Cyberattaque : que faire dans les 24 premières heures ?

Les premières heures d'une cyberattaque déterminent en grande partie son coût final. Les décisions prises dans l'urgence, souvent par des personnes qui n'ont jamais vécu d'incident, peuvent limiter les dégâts ou les aggraver. Voici une feuille de route pour les 24 premières heures, à adapter à votre organisation et à imprimer avant d'en avoir besoin.

D'abord, ne pas aggraver la situation

• Isoler plutôt qu'éteindre. Débranchez le câble réseau et coupez le Wi-Fi des machines touchées, mais évitez de les éteindre brutalement : la mémoire vive contient des traces utiles à l'enquête.

• Ne pas payer dans l'urgence. Le paiement d'une rançon ne garantit ni la récupération des données ni leur non-publication. C'est aussi la recommandation constante des autorités.

• Changer de canal de communication. Si la messagerie est compromise, l'attaquant peut lire vos échanges de crise. Coordonnez-vous par téléphone ou par une messagerie indépendante du système d'information.

• Ne rien effacer, ne rien restaurer sur les machines infectées tant que l'origine de l'attaque n'est pas comprise.

Heure 0 à 2 : qualifier et contenir

• Réunir une cellule de crise restreinte : un décideur, le responsable informatique, le prestataire, le juridique, la communication.

• Ouvrir un journal de bord horodaté : qui constate quoi, qui décide quoi, à quelle heure. Il servira pour l'assurance, la plainte et les notifications.

• Délimiter le périmètre : postes, serveurs et comptes touchés, et nature de l'attaque (rançongiciel, compromission de messagerie, fuite de données).

• Contenir : isoler les segments réseau concernés, couper les accès distants (VPN, bureau à distance), bloquer les flux sortants suspects.

• Protéger les sauvegardes : déconnecter ce qui peut l'être et vérifier que la copie hors ligne ou immuable est intacte.

• Réinitialiser les comptes compromis, en priorité les comptes à privilèges, depuis un poste sain.

Heure 2 à 12 : préserver les preuves et se faire aider

• Collecter les journaux avant qu'ils ne soient écrasés : pare-feu, annuaire, VPN, messagerie, EDR. Conserver la note de rançon et les captures d'écran.

• Prévenir l'assureur si vous êtes couvert : les contrats cyber imposent souvent des délais de déclaration courts et parfois des prestataires agréés.

• Porter plainte auprès des services de police ou de gendarmerie compétents.

• Faire appel à un prestataire de réponse à incident. En France, la plateforme cybermalveillance.gouv.fr oriente les TPE et PME, et l'ANSSI qualifie des prestataires de réponse aux incidents. Au Maroc, le maCERT de la DGSSI est l'interlocuteur national.

Heure 12 à 24 : obligations et communication

• Données personnelles. Si des données personnelles sont concernées, le RGPD impose de notifier la CNIL dans les 72 heures après en avoir pris connaissance, sauf si la violation ne présente pas de risque pour les personnes, et d'informer celles-ci en cas de risque élevé. Au Maroc, vérifiez vos obligations au titre de la loi 09-08 avec la CNDP.

• Entités régulées. Les organisations concernées par la directive NIS2 doivent, selon la transposition nationale, adresser une alerte précoce sous 24 heures, une notification sous 72 heures et un rapport final sous un mois. Au Maroc, les entités soumises à la loi 05-20 doivent déclarer leurs incidents à la DGSSI.

• Communication. Un seul porte-parole, des messages factuels, des consignes claires aux salariés. Prévenez clients et partenaires s'ils risquent d'être ciblés à leur tour, par exemple par des courriels frauduleux envoyés en votre nom.

Après 24 heures : reconstruire proprement

Ne remettez rien en service avant d'avoir identifié le point d'entrée de l'attaquant : sinon, il reviendra. Reconstruisez à partir de sources saines, changez l'ensemble des mots de passe et secrets, renforcez la surveillance pendant plusieurs semaines, puis organisez un retour d'expérience pour corriger les causes.

Se préparer avant que cela arrive

• Un plan de réponse à incident écrit, avec une fiche réflexe imprimée et les contacts utiles stockés hors du système d'information.

• Des sauvegardes testées, avec au moins une copie hors ligne ou immuable : voir notre guide sur la règle 3-2-1-1-0.

• Un exercice de crise par an, même sur table, pour que chacun connaisse son rôle.

• Une supervision qui détecte les signaux faibles avant le chiffrement : connexions anormales, comptes créés, journaux effacés. Notre article sur les règles de corrélation Wazuh montre comment s'y prendre.

Gazeltech accompagne les organisations dans la préparation à la gestion de crise cyber, de la rédaction du plan à l'exercice. Contactez-nous pour en parler.