Que faire en cas de piratage en entreprise : les 48 premières heures, et ce que la CNIL
sanctionne ensuite

Le premier réflexe, quand une entreprise découvre qu'elle s'est fait pirater, est de vouloir tout nettoyer. Redémarrer le serveur, réinstaller le poste, changer les mots de passe et reprendre l'activité avant que les clients ne s'en aperçoivent. C'est humain, et c'est le réflexe qui efface les traces dont vous aurez besoin ensuite : pour comprendre ce qui s'est passé, pour déposer plainte, et pour prouver à la CNIL ou à votre assureur que vous avez agi correctement.

Un piratage en entreprise n'est pas un problème purement technique. C'est une situation de crise avec un volet juridique, un volet assurance, un volet communication et des délais légaux qui courent dès la découverte. Cet article s'adresse aux organisations : dirigeants, DSI, RSSI d'une PME ou d'une ETI. Les particuliers ont un interlocuteur dédié avec cybermalveillance.gouv.fr et le guichet 17Cyber. Ici, on parle de la chaîne à suivre côté entreprise, dans l'ordre où elle compte.

On a aussi regardé ce qui arrive après, quand la CNIL s'en mêle. Sur les 87 délibérations de sanction qu'elle a publiées depuis le RGPD, 15 sanctions pour défaut de sécurité font suite à une violation de données. Leur lecture dément une crainte répandue : un défaut de notification n'est presque jamais sanctionné seul, ce qui coûte, c'est ce que l'incident révèle des mesures qui manquaient.

Comment savoir si on s'est fait pirater

Le cinéma a installé une image fausse : l'écran qui vire au rouge, le crâne qui clignote. Dans la vraie vie, une intrusion réussie est discrète, parce que l'attaquant a intérêt à rester. Le ransomware est l'exception qui se voit, puisqu'il monnaie sa visibilité. Le reste se lit dans les détails : une connexion réussie à 3 h du matin depuis un pays où vous n'avez personne, un compte administrateur créé que personne ne revendique, une règle de transfert automatique posée sur une boîte mail, un antivirus désactivé, un serveur qui parle à une adresse IP qu'il n'a jamais contactée.

Beaucoup d'entreprises apprennent leur compromission par un tiers : la banque qui bloque un virement, un client qui reçoit un faux mail à votre nom, ou une notification de fuite. Quand des identifiants circulent, l'alerte peut venir d'un service de surveillance : voir notre article sur le mot de passe compromis et sur le credential stuffing, cette réutilisation d'identifiants volés qui transforme une fuite lointaine en accès direct chez vous. Le point commun de ces signaux : aucun n'est spectaculaire, tous se trouvent dans des journaux que personne ne regarde en temps normal.

Et ne comptez pas sur la publicité de la fuite pour vous prévenir. Dans le catalogue public Have I Been Pwned, on a mesuré l'écart entre la date d'une fuite d'organisation et son ajout au catalogue : très court pour un tiers des fuites, plus d'un an pour un autre tiers.

Une fuite qui apparaît dans un catalogue public a donc souvent plusieurs mois d'avance sur vous. Quand une alerte vous arrive par ce canal, la première question à poser est depuis quand ces identifiants circulent, et ce qu'ils ont pu ouvrir entre-temps.

Les premières heures : préserver avant de nettoyer

La séquence des toutes premières heures conditionne tout le reste. Elle tient en deux verbes qui semblent contradictoires : isoler pour stopper la propagation, mais préserver pour ne pas détruire ce dont l'enquête aura besoin. Concrètement, on coupe les connexions réseau des systèmes touchés (débrancher le câble, désactiver le Wi-Fi, sortir la machine du VLAN) sans l'éteindre. Cybermalveillance résume la consigne d'isolation ainsi : couper toutes les connexions à Internet et au réseau local pour éviter que l'attaque ne se propage aux autres équipements.

Préserver les preuves permettra plus tard de dire comment l'attaquant est entré, et donc de refermer la porte. Sur un serveur Linux, avant toute remédiation, on capture les éléments volatils, on copie les journaux en conservant horodatages et droits, et l'idéal reste une image disque bit à bit prise depuis un support externe plutôt que de travailler sur le système vivant.

# Serveur Linux compromis, AVANT toute remédiation (illustratif)
# 1. Éléments volatils : connexions réseau et processus en cours
ss -tanp   > /preuves/connexions.txt
ps auxww   > /preuves/processus.txt

# 2. Journaux copiés en préservant horodatages et permissions
cp -a /var/log /preuves/var-log/

# 3. Idéalement, une image disque bit à bit depuis un support externe
#    (une cellule de réponse à incident travaille sur la copie, jamais l'original)

Ces commandes sont volontairement simples : elles illustrent la logique, pas une procédure universelle. Une cellule de réponse à incident (DFIR) fait mieux et travaille sur des copies. Mais entre ne rien préserver et sauver ne serait-ce que les journaux avant de tout réinstaller, l'écart est immense au moment de reconstituer l'attaque.

Qui contacter en cas de piratage informatique

Personne ne gère seul une crise cyber. Les interlocuteurs existent et sont, pour la plupart, gratuits. La difficulté est l'ordre et le périmètre de chacun. On commence par endiguer avec les moyens internes ou le prestataire habituel, puis on remonte vers les autorités selon la gravité et la nature de ce qui a été touché. Le tableau ci-dessous récapitule les points de contact utiles en France.

Le CERT-FR, rattaché à l'ANSSI, est le centre national de traitement des incidents. Il se joint par courriel (cert-fr@ssi.gouv.fr) ou par téléphone au 3218, et publie sa clé PGP pour les échanges sensibles. Pour une PME qui ne sait pas par où commencer, le guichet 17Cyber pose quelques questions, qualifie la menace et oriente vers le bon interlocuteur, y compris des prestataires de proximité. Si votre organisation relève de la directive NIS2, ajoutez une obligation propre : notifier votre autorité nationale selon un calendrier en trois temps, une alerte précoce sous 24 heures, une notification sous 72 heures, puis un rapport final sous un mois (article 23 de la directive (UE) 2022/2555).

Dès que des données personnelles sont touchées, un second calendrier court en parallèle : celui du RGPD, qui impose de notifier la CNIL sous 72 heures à compter de la constatation, et d'informer les personnes quand le risque pour elles est élevé. Il ne se traite pas dans la panique des premières heures, mais il ne doit pas non plus être oublié quand l'urgence technique retombe. Les critères, le contenu de la notification et les pièges du délai sont détaillés dans l'article sur la fuite de données et la notification CNIL, et la traçabilité des accès qui permet de répondre à la CNIL dans le pilier fuite de secrets.

Ce que la CNIL sanctionne vraiment après un incident

Beaucoup de dirigeants craignent que notifier la CNIL équivaille à s'auto-dénoncer. Les sanctions publiées disent autre chose. On a relu les 87 délibérations de la formation restreinte rendues depuis le RGPD, et compté celles qui retiennent un manquement aux deux obligations de l'incident : notifier l'autorité (article 33) et informer les personnes (article 34).

Le défaut de notification n'est presque jamais sanctionné seul : il accompagne une sécurité défaillante, qui reste le cœur du dossier. Ce que la CNIL reproche après une violation, ce sont les mesures absentes, et la liste est prosaïque : sur les 31 sanctions pour défaut de sécurité, 22 visent les mots de passe, 10 la journalisation, 10 des habilitations trop larges, 7 des données accessibles sans authentification. Notifier ne crée pas le risque, il est déjà dans le système. L'article 34, lui, remonte : 3 de ses 4 sanctions datent de 2026, dont deux pour un même incident chez deux sociétés d'un même groupe. L'effectif est minuscule, mais l'information des personnes n'est plus la formalité qu'on expédie en fin de crise.

Déposer plainte, prévenir l'assureur, tracer les décisions

Le dépôt de plainte n'est pas une formalité symbolique. Il ouvre une enquête, il est souvent exigé par les assureurs pour déclencher la prise en charge, et il inscrit officiellement l'entreprise comme victime, ce qui compte si des données volées resurgissent plus tard. On peut passer par le guichet 17Cyber, un commissariat ou une brigade de gendarmerie. En parallèle, la déclaration de sinistre à l'assureur cyber suit ses propres délais contractuels, souvent courts : mieux vaut relire la police avant l'incident que la découvrir pendant.

Tout au long de la crise, on tient un journal d'incident : qui a fait quoi, à quelle heure, sur quelle décision. Ce document, tenu au fil de l'eau, sert à la plainte, à l'assureur, à la CNIL et à l'analyse d'après. Il évite aussi les récits contradictoires quand, trois semaines plus tard, chacun raconte la crise à sa façon. La constitution d'une petite équipe de crise, avec un référent technique, un référent juridique et un référent communication, rend ce suivi possible sans que tout repose sur une seule personne débordée.

Communiquer sans aggraver la situation

Le silence total et la communication précipitée sont deux pièges. Se taire pendant qu'un ransomware paralyse la production, et laisser les clients l'apprendre par la rumeur, entame durablement la confiance. À l'inverse, annoncer trop tôt un périmètre qu'on révise ensuite à la hausse donne l'image d'une entreprise qui ne maîtrise rien. La règle tenable : communiquer des faits établis, à des interlocuteurs identifiés (salariés, clients concernés, partenaires), au rythme où l'analyse les confirme.

Quand la violation touche des personnes avec un risque élevé, les informer relève de l'obligation de l'article 34 vue plus haut. Un message honnête, qui explique ce qui s'est passé, ce que vous faites et ce que la personne doit faire de son côté (changer un mot de passe, surveiller un compte), protège mieux votre réputation qu'un communiqué juridique illisible. Si l'attaque a transité par une usurpation de votre marque ou de vos adresses, notre article sur le phishing et celui sur le ransomware détaillent les scénarios les plus courants côté PME.

Comprendre comment on a été piraté

Une fois la crise endiguée, une question demeure, et c'est la seule qui empêche la récidive : par où est-il entré ? Tant qu'on ignore le point d'entrée, on remet en service un système qui sera repris par le même chemin. Les portes récurrentes sont connues : un identifiant valide acheté après une fuite, un service exposé sur Internet et pas à jour, un mail piégé qui a livré un accès, un secret laissé dans un dépôt de code. Les étapes d'une intrusion reviennent souvent dans le même ordre ; les délais, eux, varient de quelques heures à plusieurs mois. Le tableau ci-dessous est un exemple construit pour illustrer cet ordre, pas une mesure.

Reconstituer cette chronologie relève de l'investigation post-incident. C'est aussi là qu'un regard offensif est utile : refaire le chemin de l'attaquant sur la surface exposée révèle la faille d'entrée bien mieux qu'une lecture de journaux seule. Un test d'intrusion en entreprise mené après incident valide que la brèche est refermée et cherche les portes voisines que l'attaquant n'a pas encore poussées. Le budget d'un tel exercice est détaillé dans notre article sur le prix d'un test d'intrusion.

La remédiation ne s'arrête pas à la faille exploitée. Après un incident, on rejoue l'ensemble via une gestion des vulnérabilités : inventaire de ce qui est exposé, correction priorisée, et surveillance continue de la surface d'attaque externe pour ne pas rouvrir la porte sans le voir. C'est ce que couvre un service de surveillance de surface d'attaque externe, avec un module dédié à la détection de fuites et de secrets exposés. La reprise d'activité, elle, se prépare en amont : c'est l'objet d'un plan de reprise d'activité et d'un plan de remédiation écrits avant la crise.

La mesure derrière ces chiffres

Les sanctions viennent du fonds CNIL de la DILA, celui qui alimente Légifrance, reconstitué au 6 octobre 2026 : 87 délibérations de la formation restreinte rendues depuis le 25 mai 2018 qui prononcent une mesure, hors liquidations d'astreinte et non-lieu. Un manquement compte s'il figure dans le dispositif, pas s'il est seulement discuté. Les griefs techniques des 31 décisions qui retiennent l'article 32 ont été codés à la main, puis recodés en partie par une contre-expertise indépendante (125 cases concordantes sur 128). Les délais viennent de l'API publique de Have I Been Pwned, interrogée sans clé le 7 octobre 2026.

À retenir

• Préserver avant de nettoyer : isoler du réseau sans éteindre, capturer journaux et éléments volatils. Réinstaller trop vite détruit les preuves de l'attaque.
• Contacter les bons interlocuteurs : support IT, puis CERT-FR (cert-fr@ssi.gouv.fr, 3218), police via 17Cyber, CNIL et assureur.
• Notifier la CNIL sous 72 heures dès que des données personnelles sont touchées et que la violation présente un risque (article 33 du RGPD), informer les personnes si le risque est élevé (article 34). Sur 11 sanctions qui visent ces obligations, 10 sanctionnent aussi la sécurité : c'est elle qui fait le dossier.
• Ne pas payer la rançon par réflexe : aucune garantie, et l'effort est mieux placé sur la restauration et la remédiation.
• Trouver le point d'entrée : sans cela, on remet en service un système qui sera repris par le même chemin.

Reste la question technique : par où l'attaquant est-il passé, et la brèche est-elle vraiment refermée. Si vous voulez cartographier votre point d'entrée et votre surface exposée après un incident, parlons-en : c'est le genre de terrain où un regard offensif fait gagner du temps.

Questions fréquentes sur la réaction à un piratage