Ransomware PME : les étapes d’urgence en cas d’attaque

02/10/2026 Par : Fortalicia
Accueil Articles blog Ransomware PME : les étapes d’urgence en cas d’attaque

Un rançongiciel chiffre les fichiers d’une entreprise et exige le paiement d’une rançon pour la clé de déchiffrement. Si un message de rançon s’affiche sur les écrans, chaque minute compte : voici la procédure d’urgence à suivre, dans l’ordre, et comment réagir face à une cyberattaque en cours.

L’essentiel
  • Dès la découverte d’un ransomware, chaque minute compte : la priorité est d’isoler les machines touchées du réseau sans les éteindre.
  • Ni l’ANSSI ni Cybermalveillance.gouv.fr ne recommandent de payer la rançon : le paiement ne garantit ni la remise d’une clé fonctionnelle, ni l’absence de publication des données déjà exfiltrées.
  • Le dépôt de plainte sous 72 heures reste une démarche indispensable, en particulier pour activer une assurance cyber.
  • Une fuite de données personnelles ouvre une obligation de notification à la CNIL, distincte de la question de la restauration technique.
  • Se faire accompagner par un expert dès le premier jour évite de restaurer un système sans vérifier qu’aucun accès persistant n’y subsiste.
Isolez immédiatement le système informatique

Ordinateur portable avec câble réseau débranché

Dès la détection de l’attaque, la priorité est de stopper sa propagation vers d’autres postes ou serveurs :

  • Déconnecter du réseau les postes et serveurs affichant le message de rançon, par câble ou Wi-Fi, ainsi que toute liaison VPN active.
  • Ne pas éteindre les machines : l’extinction peut effacer des traces utiles à l’analyse de l’attaque, et certains rançongiciels suppriment des preuves lors du redémarrage.
Identifiez l’ampleur de l’infection

Une fois la propagation stoppée, il s’agit de mesurer ce qui est réellement touché :

  • Vérifier les sauvegardes : contrôler si les copies de sécurité restent accessibles ou si elles ont, elles aussi, été chiffrées par l’attaquant.
  • Localiser la source : identifier le poste ou le compte utilisateur par lequel l’attaque a débuté, information précieuse pour l’expert qui interviendra ensuite.

Point de vigilance :
une sauvegarde connectée en permanence au réseau principal est souvent chiffrée en même temps que le reste du système. C’est le point le plus fréquemment négligé au moment de découvrir qu’elle est, elle aussi, inutilisable.

Ne payez jamais la rançon

Aucune loi française n’interdit à une entreprise de payer une rançon, mais ni l’ANSSI ni Cybermalveillance.gouv.fr ne recommandent ce choix. Le paiement ne garantit ni la remise d’une clé de déchiffrement fonctionnelle, ni l’absence de publication des données déjà exfiltrées avant le chiffrement, et il finance directement les groupes à l’origine de l’attaque, ce qui expose à de futures tentatives.

La restauration à partir de sauvegardes isolées du réseau compromis reste la voie recommandée par les autorités, à condition que ces sauvegardes existent réellement et soient testées.

Technicien travaillant sur un serveur en salle informatique

Portez plainte et déclarez l’incident

Le piratage informatique est un délit, et deux démarches légales distinctes s’imposent :

  • Dépôt de plainte auprès de la police ou de la gendarmerie, dans les meilleurs délais : cette démarche est généralement une condition pour activer une garantie d’assurance cyber.
  • Notification à la CNIL, si des données personnelles de clients ou de salariés ont été exposées : cette obligation découle de l’article 33 du RGPD et se traite indépendamment de la restauration technique du système.
Faites-vous accompagner dès le premier jour

Tenter de réparer seul un système compromis, sans vérification préalable, risque de laisser un accès persistant actif en arrière-plan. Un expert cybersécurité intervient sur deux plans :

  • Analyse et nettoyage : vérifier qu’aucun accès caché ne subsiste dans le réseau, et comprendre précisément d’où vient la compromission initiale.
  • Restauration : utiliser les sauvegardes saines pour réinstaller les outils de production, une fois la cause de l’intrusion identifiée et corrigée.

Exemple :
une PME industrielle relance sa production en quarante-huit heures grâce à une sauvegarde externalisée, isolée du réseau principal et restée non chiffrée par l’attaque.

FORTALICIA propose une ligne d’urgence cyber et un dispositif de gestion de crise dédié à ce moment précis, pour que la restauration technique et les démarches légales avancent en parallèle plutôt que dans la précipitation.

Petit groupe de collaborateurs échangeant autour d'un ordinateur portable

Garder ce numéro à portée de main avant l’attaque

Une entreprise qui découvre un ransomware n’a généralement pas le temps de chercher qui contacter. FORTALICIA propose une ligne d’urgence cyber et une gestion de crise pensées pour ce moment précis, afin que la restauration technique et les démarches légales avancent ensemble plutôt que dans l’improvisation. Contactez nos experts dès les premiers signes d’une attaque.

Questions fréquentes

Peut-on déchiffrer les fichiers sans payer la rançon ?
Pour certaines familles de rançongiciels anciennes, des outils de déchiffrement gratuits existent. Pour une attaque récente, la restauration à partir d’une sauvegarde externalisée et isolée reste la solution la plus fiable.

Comment limiter l’impact d’un ransomware ?
Une détection rapide, l’isolement immédiat des postes compromis, des sauvegardes réellement testées hors réseau, et un accompagnement spécialisé dès le premier jour réduisent nettement la durée de l’arrêt d’activité.

Combien de temps dure la remise en service après un ransomware ?
Selon l’ampleur de la compromission et la qualité des sauvegardes disponibles, une reprise d’activité peut aller de quelques heures à plusieurs jours, parfois davantage si les sauvegardes elles-mêmes ont été touchées.

Sources