Un matin, les fichiers du serveur ne s'ouvrent plus et un message réclame une rançon. Un rançongiciel (ou ransomware) vient de frapper : un logiciel malveillant qui bloque l'accès aux équipements, chiffre ou copie les données, puis exige un paiement. Les gestes des premières heures limitent les dégâts et préservent vos chances d'enquête comme d'indemnisation. Les voici dans l'ordre, d'après l'ANSSI, Cybermalveillance.gouv.fr et la CNIL.
01Reconnaître l'attaque
Le rançongiciel représentait 8,1 % des demandes d'assistance des entreprises et associations auprès de Cybermalveillance.gouv.fr en 2025. Pour le dispositif, cette menace reste « la plus redoutable et la plus impactante » pour une organisation (bilan publié le 6 mai 2026).
Le CERT-FR, l'équipe de réponse aux incidents de l'ANSSI, en liste les signes (fiche réflexe « Qualification », mise à jour le 28 juillet 2025) :
- une fenêtre ou un fichier qui réclame une rançon, souvent nommé README.txt ;
- des fichiers illisibles avec une extension anormale (« .encrypt », « .abc »…) ;
- plus discrètement : serveurs inaccessibles, services en panne, antivirus désactivé sur une partie des postes.
Les attaquants agissent souvent la nuit ou le week-end, tentent de détruire les sauvegardes et peuvent menacer de publier les données volées, prévient Cybermalveillance.gouv.fr (fiche mise à jour le 7 mai 2026).
02Isoler les machines, sans les éteindre
Cybermalveillance.gouv.fr recommande de :
- Couper Internet pour le réseau attaqué, par exemple en éteignant la box.
- Débrancher du réseau les machines touchées : câble et Wi-Fi.
- Déconnecter les sauvegardes encore reliées au réseau, pour éviter leur destruction.
- Ne pas allumer les machines éteintes : selon l'ANSSI, elles risquent d'être chiffrées à leur tour.
Faut-il éteindre les ordinateurs touchés ? Non, en principe : couper l'alimentation vide la mémoire vive et les preuves qu'elle contient, préviennent Cybermalveillance.gouv.fr et l'ANSSI (fiche réflexe « Endiguement », mise à jour le 28 juillet 2025). Si le chiffrement est encore en cours, l'ANSSI recommande la veille prolongée (hibernation) des postes Windows, qui stoppe le programme tout en préservant la mémoire. L'extinction ne vient qu'en dernier recours, pour une machine pas encore entièrement chiffrée.
Attention
Éteignez la box, pas les ordinateurs touchés. Et ne réinstallez rien à ce stade : vous effaceriez les preuves dont la plainte aura besoin.
03Alerter : prestataire, direction, 17Cyber
Alertez immédiatement votre prestataire ou votre service informatique, demande Cybermalveillance.gouv.fr. Sans prestataire, suivez le parcours de 17Cyber, lancé le 17 décembre 2024 par le ministère de l'Intérieur et Cybermalveillance.gouv.fr. Ouvert aux entreprises et accessible à toute heure, il établit un diagnostic ; si l'atteinte est grave, vous pouvez échanger par tchat avec un policier ou un gendarme, puis être mis en relation avec un prestataire référencé (annonce du lancement).
Prévenez la direction, qui pilote la crise. Ouvrez aussi une main courante : un journal où chaque action et chaque événement sont notés avec la date, l'heure et le nom de la personne. C'est le « premier réflexe » selon le guide de l'ANSSI « Attaques par rançongiciels, tous concernés » (août 2020). Tenez-la hors du système attaqué, sur papier par exemple.
04Ne pas payer la rançon
L'ANSSI, Cybermalveillance.gouv.fr et la CNIL le déconseillent. Payer ne garantit pas d'obtenir de quoi déchiffrer vos fichiers, encourage les criminels à continuer et ne vous protège pas d'une nouvelle attaque. Même avec la clé, prévient l'ANSSI, les fichiers modifiés pendant le chiffrement, comme une base de données, ont de fortes chances d'être corrompus.
Bon à savoir
Gardez les fichiers chiffrés. Une solution de déchiffrement peut être publiée plus tard, rappelle l'ANSSI. Le site No More Ransom, porté notamment par Europol, recense des outils pour de nombreux rançongiciels, mais pas pour tous.
05Conserver les preuves et porter plainte
Avec l'aide d'un professionnel, conservez :
- la note de rançon et quelques fichiers chiffrés (un petit et un gros de plusieurs Mo, suggère le CERT-FR) ;
- les journaux (historiques d'activité) du pare-feu, du VPN ou de l'antivirus ;
- des copies des postes et serveurs touchés, ou leurs disques ;
- les adresses e-mail et de cryptomonnaie fournies par les criminels.
Portez plainte au commissariat, à la gendarmerie ou par écrit au procureur de la République, en parallèle de la remise en état et avant toute réinstallation. La plainte se dépose au nom de l'entreprise : un salarié qui s'en charge a besoin d'une délégation de pouvoir signée par le représentant légal, précise l'ANSSI.
À retenir
Si votre entreprise a une assurance cyber, l'indemnisation est subordonnée à une plainte déposée au plus tard 72 heures après la connaissance de l'atteinte (article L12-10-1 du Code des assurances, en vigueur depuis le 24 avril 2023). La règle vise les entreprises et les professionnels.
06Notifier la CNIL et prévenir l'assureur
Si des données personnelles (clients, salariés…) ont pu être consultées, modifiées ou détruites, l'article 33 du RGPD impose de notifier la CNIL « dans les meilleurs délais et, si possible, 72 heures au plus tard » après en avoir pris connaissance, sauf absence de risque pour les personnes (texte du RGPD). Selon la CNIL, une indisponibilité, même temporaire, peut suffire, et un vol de données l'exige.
La notification se fait sur le téléservice de la CNIL. S'il manque des informations, faites une notification initiale, puis complétez-la ; au-delà de 72 heures, expliquez le retard (CNIL).
Déclarez aussi le sinistre à votre assureur, dans le délai du contrat, qui ne peut être inférieur à cinq jours ouvrés (article L113-2 du Code des assurances). Voir aussi notre article sur l'assurance cyber pour une TPE.
07Communiquer en interne et auprès des clients
Un message de rançon à l'écran inquiète vite les équipes. L'ANSSI conseille d'informer très tôt les salariés, de leur rappeler la clause de confidentialité de leur contrat face aux médias et aux réseaux sociaux, et de faire remonter toute demande extérieure à la direction. Prévoyez un autre moyen de contact : messagerie et téléphone peuvent être hors service.
Auprès des clients et partenaires, Cybermalveillance.gouv.fr recommande « le juste niveau de transparence ». Si la violation présente un risque élevé pour des personnes, l'article 34 du RGPD impose de les informer directement, dans les meilleurs délais.
08Restaurer, puis fermer la porte
Ne restaurez qu'après avoir identifié l'origine de l'intrusion, pour éviter une nouvelle infection. Selon Cybermalveillance.gouv.fr et l'ANSSI :
- Trouvez et corrigez la faille : logiciel pas à jour, accès à distance mal protégé, hameçonnage…
- Réinstallez les systèmes touchés : l'efficacité des méthodes de « nettoyage » est difficile à garantir.
- Restaurez depuis une sauvegarde antérieure à l'attaque, après avoir vérifié qu'elle n'est pas infectée.
- Changez les mots de passe des équipements et des comptes compromis, et activez la double authentification.
- Mettez à jour logiciels et équipements avant la remise en service, puis surveillez le réseau.
Une sauvegarde déconnectée, faite avant l'attaque, change tout : la règle du 3-2-1 explique comment la mettre en place.
Qui prévenir, et dans quel délai
| Qui | Quand |
|---|---|
| Prestataire informatique ou 17Cyber | Immédiatement |
| Direction | Immédiatement |
| Police, gendarmerie ou procureur | Avant toute réinstallation, au plus tard 72 heures si vous êtes assuré |
| CNIL, si des données personnelles sont touchées | Dans les meilleurs délais, si possible sous 72 heures |
| Assureur | Délai du contrat, au moins 5 jours ouvrés |
| Salariés | Dès les premières heures |
| Personnes concernées, en cas de risque élevé | Dans les meilleurs délais |
En résumé
- Coupez Internet et débranchez les machines touchées, sans les éteindre : leur mémoire contient des preuves.
- Alertez votre prestataire informatique ou 17Cyber, puis la direction, et tenez une main courante.
- Ne payez pas : rien ne garantit la récupération des données.
- Portez plainte avant toute réinstallation, sous 72 heures si vous êtes assuré, et notifiez la CNIL si des données personnelles sont touchées.
- Ne restaurez une sauvegarde saine qu'après avoir corrigé la faille et changé les mots de passe.
Pour préparer votre entreprise avant une attaque (sauvegardes isolées, mises à jour, accès protégés), découvrez nos solutions de cybersécurité. Vous pouvez aussi nous contacter du lundi au vendredi, de 9 h à 18 h.