Après une cyberattaque, les premières heures sont décisives. Six réflexes s'imposent : isoler les machines touchées sans les éteindre, ne pas payer de rançon, prévenir votre cyberassurance, vous faire assister par des spécialistes de la réponse à incident, porter plainte et notifier la CNIL si des données personnelles sont concernées. Ces gestes limitent les dégâts, préservent les preuves et protègent vos droits.

Voici chacun de ces réflexes en détail, puis la question qui se pose ensuite : réparer le système compromis, ou reconstruire sur une base saine.

1. Isoler les machines touchées, sans les éteindre

Débranchez les postes et serveurs touchés du réseau (câble, Wi-Fi, VPN) pour empêcher l'attaque de se propager. En revanche, évitez si possible de les éteindre : la mémoire vive contient des traces précieuses pour comprendre comment l'attaquant est entré et ce qu'il a fait.

Coupez aussi les accès distants non indispensables et changez en priorité les mots de passe des comptes administrateurs, depuis un poste sain.

2. Ne pas payer la rançon

C'est la recommandation constante des autorités françaises. Payer ne garantit ni la récupération de vos données ni leur suppression chez l'attaquant. Cela finance les groupes criminels et vous désigne comme une cible susceptible de payer à nouveau.

3. Prévenir votre cyberassurance

Si vous êtes assuré, contactez votre assureur au plus vite, en respectant les délais de déclaration de votre contrat. Beaucoup de contrats prévoient une assistance immédiate et couvrent une partie des frais : réponse à incident, reconstruction, remise en service, pertes d'exploitation. Un retard de déclaration peut compromettre la prise en charge.

4. Vous faire assister par des spécialistes

Ne restez pas seul. Le dispositif national cybermalveillance.gouv.fr oriente les victimes vers des prestataires de réponse à incident. Ces spécialistes analysent l'attaque (on parle d'investigation numérique ou de forensic), identifient le point d'entrée et vérifient l'étendue de la compromission.

5. Porter plainte

Déposez plainte auprès de la police ou de la gendarmerie. La plainte est souvent nécessaire pour votre assureur, et elle contribue au travail des enquêteurs sur les groupes d'attaquants.

6. Notifier la CNIL et les autorités compétentes

Si des données personnelles ont pu être compromises (données clients, salariés, patients), vous devez notifier la CNIL dans les 72 heures après en avoir pris connaissance, conformément à l'article 33 du RGPD. Si le risque est élevé pour les personnes concernées, vous devrez aussi les informer.

Selon votre secteur, d'autres obligations peuvent s'ajouter. Les entités concernées par la directive NIS2 devront par exemple adresser une alerte précoce sous 24 heures à l'autorité compétente.

Les erreurs à éviter

  • Tout éteindre et tout réinstaller dans la précipitation : vous effacez les preuves sans être sûr d'avoir éliminé l'attaquant.
  • Restaurer immédiatement les sauvegardes sans les avoir vérifiées : elles peuvent elles aussi être compromises.
  • Communiquer depuis la messagerie de l'entreprise : si elle est compromise, l'attaquant lit vos échanges.
  • Minimiser l'incident auprès des clients : une communication tardive ou incomplète abîme durablement la confiance.

Et après : réparer ou reconstruire ?

Une fois l'urgence passée, une question décisive se pose. Un attaquant laisse souvent des accès cachés derrière lui. Tant qu'ils ne sont pas tous trouvés, vos serveurs restent exposés. Auditer chaque ligne de code, chaque serveur et chaque dépendance d'un système compromis est long, coûteux, et sans garantie de résultat.

C'est pour cette situation que WakaStart a créé Waka Rescue. Plutôt que de colmater, nous réécrivons votre application à partir de sa documentation et de ses spécifications grâce à l'ingénierie agentique de la forge Cybercoding, puis nous la rebasculons en urgence sur une plateforme saine, hébergée chez OVHcloud en France, dans notre périmètre certifié ISO 27001 et HDS. Chaque build passe SAST, DAST et pentest avant la mise en ligne, et vos données sont reprises depuis des sauvegardes saines, contrôlées avant la migration.

Waka Rescue intervient en complément de votre prestataire de réponse à incident, pas à sa place. Nous documentons chaque étape de l'intervention pour votre dossier de cyberassurance.

Questions fréquentes

Faut-il éteindre un ordinateur infecté ?

Non, idéalement. Il faut le déconnecter du réseau pour stopper la propagation, mais le laisser allumé pour préserver les traces utiles à l'investigation, sauf consigne contraire d'un spécialiste.

Dans quel délai faut-il prévenir la CNIL ?

Dans les 72 heures après la découverte de la violation, si des données personnelles ont pu être compromises (article 33 du RGPD).

La cyberassurance couvre-t-elle la reconstruction d'une application ?

Cela dépend de votre contrat. Beaucoup couvrent les frais de reconstruction et de remise en service. Vérifiez vos garanties et déclarez le sinistre au plus vite.

Qui contacter en premier ?

Votre assureur et un prestataire de réponse à incident, en parallèle. Si votre application doit être reconstruite, vous pouvez déclencher Waka Rescue : un expert vous rappelle en priorité.