Que faire en cas de piratage en entreprise : les 48
premières heures

Le premier réflexe, quand une entreprise découvre qu'elle s'est fait pirater, est de vouloir tout nettoyer. Redémarrer le serveur, réinstaller le poste, changer les mots de passe et reprendre l'activité avant que les clients ne s'en aperçoivent. C'est humain, et c'est précisément le réflexe qui efface les traces dont vous aurez besoin ensuite : pour comprendre ce qui s'est passé, pour déposer plainte, et pour prouver à la CNIL ou à votre assureur que vous avez agi correctement.

Un piratage en entreprise n'est pas un problème purement technique. C'est une situation de crise avec un volet juridique, un volet assurance, un volet communication et des délais légaux qui courent dès la découverte. Cet article s'adresse aux organisations : dirigeants, DSI, RSSI d'une PME ou d'une ETI. Les particuliers ont un interlocuteur dédié avec cybermalveillance.gouv.fr et le guichet 17Cyber. Ici, on parle de la chaîne à suivre côté entreprise, dans l'ordre où elle compte vraiment.

Comment savoir si on s'est fait pirater

Le cinéma a installé une image fausse : l'écran qui vire au rouge, le crâne qui clignote. Dans la vraie vie, une intrusion réussie est discrète, parce que l'attaquant a intérêt à rester. Le ransomware est l'exception qui se voit, puisqu'il monnaie sa visibilité. Le reste se lit dans les détails : une connexion réussie à 3 h du matin depuis un pays où vous n'avez personne, un compte administrateur créé que personne ne revendique, une règle de transfert automatique posée sur une boîte mail, un antivirus désactivé, un serveur qui parle à une adresse IP qu'il n'a jamais contactée.

Beaucoup d'entreprises apprennent leur compromission par un tiers : la banque qui bloque un virement, un client qui reçoit un faux mail à votre nom, ou une notification de fuite. Quand des identifiants circulent, l'alerte peut venir d'un service de surveillance : voir notre article sur le mot de passe compromis et sur le credential stuffing, cette réutilisation d'identifiants volés qui transforme une fuite lointaine en accès direct chez vous. Le point commun de ces signaux : aucun n'est spectaculaire, tous se trouvent dans des journaux que personne ne regarde en temps normal.

Les premières heures : préserver avant de nettoyer

La séquence des toutes premières heures conditionne tout le reste. Elle tient en deux verbes qui semblent contradictoires : isoler pour stopper la propagation, mais préserver pour ne pas détruire ce dont l'enquête aura besoin. Concrètement, on coupe les connexions réseau des systèmes touchés (débrancher le câble, désactiver le Wi-Fi, sortir la machine du VLAN) sans l'éteindre. Cybermalveillance résume la consigne d'isolation ainsi : couper toutes les connexions à Internet et au réseau local pour éviter que l'attaque ne se propage aux autres équipements.

Préserver les preuves, ce n'est pas un luxe d'expert : c'est ce qui permettra plus tard de dire comment l'attaquant est entré, et donc de refermer la porte. Sur un serveur Linux, avant toute remédiation, on capture les éléments volatils, on copie les journaux en conservant horodatages et droits, et l'idéal reste une image disque bit à bit prise depuis un support externe plutôt que de travailler sur le système vivant.

# Serveur Linux compromis, AVANT toute remédiation (illustratif)
# 1. Éléments volatils : connexions réseau et processus en cours
ss -tanp   > /preuves/connexions.txt
ps auxww   > /preuves/processus.txt

# 2. Journaux copiés en préservant horodatages et permissions
cp -a /var/log /preuves/var-log/

# 3. Idéalement, une image disque bit à bit depuis un support externe
#    (une cellule de réponse à incident travaille sur la copie, jamais l'original)

Ces commandes sont volontairement simples : elles illustrent la logique, pas une procédure universelle. Une cellule de réponse à incident (DFIR) fait mieux et travaille sur des copies. Mais entre ne rien préserver et sauver ne serait-ce que les journaux avant de tout réinstaller, l'écart est immense au moment de reconstituer l'attaque.

Qui contacter en cas de piratage informatique

Personne ne gère seul une crise cyber. La bonne nouvelle, c'est que les interlocuteurs existent et sont, pour la plupart, gratuits. La difficulté est l'ordre et le périmètre de chacun. On commence par endiguer avec les moyens internes ou le prestataire habituel, puis on remonte vers les autorités selon la gravité et la nature de ce qui a été touché. Le tableau ci-dessous récapitule les points de contact utiles en France.

Le CERT-FR, rattaché à l'ANSSI, est le centre national de traitement des incidents. Il se joint par courriel (cert-fr@ssi.gouv.fr) ou par téléphone au 3218, et publie sa clé PGP pour les échanges sensibles. Pour une PME qui ne sait pas par où commencer, le guichet 17Cyber pose quelques questions, qualifie la menace et oriente vers le bon interlocuteur, y compris des prestataires de proximité. Si votre organisation relève de la directive NIS2, ajoutez une obligation propre : notifier votre autorité nationale selon un calendrier en trois temps, une alerte précoce sous 24 heures, une notification sous 72 heures, puis un rapport final sous un mois (article 23 de la directive (UE) 2022/2555).

Notification CNIL sous 72 heures : article 33 et 34 du RGPD

Dès que des données personnelles sont concernées, un régime spécifique s'ajoute à la gestion technique. Une violation, au sens du RGPD, c'est un accès, une copie, une modification ou une destruction non autorisée de données personnelles : la fuite d'un fichier clients, le vol d'une base d'employés, un rançongiciel qui chiffre des dossiers RH. L'article 33 du RGPD impose alors au responsable de traitement de notifier la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, dès que la violation présente un risque pour les droits et libertés des personnes.

Le délai part de la constatation, pas de l'intrusion elle-même, et il n'attend pas que vous ayez tout compris : la CNIL admet une notification initiale, complétée ensuite. Quand le risque pour les personnes est élevé (données bancaires, de santé, identifiants réutilisables), l'article 34 impose en plus de les informer directement, en clair. La notification se fait par le téléservice de la CNIL. Ce volet mérite un traitement à part : on en détaille la mécanique dans notre article dédié à la fuite de données et aux 72 heures, et il s'articule avec la traçabilité des accès abordée dans le pilier fuite de secrets.

Déposer plainte, prévenir l'assureur, tracer les décisions

Le dépôt de plainte n'est pas une formalité symbolique. Il ouvre une enquête, il est souvent exigé par les assureurs pour déclencher la prise en charge, et il inscrit officiellement l'entreprise comme victime, ce qui compte si des données volées resurgissent plus tard. On peut passer par le guichet 17Cyber, un commissariat ou une brigade de gendarmerie. En parallèle, la déclaration de sinistre à l'assureur cyber suit ses propres délais contractuels, souvent courts : mieux vaut relire la police avant l'incident que la découvrir pendant.

Tout au long de la crise, une chose sauve rétrospectivement les décisions : le journal d'incident. Qui a fait quoi, à quelle heure, sur quelle décision. Ce document, tenu au fil de l'eau, sert à la plainte, à l'assureur, à la CNIL et à l'analyse d'après. Il évite aussi les récits contradictoires quand, trois semaines plus tard, chacun raconte la crise à sa façon. La constitution d'une petite équipe de crise, avec un référent technique, un référent juridique et un référent communication, rend ce suivi possible sans que tout repose sur une seule personne débordée.

Communiquer sans aggraver la situation

Le silence total et la communication précipitée sont deux pièges. Se taire pendant qu'un ransomware paralyse la production, et laisser les clients l'apprendre par la rumeur, entame durablement la confiance. À l'inverse, annoncer trop tôt un périmètre qu'on révise ensuite à la hausse donne l'image d'une entreprise qui ne maîtrise rien. La règle tenable : communiquer des faits établis, à des interlocuteurs identifiés (salariés, clients concernés, partenaires), au rythme où l'analyse les confirme.

Quand la violation touche des personnes avec un risque élevé, l'information n'est pas seulement une bonne pratique, c'est l'obligation de l'article 34 vue plus haut. Un message honnête, qui explique ce qui s'est passé, ce que vous faites et ce que la personne doit faire de son côté (changer un mot de passe, surveiller un compte), protège mieux votre réputation qu'un communiqué juridique illisible. Si l'attaque a transité par une usurpation de votre marque ou de vos adresses, notre article sur le phishing et celui sur le ransomware détaillent les scénarios les plus courants côté PME.

Comprendre comment on a été piraté

Une fois la crise endiguée, une question demeure, et c'est la seule qui empêche la récidive : par où est-il entré ? Tant qu'on ignore le point d'entrée, on remet en service un système qui sera repris par le même chemin. Les portes récurrentes sont connues : un identifiant valide acheté après une fuite, un service exposé sur Internet et pas à jour, un mail piégé qui a livré un accès, un secret laissé dans un dépôt de code. La séquence temporelle d'une intrusion type est presque toujours la même.

Reconstituer cette chronologie relève de l'investigation post-incident. C'est aussi là qu'un regard offensif est utile : refaire le chemin de l'attaquant sur la surface exposée révèle la faille d'entrée bien mieux qu'une lecture de journaux seule. Un test d'intrusion en entreprise mené après incident valide que la brèche est refermée et cherche les portes voisines que l'attaquant n'a pas encore poussées. Le budget d'un tel exercice est détaillé dans notre article sur le prix d'un test d'intrusion.

La remédiation ne s'arrête pas à la faille exploitée. Après un incident, on rejoue l'ensemble via une vraie gestion des vulnérabilités : inventaire de ce qui est exposé, correction priorisée, et surveillance continue de la surface d'attaque externe pour ne pas rouvrir la porte sans le voir. C'est exactement ce que couvre un service de surveillance de surface d'attaque externe, avec un module dédié à la détection de fuites et de secrets exposés. La reprise d'activité, elle, se prépare en amont : c'est l'objet d'un plan de reprise d'activité et d'un plan de remédiation écrits avant la crise.

À retenir

• Préserver avant de nettoyer : isoler du réseau sans éteindre, capturer journaux et éléments volatils. Réinstaller trop vite détruit les preuves de l'attaque.
• Contacter les bons interlocuteurs : support IT, puis CERT-FR (cert-fr@ssi.gouv.fr, 3218), police via 17Cyber, CNIL et assureur.
• Notifier la CNIL sous 72 heures dès que des données personnelles sont touchées et que la violation présente un risque (article 33 du RGPD), informer les personnes si le risque est élevé (article 34).
• Ne pas payer la rançon par réflexe : aucune garantie, et l'effort est mieux placé sur la restauration et la remédiation.
• Trouver le point d'entrée : sans cela, on remet en service un système qui sera repris par le même chemin.

Réagir à un piratage, c'est d'abord ne pas aggraver les choses dans les premières heures, puis dérouler une chaîne d'acteurs qui existe et qui, pour l'essentiel, ne coûte rien. Reste la question technique : par où l'attaquant est-il passé, et la brèche est-elle vraiment refermée. Si vous voulez cartographier votre point d'entrée et votre surface exposée après un incident, parlons-en : c'est le genre de terrain où un regard offensif fait gagner du temps.

Questions fréquentes sur la réaction à un piratage