Ransomware ou cyberattaque dans mon entreprise : que faire dans l'heure qui suit

Par Sylvain Cassini, publié le 4 novembre 2026

Un lundi matin, les fichiers ne s'ouvrent plus, une page s'affiche sur les écrans avec un montant à payer, ou le serveur ne répond plus. Dans une PME ou une TPE, la première heure se joue souvent sans service informatique interne, avec un dirigeant qui doit décider vite et sans se tromper. Cette page liste les gestes à faire dans l'ordre, ceux à ne pas faire, et les démarches qui suivent (plainte, CNIL, assurance). Elle s'appuie sur les fiches officielles de Cybermalveillance.gouv.fr, de la CNIL et de l'ANSSI, citées à chaque étape.

Comment savoir si c'est un ransomware ?

Un ransomware (rançongiciel en français) chiffre vos fichiers et réclame de l'argent pour les rendre. Les signes les plus courants : des fichiers dont l'extension a changé ou qui ne s'ouvrent plus, un message de revendication déposé sur le bureau ou dans les dossiers, des serveurs de fichiers inaccessibles, des postes qui ralentissent fortement en même temps. Une cyberattaque peut aussi être moins visible : messagerie détournée, comptes administrateur modifiés, données copiées avant le chiffrement.

Dans l'heure : les sept gestes dans l'ordre

La fiche réflexe « Rançongiciel ou ransomware : que faire si votre organisation est victime d'une attaque ? » de Cybermalveillance.gouv.fr donne l'ordre de référence. Voici ce qu'il signifie dans une petite entreprise.

1. Isoler : couper Internet et débrancher les machines touchées

Coupez la connexion à Internet du réseau attaqué (si c'est la box ou le routeur qui la fournit, éteignez-le). Identifiez les machines touchées et déconnectez-les du réseau en débranchant le câble Ethernet ou en désactivant le Wi-Fi. Si vos sauvegardes sont connectées au réseau (NAS, disque externe branché, partage), débranchez-les : l'objectif est d'éviter leur destruction.

2. Ne pas éteindre les machines, ne pas payer

La fiche demande de ne pas éteindre les machines touchées et de ne pas démarrer celles qui sont éteintes : l'état de la mémoire et des disques sert à comprendre l'attaque. Elle prévoit une exception : si le chiffrement est encore en cours, une mise en veille prolongée peut être envisagée. Quant à la rançon, la même fiche dit de ne pas la payer : le paiement ne garantit pas la récupération des données et encourage les attaquants à continuer. Pour aller plus loin sur l'anticipation et la gestion de crise, l'ANSSI publie le guide « Attaques par rançongiciels, tous concernés ».

3. Préserver les preuves

Conservez le message de rançon (photo de l'écran), quelques fichiers chiffrés, les journaux des équipements, et faites conserver des copies des machines touchées par un professionnel. Tenez un journal daté : qui a découvert quoi, à quelle heure, quelle action a été faite. Ce journal servira à la plainte, à l'assureur et à la CNIL.

4. Prévenir : prestataire, assureur, direction

Alertez immédiatement votre prestataire informatique si vous en avez un. Déclarez le sinistre à votre assureur : la fiche officielle l'indique expressément, et certains contrats imposent un délai de déclaration, à vérifier dans votre contrat. Désignez une personne qui décide et une qui note, pour éviter que dix personnes agissent en parallèle. Pour être orienté, le service 17Cyber.gouv.fr, proposé par la Police nationale, la Gendarmerie nationale et Cybermalveillance.gouv.fr, propose un diagnostic en quelques questions.

5. Déposer plainte

Cybermalveillance.gouv.fr recommande de déposer plainte auprès de la police, de la gendarmerie ou du procureur, et précise que la plainte doit intervenir avant la réinstallation des appareils touchés. La CNIL donne le même conseil quand une violation de données fait suite à une cyberattaque. Pour la marche à suivre, voir aussi notre guide comment porter plainte après une arnaque en ligne.

6. Notifier la CNIL si des données personnelles sont concernées

Si des données personnelles (clients, salariés, candidats, fournisseurs) ont pu être consultées, modifiées ou détruites, la violation doit être notifiée à la CNIL. Selon la page « Notifier une violation de données personnelles », la notification initiale intervient dans un délai de 72 heures, si possible, à partir du moment où vous avez connaissance de la violation. Si vous ne pouvez pas fournir toutes les informations dans ce délai, vous faites une notification initiale puis une notification complémentaire. Si vous dépassez le délai, il faut en expliquer les motifs. En cas de doute sur l'obligation, la CNIL conseille de notifier. La notification se fait par le téléservice de la CNIL. Quelle que soit la décision, l'incident doit être documenté en interne.

Notre page sur la fuite de données personnelles détaille le côté personnes concernées.

7. Restaurer proprement, pas en urgence

La restauration vient en dernier, une fois l'origine de l'attaque et l'étendue de l'intrusion identifiées. D'après la fiche officielle : recherchez d'abord si un outil de déchiffrement existe (le projet No More Ransom, soutenu par Europol et la police néerlandaise, en recense pour plusieurs variantes), réinstallez les systèmes touchés, restaurez les données uniquement depuis une sauvegarde antérieure à l'attaque et vérifiée saine, changez tous les mots de passe d'accès aux équipements touchés, mettez à jour logiciels et équipements, puis remettez en service de façon progressive et contrôlée en surveillant une éventuelle nouvelle attaque.

Qui contacter en Sarthe et au Mans ?

Dans cet ordre : votre prestataire informatique s'il existe, votre assureur, puis un professionnel qualifié si personne ne peut intervenir. Cybermalveillance.gouv.fr référence des prestataires de proximité, et 17Cyber.gouv.fr oriente après un diagnostic. Pour déposer plainte, rendez-vous au commissariat ou à la gendarmerie de votre secteur, au Mans comme ailleurs en Sarthe.

Lejumo est une société de conseil numérique basée au Mans, qui intervient auprès des PME de la Sarthe pour leur informatique, leurs sauvegardes et leur sécurité. Lors d'un incident, nous pouvons vous aider à garder la tête froide : appliquer les premiers gestes, rassembler les éléments pour la plainte et l'assureur, et remettre en ordre vos postes. Nous ne promettons pas de récupérer des fichiers chiffrés : cela dépend de la variante de l'attaque et de l'état de vos sauvegardes. Un poste infecté se traite comme dans notre récit d'une vraie intervention de désinfection sous Windows, avec la différence qu'en entreprise le réseau entier est concerné.

Et après : éviter que cela recommence

Les attaques par rançongiciel exploitent presque toujours les mêmes failles : sauvegardes absentes ou accessibles depuis le réseau, systèmes non mis à jour, comptes sans double authentification, droits d'administrateur trop larges. Vérifier qu'une sauvegarde existe ne suffit pas : il faut aussi savoir la restaurer, et en garder une copie hors du réseau.

Les contrôles de sauvegarde, les mises à jour, la gestion des comptes et des accès font partie de la maintenance courante décrite sur notre page infogérance informatique pour PME au Mans. Pour décider des priorités et superviser vos prestataires, voir le DSI en temps partagé.

À retenir

• Isolez : coupez Internet sur le réseau attaqué, débranchez les machines touchées et les sauvegardes connectées au réseau.
• N'éteignez pas, ne payez pas : les preuves sont en mémoire et le paiement ne garantit rien.
• Conservez les preuves et tenez un journal daté de ce qui est fait.
• Prévenez votre prestataire informatique et votre assureur.
• Déposez plainte avant de réinstaller les appareils.
• Notifiez la CNIL sous 72 heures si possible quand des données personnelles sont concernées, puis complétez.
• Restaurez seulement depuis une sauvegarde saine antérieure à l'attaque, mots de passe changés, remise en service progressive.

FAQ : ransomware et cyberattaque en entreprise

Se préparer avant la prochaine attaque

Si votre entreprise n'a ni sauvegarde testée, ni interlocuteur informatique, ni procédure écrite, la première heure d'une attaque se passera à improviser. Un état des lieux (postes, sauvegardes, comptes, accès) est la base de tout le reste, c'est aussi la première étape de nos missions d'infogérance.