Cyberattaque : que faire dans les 48 premières heures ?

Votre entreprise est-elle prête à réagir dans les premières heures d’une cyberattaque ? Échangez avec un chargé d’affaires BNP Paribas Entreprises pour faire le point sur vos dispositifs de prévention, de continuité d’activité et de protection financière.

Une cyberattaque doit être gérée comme une situation de crise, et pas seulement comme un incident informatique. Il est recommandé notamment de coordonner rapidement les dimensions techniques, opérationnelles, financières et juridiques de la réponse.

0 à 2 heures : que faire immédiatement après une cyberattaque ?

Dans les deux premières heures, une PME doit isoler les systèmes touchés, prévenir son support informatique et organiser le pilotage de la crise. La priorité est de limiter la propagation de l’attaque sans altérer les éléments utiles à son analyse.

Déconnecter les équipements touchés

Les équipements compromis doivent être isolés du réseau afin d’éviter que l’attaque ne se propage à d’autres postes ou systèmes.

Il faut parallèlement éviter les manipulations susceptibles d’effacer des éléments utiles à l’analyse de l’incident. Emails frauduleux, journaux de connexion, fichiers ou équipements concernés doivent être préservés autant que possible.

Prévenir immédiatement les bons interlocuteurs

Le service informatique, le prestataire IT ou le référent cyber doit être prévenu sans délai. Selon l’ampleur de l’incident, la direction peut également réunir une cellule de crise associant les fonctions concernées : finance, juridique, communication, ressources humaines ou métiers.

Il est également recommandé de consigner les événements, les décisions et les actions menées afin de conserver une chronologie précise de la crise.

2 à 6 heures : sécuriser les paiements et préserver les preuves

Après avoir contenu l’attaque, l’entreprise doit vérifier les flux financiers sensibles, contrôler les accès potentiellement compromis et préserver les éléments nécessaires à l’analyse ou au dépôt de plainte.

Contrôler les paiements et les accès sensibles

Si une messagerie, des identifiants ou des données financières ont été compromis, les opérations inhabituelles doivent être vérifiées en priorité : changement de RIB, nouveau bénéficiaire, demande urgente de paiement ou virement inhabituel.

Des dispositifs de sécurisation des virements et de prévention de la fraude permettent de renforcer les contrôles sur ces opérations sensibles. Si des informations permettant d’effectuer des transferts de fonds ont pu être compromises, la banque doit être alertée rapidement.

Vérifier les messageries compromises

Une boîte mail piratée peut permettre à un attaquant d’observer les échanges, de récupérer des informations sensibles ou d’envoyer de fausses instructions en se faisant passer pour un interlocuteur connu.

En cas de doute, les bonnes pratiques liées aux emails piratés et au phishing peuvent aider à identifier les risques et les réflexes à adopter.

Préserver les preuves et déposer plainte

Les éléments susceptibles d’aider à comprendre l’attaque doivent être conservés avant toute opération de remédiation : emails, captures, fichiers, journaux techniques ou équipements concernés. Cybermalveillance.gouv.fr recommande de déposer plainte en fournissant les éléments disponibles, idéalement avant les opérations susceptibles d’altérer les preuves. La loi LOPMI prévoit que, pour certaines indemnisations liées à une cyberattaque, l’entreprise doit avoir porté plainte dans les 72 heures suivant le moment où elle a eu connaissance de l’atteinte. Un délai à intégrer dès les premières heures de gestion de crise. 

6 à 24 heures : Les déclarations effectuer après une cyberattaque 

Dans les heures qui suivent, l’entreprise doit mesurer l’impact de l’incident et déterminer les démarches à engager. Selon la situation, il peut être nécessaire de prévenir l’assureur, de notifier une violation de données à la CNIL et d’activer les dispositifs de continuité d’activité.

Déclarer la cyberattaque à son assureur

Si l’entreprise dispose d’une assurance cyber, elle doit vérifier les conditions et délais de déclaration prévus par son contrat.

Selon les garanties souscrites, une assurance cyber peut contribuer à la prise en charge de certains frais techniques, de l’accompagnement de crise ou des pertes d’exploitation. Des solutions BNP Paribas Entreprises comme l’accompagnement proposé avec Stoïk associent prévention, assistance et couverture des conséquences d’un incident.

Déterminer si la CNIL doit être informée

Lorsqu’une cyberattaque entraîne une violation de données personnelles, l’entreprise doit la documenter et en évaluer les conséquences. Si cette violation présente un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures suivant sa découverte. Une première notification peut être complétée lorsque toutes les informations ne sont pas encore disponibles.

Activer le Plan de Continuité d’Activité

Si certains outils ou systèmes restent indisponibles, l’entreprise doit déterminer quelles activités doivent être maintenues en priorité : production, facturation, paiements, relation client ou accès aux données critiques.

Le Plan de Continuité d’Activité (PCA) permet d’identifier ces fonctions essentielles, de prévoir un fonctionnement en mode dégradé et de préparer la reprise.

24 à 48 heures : communiquer et reprendre l’activité

Dans les 24 à 48 heures suivant une cyberattaque, l’entreprise doit adapter sa communication à l’impact réel de l’incident et préparer une reprise progressive de ses systèmes. Le redémarrage doit être contrôlé afin d’éviter une nouvelle compromission.

Informer les clients et les personnes concernées

La communication dépend de la nature de l’incident et de ses conséquences. Clients, collaborateurs, fournisseurs ou partenaires peuvent devoir être informés lorsque la situation affecte leurs données, leurs échanges ou la continuité du service.

Lorsqu’une violation de données personnelles présente un risque élevé pour les personnes concernées, le RGPD prévoit également leur information dans les meilleurs délais. Cette obligation doit être distinguée d’une communication de crise plus générale.

Redémarrer les systèmes progressivement

Les systèmes ne doivent pas être reconnectés simplement parce qu’ils semblent de nouveau accessibles. Les vulnérabilités identifiées doivent d’abord être corrigées et les outils critiques rétablis progressivement.

Une surveillance renforcée lors du redémarrage permet de détecter une éventuelle persistance de l’attaque et de limiter le risque de nouvelle compromission.

Tirer les premiers enseignements de l’incident

Une cyberattaque révèle souvent des fragilités jusqu’alors peu visibles : accès insuffisamment protégés, procédures de paiement trop souples, sauvegardes difficiles à restaurer ou responsabilités mal définies.

Travailler sa cyber-résilience permet d’améliorer les dispositifs de prévention, de réaction et de reprise après une attaque. L’objectif n’est pas seulement de redémarrer, mais de réduire l’impact d’un prochain incident.

Renforcer la protection de votre entreprise

Prévention de la fraude, continuité d’activité, assurance cyber ou accompagnement en cas d’incident : BNP Paribas Entreprises propose des solutions pour aider les PME à mieux anticiper et gérer le risque cyber.

Découvrir les solutions de cybersécurité et d’assurance

FAQ - Comment mieux préparer une PME à une cyberattaque ?

Une PME doit-elle préparer un plan de crise cyber avant toute attaque ?

Oui. Même sans équipe cybersécurité dédiée, une PME doit savoir qui prend les décisions, quels interlocuteurs contacter, quels outils sont indispensables et comment fonctionner lorsque certains systèmes deviennent indisponibles.

Comment savoir si les sauvegardes fonctionneront en cas de cyberattaque ?

Une sauvegarde n’est réellement utile que si elle peut être restaurée et si elle n’a pas été compromise avec le système principal. Des tests réguliers de restauration permettent de vérifier sa disponibilité et le temps nécessaire pour reprendre l’activité.

Quels contacts faut-il préparer avant une cyberattaque ?

Une liste de contacts d’urgence peut réunir le prestataire informatique ou référent cyber, l’assureur, la banque, les responsables internes, les interlocuteurs juridiques et les autorités ou services compétents. Cette liste doit rester accessible même si les outils informatiques habituels ne le sont plus.

Comment identifier les outils à rétablir en priorité ?

Les outils prioritaires sont ceux dont l’indisponibilité empêche l’entreprise de produire, vendre, facturer, payer ou servir ses clients. Leur identification doit idéalement être réalisée en amont dans le cadre du Plan de Continuité d’Activité.

Peut-on préparer sa communication de crise à l’avance ?

Oui. L’entreprise peut préparer les responsabilités, les canaux de communication et des trames de messages avant tout incident. Le contenu diffusé devra ensuite être adapté à la nature de la cyberattaque, aux informations disponibles et aux publics réellement concernés.