Piratage informatique: qui contacter et quoi faire dans la premiere heure

Quand un piratage informatique est suspecte, la premiere erreur consiste a paniquer et a tout effacer. La deuxieme consiste a attendre "pour voir". Entre les deux, il existe une methode simple : isoler, documenter, contacter les bons interlocuteurs et proteger les acces critiques.

Pour une PME, un independant ou une equipe web, le bon reflexe n est pas de chercher un coupable dans la minute. Il faut d abord limiter la propagation, conserver les preuves exploitables et organiser une reponse propre. C est ce qui permet de reprendre l activite sans aggraver la perte de donnees ou le risque juridique.

Reconnaître un incident avant qu il ne s aggrave

Un piratage ne se manifeste pas toujours par un ecran spectaculaire. Les signes peuvent etre plus discrets : connexion impossible, mot de passe change, emails envoyes sans votre accord, fichiers renommes, extension inconnue, ordinateur lent, redirection web, alerte bancaire ou notification de connexion depuis un pays inhabituel.

Sur un site web, les signaux sont souvent differents : pages modifiees, faux formulaires, redirections SEO suspectes, comptes administrateurs ajoutes, fichiers inconnus sur l hebergement, chute brutale de confiance navigateur ou emails clients signalant une arnaque. Dans ces cas, il faut considerer l environnement complet : site, hebergement, messagerie, DNS et comptes d administration.

Le doute suffit a declencher une premiere mise en securite. Attendre une preuve parfaite peut laisser le temps a l attaquant de chiffrer, voler, supprimer ou propager. La priorite est donc de reduire le risque sans detruire les traces utiles.

La premiere heure : isoler sans effacer

Si un ordinateur semble compromis, deconnectez-le du reseau : Wi-Fi coupe, cable reseau retire. Ne formatez pas, ne reinstallez pas et ne supprimez pas les fichiers avant avis technique. Un effacement trop rapide peut faire disparaitre des preuves utiles pour comprendre l attaque.

Si un compte en ligne est compromis, changez le mot de passe depuis un appareil sain, activez ou reinitialisez la double authentification, deconnectez les sessions actives et verifiez l adresse email de recuperation. Si la messagerie est touchee, controlez les regles de transfert et les filtres caches.

Si un site web est deface ou redirige, contactez l hebergeur ou le prestataire qui gere le site. Demandez une mise en quarantaine, une copie des logs et un gel des acces douteux. Couper proprement vaut mieux que supprimer au hasard.

Si la banque, la messagerie ou les reseaux sociaux sont touches

Un piratage de messagerie est souvent prioritaire, car l email sert a reinitialiser les autres comptes. Reprenez d abord ce compte depuis un appareil sain, changez le mot de passe, verifiez les options de recuperation, supprimez les regles de transfert suspectes et controlez les appareils connectes. C est la cle de voute de beaucoup d identites numeriques.

Si vous constatez une operation bancaire suspecte, contactez rapidement votre banque via un canal officiel. Ne rappelez pas un numero reçu par SMS ou email. Bloquez la carte si necessaire, contestez les operations et conservez les messages frauduleux. La rapidite compte, mais la verification du canal compte autant.

Pour les reseaux sociaux, utilisez les procedures de recuperation de compte de la plateforme, changez le mot de passe, activez la double authentification et prevenez vos contacts si des messages frauduleux ont ete envoyes. Une usurpation visible peut nuire a la confiance de vos clients autant qu a votre securite.

Appeler le bon relais technique

Le premier relais est souvent votre prestataire informatique, votre agence web, votre hebergeur, votre administrateur systeme ou votre responsable securite. Donnez des faits simples : heure de detection, symptomes, machines touchees, comptes concernes, actions deja faites, sauvegardes disponibles.

Si vous n avez pas de prestataire, les services publics comme Cybermalveillance.gouv.fr et 17Cyber orientent les victimes et fournissent des recommandations. Pour une entreprise, cette orientation peut aider a trouver un prestataire specialise et a eviter les mauvais gestes techniques.

Pour approfondir ce point, consultez fonctionne un réseau informatique, du routeur au, qui traite plus précisément de comment fonctionne un réseau informatique, du routeur au dns.

Pour une attaque en cours sur une infrastructure critique, un ransomware ou une fraude significative, impliquez vite la direction. Une cyberattaque est rarement seulement un probleme informatique : elle touche la continuite d activite, les clients, les contrats, la communication et parfois le droit.

Signaler : police, plateformes et organismes utiles

Le signalement depend du fait observe. Une escroquerie, une extorsion ou une intrusion peut justifier un depot de plainte. Un contenu ou comportement illicite en ligne peut relever de PHAROS. Un email frauduleux ou phishing peut etre transmis a Signal Spam ou aux dispositifs officiels indiques par les autorites.

La plainte ne remplace pas la remediation technique. Elle sert a documenter l infraction, ouvrir une voie officielle et parfois faciliter des demarches d assurance ou de banque. Gardez captures d ecran, horaires, adresses, emails, numeros, fichiers suspects et journaux disponibles. Ces elements forment le dossier incident.

Si des donnees personnelles sont compromises, la CNIL doit etre integree a l analyse. Une violation de donnees peut devoir etre notifiee sous 72 heures apres en avoir pris connaissance, selon le risque pour les personnes. Ce point ne doit pas etre repousse a la fin de la crise.

RGPD : quand faut-il penser violation de donnees ?

Une violation de donnees personnelles ne se limite pas a un fichier client publie en ligne. Elle peut aussi concerner un acces non autorise a une boite mail, une base de prospects, un CRM, un espace client, une sauvegarde, un fichier RH ou un formulaire de contact compromis.

La question a poser est concrete : des donnees permettant d identifier des personnes ont-elles ete consultees, copiees, modifiees, supprimees ou rendues indisponibles sans autorisation ? Si oui, il faut evaluer le risque pour les personnes : usurpation, fraude, divulgation, discrimination, perte de confidentialite.

Documentez l analyse, meme si vous concluez qu une notification n est pas necessaire. Notez les donnees concernees, le nombre approximatif de personnes, la cause probable, les mesures prises et la decision. Cette trace montre que le sujet a ete traite avec methode, pas ignore.

Ce qu il ne faut pas faire

Ne payez pas une rancon sans accompagnement et sans analyse. Le paiement ne garantit ni le retour des donnees ni l absence de fuite. Il peut aussi encourager les attaquants. La priorite est de mesurer l etendue de l incident, restaurer depuis des sauvegardes saines et securiser les acces.

Ne changez pas tous les mots de passe depuis la machine suspecte. Si un malware capture les frappes, vous donnez les nouveaux secrets a l attaquant. Utilisez un appareil sain, un reseau fiable et commencez par la messagerie principale, les comptes admin, la banque, l hebergement et les outils metier.

Ne communiquez pas trop vite une version definitive aux clients. Dites ce qui est connu, ce qui est en cours de verification et quel canal officiel utiliser. Une communication incomplete mais prudente vaut mieux qu une promesse rassurante contredite deux heures plus tard.

Restaurer sans reinfecter

La restauration doit partir de sauvegardes verifiees. Une sauvegarde connectee au moment de l attaque peut etre chiffree ou modifiee. Avant de remettre en ligne, il faut comprendre le point d entree probable : mot de passe faible, plugin vulnerable, poste infecte, compte admin vole, absence de mise a jour, cle API exposee.

Pour un site web, restaurez seulement apres avoir nettoye les acces : mots de passe, comptes administrateurs, FTP/SFTP, base de donnees, CMS, extensions, hebergement, DNS et messagerie. Sinon, la faille initiale reste ouverte et l attaque peut recommencer.

Pour un poste ou un serveur, documentez la remise en service. Quels fichiers sont restaures ? Quelle date de sauvegarde ? Quels correctifs appliques ? Quels comptes reinitialises ? Cette trace permettra de justifier les choix et de reprendre une exploitation stable.

Cas particulier : site web ou application compromise

Pour une agence, une TPE ou une PME, un site compromis peut devenir un vrai sujet business : formulaires detournes, SEO pollue, pages frauduleuses, malware servi aux visiteurs, perte de confiance, suspension publicitaire ou alertes navigateur. Il faut traiter le site comme un actif de production.

Le prestataire doit verifier les comptes administrateurs, les extensions, le theme, les fichiers ajoutes, les logs, les acces FTP/SFTP, la base de donnees, les taches planifiees et les redirections. Une simple restauration graphique peut masquer une porte derobee encore active.

Apres nettoyage, forcez la rotation des mots de passe, mettez a jour le CMS, retirez les comptes inutiles, verifiez les permissions fichiers et controlez les formulaires. Surveillez ensuite les nouvelles pages indexees et les alertes de securite pendant plusieurs jours.

Tenir un journal d incident exploitable

Un journal d incident n a pas besoin d etre complexe. Il doit repondre a quelques questions : quand le probleme a ete detecte, qui l a signale, quels systemes sont touches, quelles actions ont ete faites, qui a ete contacte, quelles preuves ont ete conservees, quelles decisions restent ouvertes.

Cette chronologie sert au prestataire, a l assureur, a la banque, a la direction et parfois aux autorites. Elle evite aussi de refaire trois fois la meme verification. Pendant une crise, la memoire collective se brouille vite ; la trace ecrite devient un outil de pilotage.

Ajoutez une colonne "a ne pas faire" si necessaire : ne pas rallumer tel poste, ne pas supprimer tel email, ne pas reutiliser tel mot de passe, ne pas communiquer hors canal officiel. Ces consignes simples evitent les erreurs de bonne foi.

Preparer l apres-crise

Une fois l urgence traitee, il faut transformer l incident en plan d amelioration. Mettez a jour les systemes, retirez les comptes inutiles, activez la double authentification, separez les comptes administrateurs, testez les sauvegardes et formalisez une procedure d alerte.

La formation compte autant que les outils. Beaucoup d incidents commencent par un email, un faux support, une piece jointe, un mot de passe reutilise ou un acces partage. Une equipe qui sait reconnaitre les signaux faibles reagit plus vite.

Enfin, decidez qui fait quoi lors du prochain incident : qui isole, qui appelle le prestataire, qui valide la communication, qui contacte la banque, qui analyse la CNIL, qui parle aux clients. Une fiche de crise d une page peut faire gagner plus de temps qu un long document jamais lu.

Assurance, prestataire et responsabilites

Si votre entreprise dispose d une assurance cyber ou d une garantie assistance informatique, contactez l assureur selon la procedure prevue au contrat. Certains contrats imposent de passer par un prestataire reference ou de declarer l incident dans un delai precis. Ne signez pas une intervention couteuse sans verifier le cadre de prise en charge.

Le prestataire technique doit recevoir un mandat clair : contenir, analyser, restaurer, securiser, documenter. Demandez un compte rendu exploitable, avec les hypotheses, les actions realisees et les mesures recommandees. Un simple "c est nettoye" ne suffit pas apres une compromission serieuse.

Si des clients, salaries ou partenaires sont affectes, preparez une communication factuelle. Elle doit indiquer ce qui est connu, les mesures prises, les gestes attendus et le canal de contact. Evitez les formulations vagues qui minimisent un risque encore en analyse.

Faire le post-mortem sans chercher un bouc emissaire

Quand l activite repart, prenez le temps d analyser l incident a froid. Quel etait le point d entree ? Quel signal a ete manque ? Quelle decision a pris trop de temps ? Quelle sauvegarde a fonctionne ? Quelle procedure etait absente ? Ces reponses valent plus qu une longue liste de reproches.

Le post-mortem doit produire des actions simples : activer la double authentification, retirer des comptes, corriger une faille, tester les sauvegardes, former l equipe, reviser les droits, preparer un contact d urgence. Chaque action doit avoir un responsable et une date.

Un incident bien traite peut renforcer l organisation. Un incident oublie devient seulement un avertissement perdu.

La bonne reponse est methodique, pas heroique

Un piratage informatique se gere rarement avec un geste miracle. Il faut contenir, comprendre, signaler, restaurer et corriger. Plus la reponse est documentee, plus il devient possible de reprendre l activite sans perdre de temps dans des suppositions.

Le bon interlocuteur depend du cas, mais le bon ordre reste stable : isoler, proteger les preuves, contacter un relais fiable, signaler si necessaire, puis remettre en service seulement apres correction. Cette discipline limite les degats techniques, financiers et juridiques.

Pour approfondir ce point, consultez Quand publier sur TikTok : partir de, qui traite plus précisément de quand publier sur tiktok : partir de votre audience plutôt que d’une heure magique.