Guide de triage · Édition 2026
Cyberattaque.
Par où commencer.
Quelque chose ne va pas. Les machines sont lentes, bloquées ou inaccessibles. Un email bizarre. Un accès qui ne fonctionne plus. Peut-être que vous savez déjà ce qui se passe. Peut-être pas. La décision la plus coûteuse en cas de cyberattaque, c'est d'attendre de comprendre avant d'agir. Ce guide explique quoi faire dans le bon ordre, même quand vous ne savez pas encore quel type d'attaque vous subissez.
Avant même de comprendre ce qui se passe
Vous n'avez pas besoin de savoir si c'est un ransomware, une intrusion ou autre chose pour faire le premier geste. La question n'est pas « quelle est cette attaque », c'est « est-ce qu'elle continue à se propager ». Une attaque qui continue à circuler dans votre réseau pendant que vous essayez de comprendre d'où elle vient, c'est comme chercher la notice de l'extincteur pendant que le bâtiment brûle.
Ne pas éteindre. C'est l'erreur la plus répandue. La mémoire vive contient les traces de l'attaque : signatures du malware, connexions actives, parfois des clés de déchiffrement temporaires dans certains ransomwares. L'extinction détruit tout ça définitivement.
Ce qui se joue à chaque étape
La plupart des décisions qui déterminent l'étendue des dégâts se prennent dans la première heure. Après, on gère surtout les conséquences.
Avant de comprendre ce qui se passe, il y a une chose à faire : arrêter l'attaque de continuer à circuler dans votre réseau. Chercher ce qui se passe pendant que les machines restent connectées, c'est laisser la porte ouverte.
Vous avez isolé les machines suspectes. Maintenant, il faut comprendre l'étendue de ce qui est touché : pas le type d'attaque, juste ce qui fonctionne encore et ce qui ne fonctionne plus.
C'est le moment d'appeler quelqu'un qui fait ça tous les jours. Pas votre prestataire informatique habituel. La réponse à incident est une spécialité. Votre DSI ou votre prestataire IT gère des infrastructures ; un expert en réponse à incident gère des attaques actives. Ce n'est pas la même chose.
Si des données personnelles ont été exposées, vous avez 72 heures pour notifier la CNIL à partir du moment où vous en avez connaissance. Ce délai court dès maintenant. Ce n'est pas une obligation que vous pouvez remettre à demain.
Qu'est-ce qui se passe sur vos systèmes ?
Cliquez sur la situation qui vous correspond le mieux. Le guide adapté s'affiche directement.
Quels types de données ou systèmes sont exposés
Cette évaluation est pour vous, pas seulement pour l'expert que vous allez appeler. Savoir ce qui est potentiellement exposé vous aide à prioriser vos notifications et à comprendre les obligations légales qui s'appliquent.
Dans les 15 premières minutes
Ces actions ne nécessitent aucune compétence technique. Elles préservent les preuves et limitent la propagation de l'attaque.
Les erreurs qui aggravent tout
Les premières réactions instinctives sont souvent les plus destructrices sur le plan forensique. Ce qui suit n'est pas intuitif, mais ça change tout.
Si vous avez identifié le type d'attaque
Chaque guide va plus loin sur ce scénario précis : confinement, investigation, obligations légales.
Votre informaticien et un expert en réponse à incident ne font pas le même travail
Ce n'est pas une critique de votre prestataire informatique. Il est probablement compétent dans ce qu'il fait : gérer des infrastructures, configurer des postes, gérer des mises à jour. Mais gérer une attaque active, c'est une autre discipline. Le réflexe d'appeler le prestataire habituel en premier coûte du temps qui ne se récupère pas.
CyberUrgence vous met en relation avec des experts en réponse à incident vérifiés, disponibles 24h/24 et 7j/7. Le diagnostic initial est gratuit, vous ne payez que si vous décidez de poursuivre avec l'accompagnement de l'expert.
Ce que la loi vous impose
Deux délais que beaucoup d'entreprises ratent, pas par mauvaise volonté, mais parce que personne ne les avait signalés avant l'incident.
Si des données personnelles ont été touchées. Le délai démarre au moment où vous prenez connaissance de l'incident, pas après résolution. En cas de doute, notifiez tôt.
Depuis janvier 2023, c'est une condition préalable à l'activation de votre assurance cyber. BL2CN à Paris ou votre commissariat local. Gardez une copie du récépissé.
Les délais de déclaration varient selon les polices, souvent entre 48 et 72 heures. Relisez votre contrat. Un retard peut invalider la prise en charge.