Comment l’incident peut affecter l’activité
Un compte compromis ou un service vulnérable peut donner un premier accès. Si les droits et les connexions le permettent, l’attaquant peut atteindre d’autres systèmes, perturber les sauvegardes ou voler des informations. Le scénario varie : toutes les attaques ne commencent pas par un e-mail et toutes ne chiffrent pas les fichiers.
Les conséquences se mesurent en services indisponibles : facturation, planning, dossiers clients, production et échanges avec les partenaires. Préparez un mode de fonctionnement dégradé pour les opérations essentielles.
Les priorités avant un incident
- Inventorier les services critiques et leurs dépendances.
- Protéger la messagerie, l’administration et les accès distants.
- Corriger les systèmes exposés et limiter les privilèges.
- Conserver une copie de sauvegarde isolée et tester la reprise.
- Préparer des contacts et consignes accessibles sans le réseau habituel.
Les premiers réflexes si une attaque est suspectée
Alertez immédiatement votre équipe ou prestataire informatique. Faites isoler les équipements et accès concernés de façon adaptée au contexte, et protégez les sauvegardes. Conservez les messages, horaires et journaux utiles. Évitez un nettoyage ou une réinstallation improvisés qui effaceraient les preuves.
La décision d’éteindre une machine doit tenir compte d’un chiffrement en cours et de la préservation des éléments volatils : demandez une assistance technique. Les recommandations officielles déconseillent de payer une rançon ; le paiement ne garantit ni récupération ni confidentialité.
Qui décide pendant la crise ?
| Rôle | Décision |
|---|---|
| Direction | Priorités métier, communication et mobilisation de moyens. |
| Responsable technique / intervenant incident | Confinement, conservation des preuves, investigation et reprise. |
| Référent données / conseil compétent | Analyse des obligations de notification et information des personnes. |
| Responsables métier | Validation des services remis en fonctionnement. |
La reprise doit être vérifiée
Avant de reconnecter les systèmes, les intervenants doivent traiter le point d’entrée et contrôler les accès. Une copie restaurable peut être trop récente par rapport au début de la compromission. Gardez la liste des décisions, des systèmes restaurés et des vérifications réalisées.
Le diagnostic gratuit est-il une assistance d’urgence ?
Non. En cas d’attaque en cours, utilisez votre circuit d’incident et les ressources officielles. Le diagnostic Elvia Secure sert à préparer et prioriser la sécurité en dehors de cette prise en charge urgente.
Sources et vérification
- Cybermalveillance.gouv.fr — Réagir à un rançongiciel
- CERT-FR — Bons réflexes en cas d’intrusion
- CNIL — RGPD, chapitre IV, articles 32 et 33
Sources consultées le 5 novembre 2026. Les recommandations doivent être adaptées à votre environnement.