Un rançongiciel peut chiffrer les fichiers, perturber l’activité et s’accompagner d’un vol de données. Ce guide s’adresse aux professionnels et prépare les réflexes de crise ainsi que la lecture des limites d’assurance.
La réponse utile
En cas d’attaque suspectée, alertez rapidement votre prestataire ou le service d’assistance et isolez les équipements concernés selon leurs consignes. Préservez les traces. Cybermalveillance.gouv.fr déconseille de payer la rançon [1]. Aucun contrat ne doit être présenté comme une promesse de récupération des fichiers.
Guide documentaire — France. Sources consultées le 12 octobre 2026. Pas de devis ni de recommandation juridiquement définitive.
1. Organiser la première réponse
Les recommandations officielles prévoient l’isolement des équipements du réseau, la conservation des preuves et le recours à une assistance compétente [1]. Évitez les manipulations improvisées susceptibles d’effacer les traces ou de propager l’attaque. Distinguez isoler la connexion et arrêter ou réinstaller un appareil : demandez une consigne adaptée à la situation.
Préparez hors ligne les coordonnées du prestataire, de l’assureur et des responsables de l’entreprise. Répartissez les rôles : coordination technique, relation clients, suivi des démarches et conservation des documents. Un compte de messagerie compromis ne doit pas être votre seul moyen de communiquer pendant la crise.
2. Distinguer les obligations et leurs délais
| Démarche | Ce qu’il faut retenir |
|---|---|
| Déclaration à l’assureur | Suivre les délais, contacts et conditions du contrat ; conserver la preuve de déclaration |
| Plainte auprès des autorités | L’article L12-10-1 conditionne certaines indemnisations professionnelles à une plainte sous 72 h après connaissance de l’attaque [2] |
| Violation de données personnelles | Documenter ; notifier la CNIL si risque pour les droits et libertés, si possible sous 72 h après connaissance [3] |
Le point de départ et l’objet des démarches doivent être compris séparément. Une notification à la CNIL n’est pas un dépôt de plainte. Si un risque élevé pour les personnes est établi, leur information peut aussi être requise. Faites accompagner l’analyse sans attendre de disposer de toutes les conclusions techniques pour préparer les premières démarches.
3. Lire les limites de la cyberassurance
Recherchez les clauses d’assistance, d’investigation, de restauration, de frais et d’interruption d’activité. Repérez les plafonds par poste, la franchise et les accords préalables nécessaires. Les conditions peuvent encadrer le choix de l’intervenant ou exclure certains incidents, systèmes et dépenses.
Ne supposez jamais que la rançon est couverte ou qu’elle doit être payée. Les conseils officiels déconseillent le paiement [1] ; payer ne garantit pas la restauration ni l’absence de réutilisation des données. Les dépenses de crise, la reconstitution des fichiers et les pertes commerciales doivent être examinées selon leurs propres clauses.
4. Préparer une reprise contrôlée
- Faire vérifier les systèmes avant de reconnecter ou restaurer.
- Conserver les éléments nécessaires à l’enquête et au dossier d’assurance.
- Identifier une sauvegarde utilisable et tester la restauration.
- Revoir les accès, mots de passe et points de compromission avec le prestataire.
- Tenir une chronologie des décisions, coûts et interruptions.
Exemple fictif : une petite agence dispose d’une copie de ses fichiers, mais cette copie était connectée au système attaqué. Elle ne peut pas présumer qu’elle est saine. Elle fait examiner les copies disponibles, restaure dans un environnement contrôlé et documente les démarches. L’existence d’un contrat cyber ne permet pas de promettre un délai de reprise.
Après la crise, utilisez le retour d’expérience pour renforcer sauvegardes, accès, mises à jour et consignes. Cette amélioration de la continuité constitue une démarche distincte de l’instruction d’une demande d’indemnisation.
Questions fréquentes
Dois-je réinstaller immédiatement les postes ?
Demandez d’abord une consigne technique et préservez les traces utiles. Une réinstallation précipitée peut effacer des preuves.
Un rançongiciel impose-t-il toujours une notification CNIL ?
Il faut examiner la violation de données personnelles et le risque. La documentation est nécessaire ; les conditions de notification doivent être évaluées.
Le paiement assure-t-il la récupération des données ?
Non. Cybermalveillance.gouv.fr déconseille de payer ; aucun résultat ne doit être promis.
Sources officielles et portée
- Cybermalveillance.gouv.fr — rançongiciels, conseils aux organisations
- Légifrance — Code des assurances, article L12-10-1
- CNIL — notifier une violation de données personnelles
Les numéros entre crochets renvoient aux références ci-dessus. Les grilles, questions et exemples fictifs sont des aides éditoriales de lecture ; ils ne reproduisent pas un contrat et ne tranchent pas une situation individuelle. Aucun examen par un juriste ou un assureur n’est revendiqué. Voir notre méthodologie.