Un matin, les fichiers ne s’ouvrent plus et un message réclame une somme, le plus souvent en cryptoactifs comme le bitcoin, contre un code de déchiffrement. C’est un rançongiciel (ransomware en anglais) : un logiciel malveillant qui chiffre tout ou partie d’un appareil ou de ses fichiers, puis exige un paiement. Pour une TPE ou une PME, l’ordre des gestes compte autant que leur rapidité. Voici la marche à suivre, établie à partir des fiches de Service-Public.fr, du ministère de l’Intérieur et de la CNIL.
Les premiers gestes : isoler sans éteindre
La CNIL résume la conduite à tenir en trois mots : « isolez, préservez, déclarez ! ». Concrètement, dans cet ordre :
- Coupez la machine du réseau. La CNIL conseille de retirer le câble réseau du poste infecté ou d’y désactiver le Wi-Fi. Service-Public.fr explique que déconnecter l’appareil d’internet sert à empêcher le logiciel malveillant de se propager.
- N’éteignez pas l’ordinateur. La CNIL demande de le laisser allumé afin de garder les preuves.
- Prévenez immédiatement votre service informatique ou votre prestataire. C’est la deuxième consigne de la fiche que le ministère de l’Intérieur consacre aux entreprises.
- Ne payez pas la rançon. Les trois organismes sont sur la même ligne. Selon Service-Public.fr, payer ne garantit pas de retrouver l’accès à vos fichiers, et une nouvelle somme peut vous être réclamée ensuite.
- Conservez les preuves. Le ministère cite les messages piégés, les journaux de connexion (logs), les supports ou disques durs infectés et des échantillons de fichiers chiffrés. Service-Public.fr ajoute le message de rançon et la demande de paiement. Si vous ne savez pas les recueillir, un spécialiste informatique peut s’en charger.
Se faire aider et chercher un outil de déchiffrement
Inutile de gérer la crise seul. Service-Public.fr renvoie vers l’assistance aux victimes de cybermalveillance, le 17Cyber, et la CNIL conseille elle aussi de contacter votre support informatique ou de demander de l’aide via le 17Cyber. La fiche du ministère de l’Intérieur recommande de passer par cybermalveillance.gouv.fr pour trouver des professionnels référencés ou labellisés capables d’intervenir.
Avant toute remise en route, vérifiez s’il existe une solution pour récupérer les fichiers sans payer. Le ministère invite à consulter le site nomoreransom.org, qui propose des outils de déchiffrement, et Service-Public.fr met en avant une page permettant de télécharger une solution de déchiffrement adaptée au type de rançongiciel.
Déclarer l’attaque : CNIL, plainte et signalement
Trois démarches distinctes peuvent concerner l’entreprise.
- La CNIL, sous 72 heures. Si des données de personnes physiques (employés, clients, etc.) sont touchées, la CNIL demande d’être informée. Service-Public.fr précise que le responsable du traitement doit effectuer ce signalement depuis le site de la CNIL, dans un délai de 72 heures à compter de la violation, lorsqu’il existe un risque pour la vie privée d’une ou plusieurs personnes. Des informations peuvent être ajoutées plus tard par une notification complémentaire. Le ministère conseille également d’informer les personnes dont les données peuvent être compromises.
- La plainte. Elle vise l’auteur s’il est connu, ou elle est déposée contre X. D’après Service-Public.fr, la plainte en ligne sur le téléservice THESEE n’est recevable que si une demande d’argent a été faite, même si la victime n’a pas payé. À défaut, elle se dépose au commissariat ou à la gendarmerie, ou par courrier au procureur de la République du tribunal judiciaire compétent. Vous disposez de 6 ans à partir de l’infraction pour porter plainte.
- Le signalement. THESEE permet aussi un simple signalement, mais Service-Public.fr rappelle que le signalement n’est pas une plainte et que vous ne serez pas informé des suites.
Une plainte par courrier doit comporter, selon Service-Public.fr, votre identité et vos coordonnées complètes, un récit détaillé des faits, le nom de l’auteur s’il est connu, les témoins éventuels, une estimation du préjudice et les preuves. Côté sanctions, le rançongiciel est traité comme une extorsion : son auteur encourt jusqu’à 7 ans de prison et 100 000 euros d’amende, rappellent Service-Public.fr et le ministère de l’Intérieur.
Redémarrer sur des bases saines
- Identifiez la source de l’infection pour éviter qu’elle se reproduise, puis lancez une analyse antivirus complète, conseille le ministère de l’Intérieur.
- Réinstallez les systèmes touchés et, en cas de doute, restaurez entièrement les données des postes concernés à partir d’une sauvegarde réputée saine, selon la même fiche.
- Revoyez votre politique de sauvegarde. La CNIL rappelle qu’après un rançongiciel, une panne matérielle ou un incendie, la sauvegarde est souvent le seul moyen de récupérer ses données. Elle préconise la règle du 3-2-1 : trois copies, sur deux supports différents, dont une déconnectée du réseau, avec des tests de restauration réguliers.
Les mesures de prévention à mettre en place
Selon la fiche du ministère, un rançongiciel peut entrer par une pièce jointe ou un lien piégé dans un courriel, par un site compromis consulté avec un navigateur qui n’est pas à jour, ou par une faille du système d’information. Les parades recommandées : appliquer rapidement les correctifs de sécurité du système d’exploitation et des logiciels, tenir à jour antivirus et pare-feu, ne pas ouvrir les courriels, liens ou pièces jointes suspects, éviter les applications non vérifiées ou piratées, fermer les ports inutilisés quand c’est possible, changer régulièrement de mots de passe en les choisissant complexes, sauvegarder régulièrement et éteindre les ordinateurs qui ne servent pas.
Questions fréquentes
Faut-il payer la rançon pour récupérer ses fichiers ?
Non. Service-Public.fr, la CNIL et le ministère de l’Intérieur demandent de ne pas payer : le paiement ne garantit pas la récupération des données et peut être suivi d’une nouvelle demande.
Faut-il éteindre l’ordinateur infecté ?
Non. La CNIL recommande de le couper du réseau, câble débranché et Wi-Fi désactivé, tout en le laissant allumé pour conserver les preuves.
Dans quel délai prévenir la CNIL ?
Dans les 72 heures, lorsque des données personnelles sont touchées et qu’il existe un risque pour la vie privée des personnes concernées. La notification se fait sur le site de la CNIL, qui reste l’interlocuteur pour tout cas particulier.
Peut-on porter plainte en ligne après un rançongiciel ?
Sur THESEE, la plainte n’est recevable que si une demande d’argent a été faite, indique Service-Public.fr. Sinon, elle se dépose sur place, au commissariat ou à la gendarmerie, ou par courrier adressé au procureur de la République.
Où trouver un prestataire pour remettre le système en état ?
Le ministère de l’Intérieur renvoie vers cybermalveillance.gouv.fr, qui recense des professionnels référencés ou labellisés. Le 17Cyber permet aussi d’obtenir une première assistance.
Sources
- Comment protéger votre entreprise contre les rançongiciels ? — Ma Sécurité (ministère de l'Intérieur), 2026-05-04
- Rançongiciel ou ransomware — Service-Public.fr, 2024-10-16
- Sécurité des données : les règles essentielles pour protéger les données et votre activité — CNIL, 2026-06-19