48h : plan de réponse documenté, test de vos sauvegardes, procédures CNIL. Avant que ce soit urgent.
Tester ma préparation à la crise →Obligation CNIL : ce que vous risquez à ne pas notifier
Le RGPD (Article 33) impose la notification à la CNIL dans les 72 heures dès que vous soupçonnez une violation de données personnelles. En cas de risque élevé pour les personnes concernées, vous devez aussi les notifier directement (Article 34).
Sanctions possibles
- → Jusqu'à 2 % du CA mondial (Art. 83 §4)
- → Mise en demeure publique de la CNIL
- → Mise en cause de la responsabilité civile du DG
- → Notification obligatoire des clients exposés
Ce qu'il faut inclure dans la notification
- → Nature de la violation (ransomware, fuite, accès non autorisé)
- → Catégories et volume de données concernées
- → Conséquences probables pour les personnes
- → Mesures prises ou envisagées pour y remédier
Les 5 erreurs qui aggravent systématiquement l'incident
- ✕ Éteindre les machines compromises — vous détruisez les preuves forensiques et parfois la clé de déchiffrement en mémoire vive.
- ✕ Communiquer sur les réseaux sociaux avant d'avoir évalué le périmètre — crée la panique et informe les attaquants de votre niveau de détection.
- ✕ Tenter de nettoyer les machines avec un antivirus — les souches avancées persistent après un scan. Seule une réinstallation propre est fiable.
- ✕ Remettre les systèmes en ligne sans rotation des credentials — les attaquants ont conservé des accès persistants que vous n'avez pas encore détectés.
- ✕ Ne pas tester les sauvegardes avant de les restaurer — 35 % des sauvegardes PME sont elles-mêmes compromises ou corrompues. Testez sur une VM isolée d'abord.
Questions fréquentes
Que faire dans la première heure après une cyberattaque ?
Isolez immédiatement les machines suspectes du réseau (câble réseau débranché, Wi-Fi désactivé) sans les éteindre. Appelez votre RSSI ou un expert en réponse à incident. Constituez une cellule de crise. Ne communiquez rien en externe avant d'avoir évalué le périmètre de l'incident.
Dans quel délai doit-on notifier la CNIL après une cyberattaque ?
72 heures après avoir pris connaissance d'une violation de données à caractère personnel. En cas de doute, notifiez même si le périmètre exact n'est pas confirmé. L'absence de notification dans les délais peut entraîner une sanction allant jusqu'à 2 % du chiffre d'affaires mondial.
Faut-il éteindre les machines lors d'une cyberattaque ?
Non, sauf si la menace se propage activement. La mémoire vive contient des éléments forensiques critiques qui disparaissent à l'extinction. Déconnectez plutôt les machines du réseau — isolez sans éteindre.
Doit-on payer la rançon lors d'une attaque ransomware sur une PME ?
L'ANSSI et Europol déconseillent formellement de payer. 40 % des entreprises ayant payé n'ont jamais récupéré leurs données. Payer finance des groupes criminels et fait de vous une cible récurrente. La vraie protection : des sauvegardes immuables hors ligne testées régulièrement.
Préparation à la crise
Ne découvrez pas votre plan de réponse pendant l'attaque
WebGuard Agency rédige votre plan de réponse à incident, teste vos sauvegardes et vous forme à la procédure CNIL — avant que ce soit urgent. Audit gratuit, réponse en 24h.
Obtenir mon audit de sécurité gratuit →Sans engagement · Réponse sous 24h · Expertise ANSSI