Une demande de rançon affichée sur un écran, des comptes Microsoft 365 qui envoient des courriels suspects ou un serveur devenu inaccessible : les premières minutes déterminent souvent l’ampleur d’un incident. Savoir que faire après une cyberattaque ne consiste pas à remettre les systèmes en ligne au plus vite. Il faut d’abord contenir l’attaque, protéger les preuves et reprendre le contrôle sans permettre à l’attaquant de revenir.
Pour une PME, une cyberattaque est à la fois un incident technique, opérationnel et parfois légal. Elle peut interrompre la facturation, bloquer la production, exposer des données clients et fragiliser la confiance. Une réponse structurée réduit les pertes, accélère la reprise et permet de tirer des correctifs durables de l’événement.
Que faire après une cyberattaque : les premières heures
La priorité immédiate est de limiter la propagation. Un poste compromis peut servir de point d’entrée vers les partages de fichiers, les serveurs, les comptes administrateurs, les sauvegardes connectées et les applications cloud. Débrancher le réseau d’un appareil suspect, sans l’éteindre systématiquement, est souvent la bonne première mesure. L’arrêt complet peut détruire des informations utiles à l’analyse, notamment les processus en mémoire et les connexions actives.
En parallèle, désignez une personne responsable de la coordination. Dans une petite organisation, il peut s’agir du dirigeant, de l’administrateur TI ou du fournisseur informatique. Cette personne centralise les décisions, évite les initiatives contradictoires et maintient un journal des faits : heure de détection, systèmes touchés, actions réalisées, messages reçus et personnes avisées.
Les quatre actions urgentes sont les suivantes :
- isolez les postes, serveurs ou segments réseau suspects ;
- bloquez ou réinitialisez les comptes compromis, en priorité les comptes administrateurs ;
- suspendez les accès distants, VPN et outils de télémaintenance non indispensables ;
- contactez votre équipe TI ou votre partenaire en cybersécurité avant de lancer une restauration ou un nettoyage général.
Cette phase demande du discernement. Couper tout le réseau peut être nécessaire face à un rançongiciel qui se propage rapidement. En revanche, une coupure totale peut aussi paralyser les systèmes critiques et compliquer l’enquête. La décision dépend de la nature de l’attaque, de l’architecture réseau et de la présence de signaux de propagation.
Ne pas effacer les traces avant l’analyse
Face à l’urgence, beaucoup d’entreprises réinstallent les postes concernés ou restaurent une sauvegarde dès les premiers symptômes. Cette réaction peut remettre un service en fonction, mais elle peut aussi masquer l’origine de l’intrusion et laisser une porte dérobée active. L’attaquant conserve alors parfois l’accès aux comptes, aux appareils ou aux environnements cloud.
Préservez les preuves disponibles : captures d’écran, courriels frauduleux, journaux de pare-feu, événements Microsoft 365, alertes antivirus, fichiers suspects et note de rançon. Documentez également les comptes qui se sont connectés, les modifications de permissions et les transferts de données inhabituels. Ces éléments aideront à déterminer le point d’entrée, l’étendue de la compromission et les obligations de déclaration.
Une analyse sérieuse doit répondre à des questions simples, mais déterminantes : comment l’attaque a-t-elle commencé ? Quels systèmes ont été touchés ? Des données ont-elles été copiées ou seulement chiffrées ? L’attaquant a-t-il créé de nouveaux comptes, modifié des règles de messagerie ou installé un outil d’accès à distance ? Sans ces réponses, la reprise reste une hypothèse plutôt qu’un retour à la normale contrôlé.
Évaluer les données exposées et vos obligations
Toutes les cyberattaques ne produisent pas une fuite de données, mais il ne faut jamais le supposer. Un compte de messagerie compromis peut donner accès à des échanges commerciaux, des renseignements personnels, des documents financiers ou des informations d’employés. Un rançongiciel moderne associe fréquemment chiffrement et exfiltration de données afin d’augmenter la pression sur la victime.
Au Québec, une organisation qui subit un incident de confidentialité doit évaluer s’il présente un risque de préjudice sérieux pour les personnes concernées. Lorsque ce risque existe, des obligations de déclaration et d’avis peuvent s’appliquer. Le registre des incidents doit aussi être tenu, même lorsqu’aucune notification n’est requise.
Cette étape mérite l’implication de la direction, des responsables des opérations et, selon le cas, d’un conseiller juridique ou d’un spécialiste de la protection des renseignements personnels. La communication doit être factuelle. Informer trop tôt avec des données incertaines crée de la confusion ; attendre sans raison alors qu’une notification est requise crée un risque supplémentaire. Le bon équilibre repose sur une enquête rapide, documentée et pilotée.
Restaurer les activités sans réintroduire la menace
Une restauration n’est pas simplement une copie de fichiers depuis une sauvegarde. Avant de remettre un système en production, validez que le point de restauration est sain et antérieur à la compromission. Vérifiez aussi que les identifiants ont été réinitialisés, que les accès privilégiés sont contrôlés et que les failles exploitées ont été corrigées.
Commencez par les services essentiels à l’activité : communications, identité, fichiers opérationnels, système de paie, facturation ou applications métier. Cette priorisation doit être définie à l’avance dans un plan de continuité, mais elle peut aussi être décidée pendant l’incident avec les responsables métiers. Restaurer le serveur le plus facile n’est pas toujours le choix qui réduit le plus l’interruption d’activité.
Les sauvegardes doivent être testées, isolées et protégées par des contrôles d’accès distincts. Une sauvegarde accessible avec les mêmes identifiants que le réseau de production peut être chiffrée ou supprimée par un attaquant. Une stratégie efficace combine généralement des copies hors ligne ou immuables, des tests de restauration réguliers et une rétention adaptée aux besoins de l’entreprise.
Dans le cas d’un rançongiciel, le paiement de la rançon ne garantit ni le déchiffrement, ni la suppression des données volées, ni l’absence de nouvelle extorsion. Cette décision comporte des enjeux juridiques, financiers et opérationnels. Elle ne doit jamais remplacer l’analyse, l’isolement et la préparation d’une reprise maîtrisée.
Corriger la cause, pas seulement le symptôme
Après le retour des services, l’incident n’est pas terminé. La phase la plus utile commence : transformer l’événement en amélioration mesurable. Une réunion de retour d’expérience doit identifier ce qui a fonctionné, les délais observés, les décisions difficiles et les contrôles manquants.
Les correctifs varient selon la cause. Après un hameçonnage, l’entreprise devra souvent renforcer l’authentification multifacteur, les politiques de messagerie et la formation des employés. Après l’exploitation d’un équipement exposé, il faudra revoir les mises à jour, la segmentation réseau, les règles de pare-feu et les accès distants. Lorsqu’un appareil non géré a servi de point d’entrée, une gestion centralisée des postes avec chiffrement, conformité et déploiement de correctifs devient prioritaire.
La visibilité est tout aussi essentielle. Des journaux centralisés, une surveillance des connexions inhabituelles, une protection des points de terminaison et des alertes bien configurées réduisent le temps de détection. Pour une PME, l’objectif n’est pas d’accumuler les outils, mais de disposer de contrôles réellement surveillés et maintenus.
Préparer la prochaine réponse avant qu’elle ne soit nécessaire
Un plan de réponse aux incidents doit être simple, accessible et testé. Il doit préciser qui appelle qui, quels systèmes peuvent être isolés, où se trouvent les coordonnées des fournisseurs, comment communiquer avec les employés et comment accéder aux sauvegardes si l’environnement principal est indisponible. Un document oublié dans un partage réseau chiffré par un rançongiciel ne sert à personne.
Les exercices sur table sont particulièrement efficaces. En une heure, une direction peut simuler la compromission d’un compte, l’indisponibilité de Microsoft 365 ou le chiffrement d’un serveur de fichiers. L’exercice révèle rapidement les dépendances inconnues, les accès trop larges et les responsabilités imprécises.
Daramac TECH accompagne les organisations qui veulent passer d’une réponse improvisée à un environnement mieux protégé, géré et récupérable. Le bon objectif n’est pas de promettre qu’aucun incident n’arrivera. C’est de pouvoir l’identifier, le contenir et reprendre les activités avec des décisions claires lorsque la pression est réelle.