Réponse courte : en cas d’attaque par rançongiciel dans une PME, coupez immédiatement Internet et isolez les postes touchés sans les éteindre, débranchez les sauvegardes, alertez votre prestataire informatique, ne payez pas la rançon, conservez les preuves, portez plainte, prévenez votre assureur et notifiez la CNIL sous 72 heures si des données personnelles sont concernées.
Un rançongiciel (ou ransomware) chiffre les fichiers de l’entreprise et réclame une rançon pour les débloquer. Pour une PME, les premières heures décident de tout : un bon réflexe limite la propagation, une mauvaise manipulation détruit les preuves ou les dernières sauvegardes saines. Voici la marche à suivre, alignée sur les recommandations officielles de Cybermalveillance.gouv.fr, de l’ANSSI et de la CNIL.
Comment reconnaître une attaque par rançongiciel ?
Le signe le plus clair est un message de rançon affiché à l’écran ou déposé dans les dossiers, accompagné de fichiers devenus illisibles.
D’autres indices doivent alerter : des extensions de fichiers modifiées d’un coup (par exemple « .lock » ou une suite de caractères aléatoires), des documents qui ne s’ouvrent plus sur le serveur partagé, un antivirus désactivé sans raison, ou un ralentissement brutal de plusieurs postes en même temps. Si vous voyez cela sur un poste, considérez que tout le réseau est potentiellement touché.
Quels sont les premiers gestes à faire dans l’heure ?
Il faut d’abord stopper la propagation : couper Internet et isoler les machines infectées, sans les éteindre.
La fiche réflexe de Cybermalveillance.gouv.fr (mise à jour en mai 2026) détaille l’ordre des actions. En voici la version opérationnelle pour une PME :
- Coupez la connexion Internet du réseau attaqué. Si c’est la box qui fournit l’accès, éteignez-la.
- Déconnectez les postes touchés du réseau : débranchez le câble Ethernet ou désactivez le Wi-Fi.
- Débranchez les sauvegardes encore connectées (disque USB, NAS) pour éviter qu’elles soient chiffrées à leur tour.
- N’éteignez pas les machines touchées : leur mémoire contient des traces utiles à l’enquête. Exception : si le chiffrement est visiblement en cours, une mise en veille prolongée peut être envisagée.
- Ne rallumez pas les machines déjà éteintes.
- Alertez immédiatement votre prestataire informatique, ou suivez le parcours d’assistance sur 17cyber.gouv.fr.
- Tenez un registre : heure de découverte, postes touchés, actions réalisées et par qui.
Ces gestes prennent quelques minutes et peuvent sauver une grande partie du système d’information. Notre service de réponse à incident cyber prend le relais pour l’analyse et la remise en état.
Faut-il payer la rançon ?
Non : les autorités françaises recommandent de ne pas payer la rançon.
Cybermalveillance.gouv.fr rappelle deux raisons simples. D’abord, payer ne garantit pas de récupérer les données : l’outil de déchiffrement peut ne jamais arriver ou ne fonctionner qu’en partie. Ensuite, le paiement encourage les cybercriminels et peut faire de l’entreprise une cible répétée. Avant toute décision, vérifiez aussi si un outil de déchiffrement gratuit existe sur le site No More Ransom, porté notamment par Europol.
Quelles démarches obligatoires après l’attaque ?
Trois démarches s’imposent : porter plainte, prévenir l’assureur et, si des données personnelles sont touchées, notifier la CNIL.
| Démarche | Délai | Pourquoi |
|---|---|---|
| Conserver les preuves (journaux, message de rançon, fichiers chiffrés) | Immédiatement, avant toute réinstallation | Indispensable pour l’enquête et l’assurance |
| Déposer plainte (police, gendarmerie) | Dans les 72 h si vous voulez être indemnisé par une assurance cyber | Condition légale d’indemnisation et aide à identifier les auteurs |
| Déclarer le sinistre à l’assureur | Selon votre contrat, au plus vite | Prise en charge des frais de remise en état |
| Notifier la CNIL | 72 h après la constatation, si possible | Obligation de l’article 33 du RGPD en cas de risque pour les personnes |
| Informer les personnes concernées | Dans les meilleurs délais | Obligatoire en cas de risque élevé (article 34 du RGPD) |
La CNIL précise qu’une notification initiale peut être complétée ensuite, et qu’en cas de doute il vaut mieux notifier. Si le délai de 72 heures est dépassé, il faut expliquer les raisons du retard. Pour être prêt, faites le point sur votre conformité RGPD avant qu’un incident n’arrive.
Comment redémarrer l’activité sans réinfecter le réseau ?
On redémarre en réinstallant les systèmes puis en restaurant une sauvegarde antérieure à l’attaque, vérifiée saine.
Restaurer trop vite est une erreur fréquente : si l’attaquant a laissé une porte dérobée ou si la sauvegarde contient déjà le logiciel malveillant, l’attaque recommence. La remise en route suit donc une logique stricte :
- identifier le point d’entrée (mail piégé, accès à distance exposé, faille non corrigée) ;
- changer tous les mots de passe, en priorité ceux des comptes administrateurs ;
- réinstaller les postes et serveurs touchés plutôt que les « nettoyer » ;
- restaurer depuis une sauvegarde antérieure à l’infection, contrôlée au préalable ;
- appliquer tous les correctifs de sécurité avant de reconnecter les machines à Internet.
Tout repose sur la qualité des sauvegardes. La règle 3-2-1, avec au moins une copie déconnectée, est expliquée dans notre article sur la sauvegarde 3-2-1. Pour la mettre en place avec un plan de redémarrage testé, voir notre offre sauvegarde et plan de reprise.
Comment éviter qu’un rançongiciel frappe à nouveau ?
La prévention repose sur quatre piliers : des sauvegardes déconnectées, des mises à jour appliquées vite, une authentification forte et des salariés formés.
Les rançongiciels entrent le plus souvent par un e-mail de phishing, un mot de passe volé ou une faille connue mais non corrigée sur un équipement exposé (VPN, pare-feu, serveur). Un patch management rigoureux ferme ces portes, la sensibilisation au phishing réduit le risque humain, et un audit de cybersécurité révèle les points faibles avant les attaquants. Notre checklist cybersécurité PME permet de faire un premier état des lieux.
L’avis de l’expert
Dans les grands comptes, la réponse à un rançongiciel suit un plan écrit, testé, avec des rôles définis à l’avance. Dans une PME, ce plan n’existe souvent pas, et c’est là que les heures se perdent : personne ne sait qui appeler, où sont les sauvegardes, ni qui a le mot de passe de la box. Mon conseil : rédigez une page unique avec les numéros utiles (prestataire, assureur, 17Cyber), l’emplacement des sauvegardes et les sept gestes ci-dessus, imprimez-la et rangez-la hors du réseau. Et côté prévention, le levier le plus rentable reste le même qu’en grand compte : corriger vite les failles des équipements exposés à Internet. La plupart des attaques que j’ai vues exploitaient une vulnérabilité pour laquelle un correctif existait déjà.
Et pour les PME des Hauts-de-Seine ?
Une PME de La Garenne-Colombes, Courbevoie, Nanterre ou Colombes n’a pas toujours de service informatique interne. Face à un rançongiciel, avoir un prestataire joignable à toute heure change la donne. SOSPC82 intervient 24 h/24 et 7 j/7 dans les Hauts-de-Seine pour isoler le réseau, préserver les preuves, accompagner les démarches et remettre l’activité en route. Pour ne plus subir, notre infogérance PME inclut supervision, correctifs et sauvegardes, à partir de 19,99 € HT par poste et par mois (Essentiel), 39,99 € (Sérénité) ou 79,99 € (Premium).
Questions fréquentes
Faut-il éteindre un ordinateur infecté par un rançongiciel ?
Non, il faut le déconnecter du réseau mais le laisser allumé, car sa mémoire contient des preuves utiles. Seule exception : si le chiffrement est visiblement en cours, une mise en veille prolongée peut être envisagée.
Peut-on récupérer ses fichiers sans payer la rançon ?
Oui, dans beaucoup de cas, grâce à une sauvegarde saine antérieure à l’attaque. Pour certaines familles de rançongiciels, un outil de déchiffrement gratuit existe aussi sur le site No More Ransom.
Faut-il prévenir la CNIL après un rançongiciel ?
Oui, si des données personnelles ont été touchées et que la violation présente un risque pour les personnes. La notification se fait en ligne, si possible dans les 72 heures après la constatation, et peut être complétée ensuite.
Le dépôt de plainte est-il obligatoire ?
Il est fortement recommandé dans tous les cas. Il devient indispensable pour être indemnisé par une assurance cyber : la plainte doit alors être déposée dans les 72 heures.
Qui appeler en premier en cas d’attaque ?
Votre prestataire informatique, après avoir coupé Internet et isolé les postes. Sans prestataire, le parcours d’assistance en ligne de 17cyber.gouv.fr vous guide pas à pas.
En résumé
- Coupez Internet, isolez les postes sans les éteindre et débranchez les sauvegardes.
- Ne payez pas : portez plainte, prévenez l’assureur et notifiez la CNIL sous 72 h si des données personnelles sont touchées.
- Redémarrez depuis une sauvegarde saine, puis corrigez la faille d’entrée pour éviter une nouvelle attaque.
Votre PME est touchée ou vous voulez être prêt ? Contactez notre équipe de réponse à incident cyber au 07 69 36 92 60, 24 h/24 et 7 j/7. Devis gratuit sous 24 h pour la prévention.
Article rédigé par Kevin Aquino, Technical Lead patch management et fondateur de SOSPC82.
Sources :