Entreprise piratée : que faire dans les 72 premières heures

Une entreprise piratée, ce n'est pas un film. C'est un lundi matin où la messagerie ne répond plus, où les fichiers portent une extension inconnue, ou où un salarié signale un virement qui n'aurait jamais dû partir. Dans ces moments-là, la plupart des dirigeants font la même erreur : agir vite, mais dans le désordre. On redémarre les serveurs, on supprime des comptes, on efface des fichiers suspects. Chaque geste détruit un peu de la preuve qui permettrait de comprendre ce qui s'est passé. Voici l'ordre à suivre sur les 72 premières heures. C'est le même fil que celui qu'on déroule en réponse à incident.

Les premières heures : isoler sans détruire

Premier réflexe : couper la propagation, pas l'enquête.

• Déconnectez du réseau les machines touchées (câble ou Wi-Fi), mais ne les éteignez pas : la mémoire vive contient des traces utiles.
• Changez les mots de passe depuis un poste sain, en commençant par les comptes administrateurs et la messagerie. Activez l'authentification multi-facteurs si elle manque.
• Coupez les accès distants (VPN, bureau à distance, comptes de prestataires) le temps de comprendre.
• Ne supprimez rien : ni fichiers suspects, ni comptes inconnus, ni mails d'hameçonnage.

Notez tout, avec l'heure : ce qui a été vu, par qui, ce qui a été touché. Ce journal servira à l'analyse, à votre assureur et, si besoin, à la CNIL.

Préserver les preuves et prévenir les bonnes personnes

Conservez les journaux (serveurs, pare-feu, messagerie, antivirus), les captures d'écran et les horodatages. Faites une copie des sauvegardes saines avant toute restauration, et vérifiez qu'elles n'ont pas été chiffrées elles aussi.

Ensuite, prévenez dans l'ordre :

• la direction et la DSI, pour qu'une seule personne coordonne ;
• l'hébergeur et les prestataires concernés ;
• votre assureur cyber, dont le contrat impose souvent un délai de déclaration court ;
• la CNIL, si des données personnelles sont touchées : la violation doit être notifiée dans les 72 heures après en avoir pris connaissance, quand elle présente un risque pour les personnes (article 33 du RGPD) ;
• les forces de l'ordre, par un dépôt de plainte, souvent exigé par l'assureur.

Sur la rançon : ne payez pas à l'aveugle. Chaque cas est différent, et payer ne garantit ni la restitution des données ni la fin de l'intrusion.

Remettre en service sans rouvrir la porte, et vos questions

Le piège classique : restaurer vite, sans avoir trouvé comment l'attaquant est entré. Il revient alors par le même chemin. Avant la remise en service, il faut identifier la cause (compte compromis, faille exposée, poste infecté), nettoyer les accès laissés par l'attaquant, puis reprendre l'activité par étapes, en surveillant.

C'est le parcours que suit notre réponse à incident : triage au rappel, containment, analyse et éradication, restitution. Sur la page dédiée, nous indiquons une première intervention sous 72 h et un rappel en moins de 5 minutes. Depuis 2016, plus de 150 entreprises ont été auditées chez White Hat (chiffres de la page Mon entreprise a été piratée, relue le 04/11/2026). Une fois l'urgence passée, un audit de sécurité vérifie que la faille est fermée et qu'aucune autre ne traîne : voir l'audit de sécurité informatique.

Faut-il éteindre les machines piratées ?

Non, sauf consigne contraire d'un expert. Déconnectez-les du réseau et gardez-les allumées pour préserver la mémoire.

Dois-je prévenir la CNIL ?

Si des données personnelles de clients, de salariés ou de prospects sont touchées, oui, dans les 72 heures après la découverte quand la violation présente un risque pour les personnes.

Puis-je restaurer ma sauvegarde tout de suite ?

Pas avant d'avoir compris l'intrusion. Vérifiez d'abord que la sauvegarde est saine, sinon vous réinstallez le problème.

Quand faire un audit après l'incident ?

Dès que l'activité a repris. Il confirme que la cause est corrigée et cherche les autres failles exploitables.

Dans les 72 premières heures, trois règles : isoler sans détruire, tout noter, ne rien restaurer avant d'avoir compris. Le reste (CNIL, assureur, plainte) suit dans cet ordre.

Si votre entreprise est touchée en ce moment, un expert vous rappelle depuis la page urgence, sans paiement en ligne et sans engagement.