Il est lundi, 7 h 40. Un collaborateur n’arrive pas à ouvrir ses fichiers. Un message inhabituel s’affiche sur l’écran du serveur. Ou un client vous appelle pour signaler un e-mail bizarre envoyé depuis votre adresse.
Ce qui se passe dans les heures qui suivent détermine une grande partie de la facture finale. Pas parce qu’il faudrait aller vite : parce que certaines réactions instinctives, prises dans la panique, détruisent des informations qui seront indispensables ensuite.
Cet article se lit dans l’ordre. Il est fait pour être suivi pendant que ça arrive. Si vous le lisez à froid, l’étape suivante consiste à transposer cette marche à suivre dans un document propre à votre entreprise, avec vos noms et vos numéros : c’est l’objet de notre article sur le plan de réponse aux incidents.
Les premières minutes : isoler sans détruire
Le premier objectif est d’empêcher l’attaque de s’étendre. Le second, tout aussi important, est de préserver l’état des machines touchées.
Concrètement, sur chaque poste ou serveur concerné : débranchez le câble réseau, coupez le Wi-Fi, déconnectez les disques externes et les partages. La machine reste allumée, mais elle ne parle plus à rien.
C'est le réflexe le plus contre-intuitif de cet article, et le plus important. Une partie des traces d'une attaque n'existe que dans la mémoire vive, la mémoire de travail de l'ordinateur : les programmes en cours d'exécution, les connexions ouvertes vers l'extérieur, parfois même des clés de déchiffrement. Tout cela s'efface à l'extinction. En éteignant « pour arrêter les dégâts », vous supprimez ce qui aurait permis de comprendre par où l'attaquant est entré et jusqu'où il est allé. Isolez du réseau, laissez sous tension.
Même logique pour le reste. Ne réinstallez rien, ne reformatez rien, ne supprimez pas le fichier suspect, ne videz pas la corbeille. Ce qui vous paraît être du nettoyage est, pour quelqu’un dont c’est le métier, une pièce à conviction.
Si l’attaque semble se propager largement, isoler l’ensemble du réseau de l’internet, au niveau du routeur ou du pare-feu, est une décision légitime. Elle coûte cher en activité, mais elle stoppe l’exfiltration de données en cours.
Qui prévenir dans la première heure, et dans quel ordre ?
Une PME n’a pas de cellule de crise. Elle a quelques personnes qui doivent apprendre en quelques minutes qu’elles sont dedans. L’ordre compte.
| Qui | Quand | Pourquoi |
|---|---|---|
| Direction | Immédiatement | Seule à pouvoir arrêter l’activité, engager des frais, décider de communiquer |
| Prestataire informatique | Dans les minutes qui suivent | C’est lui qui connaît votre infrastructure et peut agir techniquement |
| Assurance | Dans l’heure | Beaucoup de contrats cyber exigent une annonce rapide et imposent leurs experts |
| OFCS | Le jour même | Signalement volontaire, gratuit, qui alimente la veille nationale |
| Police cantonale | Le jour même si extorsion, fraude ou vol de données | Une plainte est souvent exigée par l’assurance, et il s’agit d’infractions pénales |
Deux précisions sur les autorités. Le signalement à l’Office fédéral de la cybersécurité (OFCS) est volontaire pour une PME ordinaire : l’obligation d’annonce entrée en vigueur en 2025 ne vise que les exploitants d’infrastructures critiques. Il reste utile, et il est gratuit.
L’assurance est la ligne que l’on oublie le plus souvent, et c’est celle qui coûte le plus cher à négliger : de nombreux contrats imposent d’être prévenus avant toute intervention technique, et une déclaration tardive peut faire tomber la prise en charge. Ce qu’une cyberassurance couvre réellement, et ce qu’elle laisse à votre charge, se lit à froid, pas ce matin-là.
Quant à la police, déposer plainte n’a rien d’anecdotique. Un rançongiciel relève de l’extorsion, une fraude au président de l’escroquerie. Ce sont des infractions pénales, et votre assureur vous demandera très probablement le récépissé.
L’ampleur du phénomène n’a rien de marginal : l’OFCS a reçu 64 733 déclarations volontaires de cyberincidents en 2025, contre 62 954 l’année précédente. Vous n’êtes ni le premier ni un cas isolé.
Les premières heures : documenter et reprendre la main sur les accès
Pendant que le technique se met en place, quelqu’un doit écrire. Ce rôle se délègue mal et s’oublie systématiquement.
Une feuille, un stylo, et l'heure devant chaque ligne. Ce qui a été observé, à quel moment, par qui. Ce qui a été fait, et qui l'a décidé. Les captures d'écran des messages affichés. Les personnes prévenues. Ce document est ce que votre assurance vous réclamera, et ce sur quoi s'appuiera l'analyse technique. Sur papier, parce que vos outils habituels sont peut-être compromis, et parce qu'un carnet ne tombe pas en panne.
Vient ensuite la question des mots de passe. Il faut les changer, en commençant par les comptes les plus sensibles : messagerie, e-banking, administration du site, accès distants, comptes administrateurs.
Une condition absolue, cependant : faites-le depuis une machine dont vous êtes sûr. Un ordinateur personnel non connecté au réseau de l’entreprise, un téléphone mobile. Changer un mot de passe depuis un poste infecté revient à donner le nouveau à l’attaquant, qui enregistre peut-être vos frappes au clavier.
Activez au passage la double authentification partout où elle ne l’est pas encore. C’est le moment où l’argument ne se discute plus.
Que faire si votre messagerie est compromise ?
Ce cas mérite un traitement à part, parce qu’il change la façon de gérer toute la crise.
Si votre messagerie professionnelle est compromise, l’attaquant lit vos e-mails en temps réel. Il voit donc vos échanges sur l’incident : ce que vous avez découvert, quelles machines vous isolez, quand vous prévoyez de restaurer.
Tant que vous ignorez l'étendue de l'intrusion, considérez la messagerie et la messagerie instantanée de l'entreprise comme lues par l'attaquant. Passez au téléphone, ou à une messagerie personnelle sur des appareils sains. Vérifiez aussi les règles de transfert automatique de vos boîtes : en créer une pour recevoir discrètement une copie de tout est une manœuvre classique, détaillée dans notre article sur la compromission de messagerie.
Données personnelles : que demande la loi suisse ?
Si l’incident a exposé des données personnelles, clients, collaborateurs, fournisseurs, une obligation d’annonce peut s’ajouter. Le régime suisse est souvent mal compris, parce qu’on le confond avec le régime européen.
La loi sur la protection des données prévoit une annonce au Préposé fédéral à la protection des données et à la transparence (PFPDT) lorsque la violation entraîne vraisemblablement un risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées. Trois points à retenir.
L’annonce se fait dans les meilleurs délais. La loi suisse ne fixe aucun délai chiffré. Les 72 heures que l’on entend partout sont une règle du règlement européen, qui ne s’applique ici que si votre entreprise entre par ailleurs dans son champ.
Elle n’est due qu’en cas de risque élevé, pas à chaque incident. Des postes chiffrés sans vol de données ne déclenchent pas mécaniquement l’obligation. Cette qualification demande de savoir ce qui est réellement sorti, ce qui n’est pas évident dans les premières heures.
Enfin, annoncer ne vous expose pas pénalement : la loi prévoit que l’annonce ne peut pas être utilisée dans une procédure pénale contre celui qui la fait sans son consentement. La crainte de la sanction n’est donc pas une raison de se taire. Le détail de la procédure et du formulaire figure dans notre article sur l’annonce d’une violation de données.
En règle générale, un doute sur la qualification se tranche avec un juriste, pas seul un lundi matin.
Peut-on restaurer les sauvegardes dès le premier jour ?
Passé le choc, la pression devient économique. L’entreprise est à l’arrêt, et tout le monde veut redémarrer. C’est là que se joue la deuxième erreur coûteuse.
Restaurer une sauvegarde sans savoir par où l’attaquant est entré, c’est reconstruire la maison sans avoir fermé la porte. Si la faille est toujours là, ou si un accès a été laissé en place, l’environnement restauré est recompromis, parfois en moins de vingt-quatre heures. Certaines entreprises vivent ainsi deux attaques en une semaine.
Vous pouvez en revanche préparer le terrain sans risque : vérifier que vos sauvegardes existent, qu’elles sont saines, et à quelle date elles remontent. Si ce contrôle vous inquiète, notre article sur la règle 3-2-1 explique ce qui aurait dû être en place.
Même prudence pour la communication publique. Un communiqué écrit sous le coup de l’émotion, sur des faits encore flous, devra être corrigé, et c’est la correction que l’on retiendra. Informez les personnes directement concernées, factuellement, quand vous savez. Le choix du moment, du canal et des mots est traité en détail dans notre article sur communiquer pendant une cyberattaque, qui propose un modèle de message court à préparer avant la crise.
Là où l’aide d’un professionnel n’est plus une option de confort
Tout ce qui précède est à votre portée. Isoler, prévenir, documenter, sécuriser les accès : ces gestes limitent réellement les dégâts, et ils ne demandent aucune compétence technique particulière.
Mais ils ne répondent à aucune des trois questions qui décident de la suite. Par où l’attaquant est-il entré ? Est-il encore présent quelque part dans votre système ? Qu’a-t-il emporté ?
Y répondre suppose de lire des journaux techniques, d’analyser la mémoire des machines, de reconstituer une chronologie d’intrusion. Ce n’est pas une question de bonne volonté ni de budget, c’est un métier. Une PME qui redémarre sans ces réponses ne redémarre pas vraiment : elle attend la deuxième attaque, avec cette fois un attaquant qui connaît déjà les lieux.
Ces réflexes constituent donc un socle utile, pas un traitement. Le reste du pilier Réagir à une attaque détaille les interlocuteurs suisses et les erreurs fréquentes, et le check-up cyber vous permet, une fois la crise passée, de mesurer ce qui manquait avant.