Que faire dans les heures qui suivent une cyberattaque

Que faire dans les heures qui suivent une cyberattaque

Une cyberattaque vient de frapper votre entreprise. Les systèmes sont compromis, les données peut-être chiffrées ou volées. Les prochaines heures sont décisives. Savoir quoi faire après une cyberattaque peut faire la différence entre une reprise d'activité en quelques jours et une crise qui dure des semaines. Voici comment agir dans le bon ordre.

Les premières minutes après une cyberattaque : garder la tête froide

La première réaction face à une cyberattaque est souvent de vouloir tout faire en même temps : appeler le prestataire, éteindre les serveurs, prévenir les clients, chercher l'origine de l'attaque. Cette agitation non coordonnée aggrave la situation.

Désignez immédiatement une personne responsable de la coordination : le dirigeant, le responsable informatique ou votre prestataire technique. Toutes les décisions passent par cette personne. Les autres collaborateurs ne doivent pas tenter de résoudre le problème seuls, ni toucher aux machines suspectes sans instructions claires.

Notez l'heure précise à laquelle l'incident a été détecté. Documentez ce que vous observez : messages d'erreur, comportements inhabituels, fichiers inaccessibles. Cette documentation sera indispensable pour l'analyse ultérieure et pour les éventuelles déclarations aux autorités.

Isoler la menace dans les trente premières minutes

L'objectif immédiat est de stopper la propagation de l'attaque dans votre réseau. Plusieurs actions doivent être menées en parallèle :

• Déconnectez les machines affectées du réseau : débranchez le câble réseau et désactivez le Wi-Fi sur les postes compromis. N'éteignez pas les ordinateurs, cela peut effacer des preuves précieuses pour l'analyse.
• Identifiez les systèmes touchés : quels postes, quels serveurs, quels comptes semblent affectés ?
• Changez les mots de passe des comptes administrateurs depuis un appareil non compromis. Si vous utilisez la double authentification, vérifiez que les codes de récupération sont accessibles.
• Contactez votre prestataire informatique ou une équipe spécialisée en réponse à incident. Ne tentez pas de tout résoudre seul sans expertise technique suffisante.

Évaluer l'étendue des dégâts

Une fois la propagation stoppée, travaillez avec votre prestataire pour comprendre l'incident :

• Quels systèmes ont été compromis ?
• Quelles données ont été volées ou chiffrées ?
• Depuis combien de temps l'attaquant était-il présent dans votre réseau ?
• Par quel vecteur l'attaque a-t-elle pénétré (email de phishing, mot de passe faible, faille logicielle) ?

Cette analyse détermine vos priorités de restauration et les mesures à prendre pour éviter une nouvelle attaque immédiate.

Ne payez pas la rançon sans conseil d'expert

Si vous faites face à un ransomware, la question du paiement de la rançon se pose rapidement. La réponse n'est pas simple. Payer ne garantit pas la récupération des données. Cela finance les cybercriminels et peut vous inscrire sur une liste de cibles « payantes ». Avant toute décision, consultez un expert et vérifiez si des outils de déchiffrement existent pour le ransomware qui vous a frappé. Des organisations comme No More Ransom publient gratuitement ces outils pour de nombreuses variantes.

Informer les parties concernées

Une cyberattaque ne se gère pas en silence. Plusieurs parties doivent être informées, dans un ordre logique :

• Vos équipes internes : expliquez ce qui se passe, ce que vous faites, quelles actions sont attendues de leur part.
• Vos clients et partenaires si leurs données ont été compromises : communiquez de façon claire, factuelle et rapide. Un client informé par vous directement reste un client. Un client qui apprend la fuite par d'autres voies est souvent un client perdu. Préparez un modèle de communication clients à l'avance, en dehors de toute crise, afin de ne pas rédiger ce message sous la pression de l'incident.
• Votre assurance si vous disposez d'une couverture cyber : signalez l'incident dans les délais prévus par votre contrat, car les délais de déclaration sont souvent courts.
• Les autorités compétentes : selon votre pays et la nature des données exposées, une déclaration auprès de l'autorité de protection des données peut être obligatoire.

Restaurer l'activité de façon sécurisée

Ne remettez pas en service les systèmes compromis sans les avoir nettoyés et sécurisés. Un système restauré trop vite peut être recompromis en quelques heures si la faille d'origine n'a pas été corrigée.

L'ordre de restauration doit suivre vos priorités métier : quels systèmes sont indispensables à votre activité quotidienne ? Commencez par ceux-là, en partant de sauvegardes vérifiées comme saines. Chaque système remis en service doit avoir été mis à jour, nettoyé et vérifié avant d'être reconnecté au réseau.

Les entreprises qui gèrent le mieux une cyberattaque ne sont pas celles qui n'ont jamais été touchées. Ce sont celles qui avaient un plan et savaient s'en servir.

Gardez à l'esprit que certaines cyberattaques ne se manifestent pas immédiatement. Un attaquant peut rester présent dans votre réseau pendant des semaines avant d'agir. C'est pourquoi l'analyse post-incident doit remonter aussi loin que possible dans les journaux système. Votre prestataire pourra estimer depuis combien de temps votre réseau était compromis et identifier quelles données auraient pu être consultées pendant cette période.

Tirer les leçons pour renforcer votre sécurité

Une cyberattaque est douloureuse. C'est aussi une occasion unique d'identifier les failles réelles de votre système et d'y remédier durablement. Dans les semaines qui suivent la reprise :

• Rédigez un rapport d'incident : ce qui s'est passé, comment, quelles décisions ont été prises et avec quels résultats.
• Corrigez la faille qui a permis l'attaque : mettez à jour les logiciels, changez les mots de passe de tous les comptes, formez les équipes sur le vecteur utilisé.
• Formalisez votre plan de réponse pour la prochaine fois : qui appeler, dans quel ordre, avec quelles informations disponibles.

Si votre entreprise n'a pas encore de plan de réponse aux incidents, c'est le bon moment d'y travailler. ICONEDOR accompagne les PME en Afrique de l'Ouest dans la préparation et la gestion des crises informatiques. Parlez-nous de votre projet pour commencer à construire cette résilience.