Que fait-on dans les premières heures d'une cyberattaque ?

Dans les premières heures d’une cyberattaque, on contient sans détruire : déconnecter du réseau les machines touchées sans les éteindre, alerter l’infogérant et l’équipe de réponse à incident, mettre les sauvegardes à l’abri, ouvrir un journal de bord et réunir une cellule de crise. Ces gestes limitent la propagation tout en préservant les preuves.

Ces premières heures ne sont que le début. Pour le déroulé complet, voir notre guide Comment se déroule une réponse à incident ?.

Les premières minutes : contenir et alerter

Les consignes de cybermalveillance.gouv.fr pour un rançongiciel donnent une bonne base, valable pour la plupart des attaques :

1. Déconnecter les machines infectées du réseau : câble réseau débranché, Wi-Fi désactivé. Si l’attaque est étendue, couper l’accès Internet du réseau touché.
2. Ne pas éteindre les machines touchées : l’extinction efface la mémoire vive, qui contient des traces utiles à l’enquête. Si un chiffrement est encore en cours, une mise en veille prolongée peut être envisagée.
3. Ne pas rallumer les machines éteintes qui ont peut-être été épargnées.
4. Déconnecter les sauvegardes encore reliées au réseau, pour les protéger.
5. Alerter immédiatement l’infogérant ou le service informatique.

Si un EDR est déployé, l’isolement réseau peut se faire à distance depuis sa console, en quelques secondes, sans éteindre la machine.

La première heure : mobiliser

• Engager l’équipe de réponse à incident. Quand un contrat de réponse à incident est déjà en place, les contacts et les modalités sont connus d’avance. Sans contrat, il faut d’abord trouver un prestataire et s’accorder avec lui, ce qui coûte du temps. Voir Peut-on faire appel à un prestataire de réponse à incident sans contrat préalable ?.
• Réunir une cellule de crise : un décideur de la direction, l’infogérant ou la DSI, et selon le cas le juridique et la communication.
• Ouvrir un journal de bord : chaque constat et chaque action, horodatés. Il servira à l’enquête, à l’assureur et aux notifications.
• Basculer sur un canal de communication sûr si la messagerie ou l’annuaire sont peut-être compromis.

Voir Qui intervient dans une équipe de réponse à incident ?.

Les heures suivantes : qualifier et confiner

L’équipe de réponse établit une première image de la situation :

Question	Pourquoi elle compte
Quelles machines et quels comptes sont touchés ?	Pour cibler le confinement
L’attaquant est-il encore actif ?	Pour décider de la vitesse et de l’ampleur des coupures
Des comptes à privilèges sont-ils compromis ?	Un administrateur compromis change toute la stratégie
Des données ont-elles pu sortir ?	Pour anticiper d’éventuelles notifications prévues par le RGPD
Les sauvegardes sont-elles intactes ?	Pour estimer la reprise

Le confinement s’élargit selon les réponses : désactivation de comptes, blocage de flux sortants, isolement de segments réseau, coupure des accès distants. On collecte en parallèle les éléments volatils avant qu’ils disparaissent. Voir Comment isoler un système sans détruire les preuves ?.

Dans les 24 premières heures : les démarches

• Plainte : cybermalveillance.gouv.fr recommande de porter plainte en parallèle de la réponse technique, avant de réinstaller les équipements.
• Assureur : le prévenir tôt. Chaque contrat d’assurance cyber fixe ses propres conditions (délais, pièces à fournir) : elles se vérifient dans le contrat lui-même, avec l’assureur ou le courtier.
• NIS2 : l’article 23 de la directive prévoit, pour les entités concernées, une alerte précoce à l’autorité compétente ou au CSIRT dans les 24 heures suivant la prise de connaissance d’un incident important. Au 25 septembre 2026, la loi française de transposition n’est pas encore adoptée.
• RGPD : l’article 33 prévoit, en cas de violation de données personnelles et dans les conditions qu’il définit, une notification à l’autorité de contrôle (la CNIL en France) dans les 72 heures.

Savoir si ces textes s’appliquent à une situation donnée relève d’une analyse juridique : le conseil juridique de l’organisation est le bon interlocuteur.

Voir La réponse à incident est-elle obligatoire ?.

Ce qu’il vaut mieux éviter

• Réinstaller ou restaurer trop vite : on efface les preuves et on risque de restaurer un système encore compromis. Voir Quand peut-on redémarrer la production après une cyberattaque ?.
• Payer la rançon : cybermalveillance.gouv.fr le déconseille.
• Lancer des actions isolées sans coordination avec l’équipe de réponse.
• Communiquer à chaud sans message validé.

Comment Cyna intervient dans ces premières heures

Le SOC managé de Cyna, opéré 24/7 depuis la France, détecte et qualifie les alertes ; avec SentinelOne ou Microsoft Defender, il peut isoler un poste à distance. Le CERT de Cyna, membre de l’InterCERT France, travaille avec les équipes du SOC et peut être mobilisé rapidement. L’astreinte réponse à incident est joignable 24h/24 et 7j/7 depuis la page Déclarer un incident. L’infogérant partenaire reste l’interlocuteur de son client.

Faire le point avec un expert

Vous voulez préparer une fiche réflexe pour vous ou vos clients ? Si vous travaillez avec un infogérant partenaire de Cyna, il est votre premier interlocuteur. Sinon, contactez-nous.

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.

Questions fréquentes

Faut-il éteindre les ordinateurs touchés ?

Non, en principe. cybermalveillance.gouv.fr recommande de les déconnecter du réseau sans les éteindre, car l'extinction efface la mémoire, utile à l'enquête. Si un chiffrement est encore en cours, une mise en veille prolongée peut être envisagée. Voir Comment isoler un système sans détruire les preuves ?.

Faut-il payer la rançon pour aller plus vite ?

cybermalveillance.gouv.fr recommande de ne pas payer : rien ne garantit la récupération des données, et le paiement n'empêche pas une nouvelle attaque.

Peut-on prévenir les clients tout de suite ?

Oui, mais avec un message préparé et validé par la cellule de crise, qui s'en tient aux faits établis. Une communication improvisée crée souvent plus de problèmes qu'elle n'en résout.

Qui appeler si l'on n'a pas de prestataire ?

D'abord son infogérant. Le dispositif 17cyber.gouv.fr, porté par cybermalveillance.gouv.fr, oriente aussi vers des prestataires de proximité. Voir Qui contacter en cas de cyberattaque ?.