Un matin, vos fichiers s’ouvrent en extension inconnue et un message réclame une rançon. Ou bien un client vous signale un email étrange parti de votre adresse. La première réaction d’une petite structure est souvent la panique. Elle n’a ni service informatique ni personne dédiée à la sécurité. Pourtant, la marche à suivre existe, et elle est documentée par les organismes publics. La pression monte vite : les demandes d’assistance liées aux violations de données ont bondi de 107 % en un an, selon le rapport d’activité 2025 de cybermalveillance.gouv.fr.
Couper la propagation, tout de suite
Un rançongiciel ne reste pas sur une seule machine. Dès la détection, débranchez le poste touché du réseau : coupez le Wi-Fi, retirez le câble. Si plusieurs postes partagent la même connexion, coupez l’accès de la box le temps d’y voir clair. Changez ensuite les mots de passe des comptes stratégiques depuis un appareil sain. Messagerie, banque, administration du site.
Cette urgence se justifie par la nature du logiciel malveillant. Les rançongiciels cherchent à se propager et à chiffrer un maximum de fichiers avant d’afficher la demande de rançon, comme le rappelle notre article sur les rançongiciels qui visent les TPE. Isoler en quelques minutes limite les dégâts à un poste au lieu de tout le parc. Le même réflexe passe par des mots de passe renouvelés, détaillés dans le guide mots de passe et double authentification.
Préserver les preuves sans rien effacer
La tentation est de tout réinstaller pour s’en débarrasser. C’est une erreur. Ne formatez pas, ne supprimez pas les fichiers suspects. Les éléments techniques servent à l’enquête : captures d’écran du message de rançon, logs, emails reçus, horodatage. La CNIL le formule directement : en cas de cyberattaque, il faut tenir à disposition des enquêteurs tous les éléments de preuve technique.
Concrètement, photographiez ou capturez l’écran de la demande de rançon avant toute manipulation. Notez la date, l’heure, les adresses email et les montants réclamés. Ces détails alimentent la plainte et le diagnostic qui suivront.
Déposer plainte, le réflexe juridique
La plainte n’est pas une formalité symbolique. Elle ouvre les recours auprès de l’assurance et de la banque, et elle permet aux enquêteurs de remonter la piste. Deux voies existent : se déplacer au commissariat ou à la brigade de gendarmerie, ou adresser un courrier au procureur de la République du tribunal judiciaire de son domicile.
Attention à un piège fréquent. La plateforme de plainte en ligne THESEE, mise en place par le ministère de l’Intérieur pour les arnaques sur internet, est réservée aux particuliers. Pour un professionnel, le déplacement au commissariat ou en gendarmerie est requis.
Notifier la CNIL sous 72 heures
Si l’attaque a touché des données personnelles (fichier clients, fiches salariés), le RGPD s’applique. L’article 33 impose de notifier la CNIL dans un délai de 72 heures après la constatation, dès que la violation présente un risque pour les droits des personnes. Le téléservice est disponible sur notifications.cnil.fr.
Si le risque est élevé, l’article 34 ajoute une obligation : informer les personnes concernées elles-mêmes. La CNIL autorise une notification en deux temps. Une première notification sous 72 heures, puis une notification complémentaire quand les investigations avancent. En cas de doute, mieux vaut notifier : la CNIL indique alors si l’information des personnes est nécessaire.
Se faire accompagner gratuitement
Une TPE n’est pas seule face à l’attaque. Le dispositif national 17Cyber, porté par cybermalveillance.gouv.fr, propose un diagnostic gratuit et des conseils adaptés. En 2025, la plateforme a traité 504 810 demandes d’assistance, soit 20 % de plus qu’en 2024, selon son rapport d’activité. L’année 2024 enregistrait déjà 420 000 demandes.
Pour l’accompagnement juridique du dépôt de plainte, l’association France Victimes opère le numéro 116 006. Appel gratuit, ouvert sept jours sur sept de 9 h à 19 h.
Restaurer proprement et corriger la faille
La remise en route ne se fait pas au hasard. Restaurez à partir d’une sauvegarde saine, antérieure à l’attaque. C’est précisément ce que protège la méthode de sauvegarde 3-2-1 : trois copies, deux supports différents, une copie hors site. Sans elle, la restauration devient un pari.
Avant de remettre les systèmes en ligne, vérifiez que la faille est corrigée, ce qui passe souvent par les mises à jour de sécurité. Une porte restée ouverte, et l’attaque recommence dès la première connexion. Le diagnostic 17Cyber aide précisément à identifier ce point d’entrée.
Récapitulatif des réflexes
| Étape | Action | Échéance | Risque si oubli |
|---|---|---|---|
| 1 | Isoler la machine du réseau | Immédiat | Propagation à tout le parc |
| 2 | Préserver les preuves | Immédiat | Plainte difficile à instruire |
| 3 | Déposer plainte | Dès que possible | Pas de recours assurance |
| 4 | Notifier la CNIL | 72 heures | Manquement RGPD |
| 5 | Diagnostic 17Cyber | Dès que possible | Mauvaise réponse à l’attaque |
| 6 | Restaurer et corriger la faille | Après analyse | Récidive |
Les erreurs qui aggravent tout
Quatre réflexes à éviter, parce qu’ils transforment un incident gérable en catastrophe.
Payer la rançon. Rien ne garantit le déchiffrement des fichiers, et le paiement finance la cybercriminalité tout en vous signalant comme une cible qui paie. Les organismes publics le déconseillent systématiquement.
Effacer les preuves pour nettoyer. Vous supprimez ce qui aurait permis d’identifier l’attaquant et d’instruire la plainte.
Ne rien faire en espérant que ça passe. Une fuite de données ne se résorbe pas seule, et le délai de 72 heures de la CNIL continue de courir.
Restaurer sur une sauvegarde déjà infectée. La contamination revient avec la restauration, et l’attaque repart.
Comment savoir si la CNIL doit être notifiée ?
Le critère est le risque pour les droits et libertés des personnes concernées. Une violation sans risque n’exige pas de notification, seulement une documentation interne à conserver. Cette documentation décrit la nature de la violation, le nombre de personnes touchées et les mesures prises.
Faut-il payer la rançon ?
Non. Le paiement n’apporte aucune garantie de récupération des fichiers et encourage les attaquants à recommencer. Les autorités recommandent d’isoler, de préserver les preuves et de déposer plainte.
Que faire si aucune sauvegarde n’existe ?
La récupération devient incertaine. Le diagnostic 17Cyber oriente vers les solutions de déchiffrement quand elles existent, mais sans garantie. L’incident doit déclencher la mise en place d’une sauvegarde régulière hors site.
Peut-on prévenir ses clients après une fuite ?
Oui, et parfois c’est une obligation. Au-delà du seuil légal, informer soi-même ses clients protège la relation commerciale et la réputation, même quand la loi ne l’exige pas formellement.
L’assistance 17Cyber est-elle payante ?
Non, le diagnostic et les conseils sont gratuits. La plateforme publique prend en charge l’accompagnement des victimes. Seuls les prestataires de remédiation que vous choisiriez de solliciter facturent leurs interventions.
Un indépendant sans salarié est-il concerné par la notification ?
Oui. Le RGPD s’applique à tout responsable de traitement, quelle que soit la taille de la structure. Un indépendant qui traite des données de clients doit notifier la CNIL si une violation présente un risque.
Sources
- Notifier une violation de données personnelles, CNIL
- Rapport d’activité 2025, cybermalveillance.gouv.fr
- La plainte en ligne THESEE, ministère de l’Intérieur
- Déposer plainte après une cybermalveillance, cybermalveillance.gouv.fr
Raphaël Marieux, mis à jour le 28 septembre 2026.