Il est 8h14 ce lundi matin dans les bureaux d’une PME de 80 salariés spécialisée dans la distribution de matériel médical. Comme d’habitude, le service commercial se connecte pour préparer les devis de la semaine. Cependant, un message inhabituel s’affiche sur tous les écrans allumés :

« Vos fichiers ont été chiffrés. Pour récupérer vos données, versez 3 bitcoins dans les 72 heures. »

En quelques minutes, l’entreprise comprend que tout est bloqué. Les serveurs deviennent inaccessibles, la facturation est désormais impossible, et une vague d’appels de clients furieux qui ne peuvent plus passer commande submerge le service client. Cette histoire n’a rien d’exceptionnel. Elle illustre parfaitement ce que vit de nos jours une PME sur trois confrontée à une cyberattaque. Mais comment réagir dans un tel moment de panique ? Et surtout, comment se préparer pour limiter les dégâts ?

Etape 1. L’avant-crise : se préparer minutieusement

Si cette PME avant attendu le jour de l’attaque pour réfléchir à un plan, elle aurait perdu un temps précieux. Car ce qui fait la différence, c’est l’anticipation.

• Cartographier ses actifs critiques : savoir où sont les données sensibles (clients, contrats, données RH…)
• Prévoir une cellule de crise : direction générale, DSI, DPO, service juridique, service communication. Quand tout le monde sait quoi faire, on évite les flottements.
• Mettre en place des sauvegardes isolées : stockées en ligne, testées régulièrement.
• Former les salariés : dans 9 cas sur 10, l’attaque démarre par un simple clic sur un mail piégé.
• Tester son plan : par exemple, simuler une panne totale du système le temps d’une matinée pour voir si l’entreprise peut continuer à fonctionner.

Dans notre histoire, notre PME avait au moins une sauvegarde hebdomadaire testée la veille. Cela lui donnera une longueur d’avance.

Etape 2. Le jour J : gérer l’incident sans paniquer

Quand le ransomware frappe, chaque décision compte. La PME active immédiatement sa cellule de crise.

Les bons réflexes :

• Isoler les systèmes contaminés : couper le serveur infecté, débrancher certains postes du réseau.
• Evaluer l’ampleur : quelles machines sont touchées, quelles données sont chiffrées, combien de clients sont impactés…
• Conserver les preuves : captures d’écran et journaux d’évènements. Elles serviront de preuves aux experts et éventuellement aux assurances.

Communiquer rapidement :

• En interne : « ne rallumez pas vos ordinateurs, attendez les instructions du service IT« .
• En externe : prévenir les clients que la panne est en cours de traitement pour éviter les rumeurs. Si l’incident constitue un risque élevé pour la vie privée des personnes concernées, vous devez également notifier l’incident aux personnes concernées.
• Respecter la loi : si des données sont concernées, vous devez notifier à la CNIL dans les meilleurs délais, au plus tard dans les 72 heures en utilisant le téléservice de notifications de violations.

Dans notre PME victime et fictive, le réflexe d’isoler le réseau dès la première heure a limité la propagation. Mais faute de plan clair, la communication avec les clients a tardé… créant frustration et perte de confiance.

Etape 3. La sortie de crise : remettre l’entreprise sur pied

Deux jours plus tard, grâce à ses sauvegardes, la PME parvient à restaurer ses systèmes sans payer la rançon. Mais le travail ne s’arrête pas là.

Les points clés à traiter :

• Analyse des causes : le phishing venait d’un mail imitant un fournisseur régulier.
• Correction technique : durcir les filtres de messagerie, renforcer l’authentification multi-facteurs.
• Retour d’expérience : revoir le plan de crise, combler les manques identifiés (par exemple, clarifier qui parle aux clients).
• Accompagnement humain : plusieurs salariés se sont sentis coupables ou dépassés. Un debriefing collectif a aidé à apaiser les tensions.
• Communication pour rassurer : informer les clients et partenaires des mesures prises pour éviter un nouvel incident.

Ici, le choix de ne pas payer la rançon a été rendu possible par la préparation en amont (sauvegardes solides). Une entreprise non préparée aurait probablement cédé au chantage.

Les leçons à retenir de cette histoire

A travers cet exemple concret, on voit qu’une crise cyber n’est pas seulement une affaire de technique. C’est un test grandeur nature de l’organisation et de la communication d’une entreprise.

Quelques règles simples à retenir :

• Préparer un plan clair, écrit et testé
• Maintenir des sauvegardes régulières et hors ligne
• Former les collaborateurs au phishing et aux réflexes de base
• Prévoir une communication d’urgence (interne et externe)
• Tirer systématiquement les enseignements d’un incident.

Bonnes pratiques à mettre en place :

Pour rester pragmatique, voici quelques points simples qui font vraiment la différence :

• Avoir sous la main un annuaire d’urgence avec tous les contacts clés
• Simuler régulièrement des crises pour tester les réflexes
• Mettre en place une procédure de communication de secours
• Consigner chaque incident, même mineur, pour détecter des tendances
• Prévoir un budget dédié à la sécurité et aux réponses aux incidents

La cybersécurité n’est plus une option réservée aux grands groupes. C’est une assurance de survie pour toutes les entreprises, petites ou grandes. Chaque action préparée aujourd’hui peut vous éviter des jours d’arrêt, des pertes financières massives et une réputation durablement abîmée.