Que faire si votre entreprise est victime d’une cyberattaque ?

Quelle est l’ampleur des cyberattaques en France ?

La multiplication des cyberattaques au cours des dernières années a profondément changé la perception de la population et des entreprises face à ces menaces. Les attaques ne ciblent plus uniquement les grandes sociétés, mais touchent aussi et surtout les TPE et les PME qui sont des cibles de choix car globalement peu équipées pour affronter le risque cyber. Les méthodes des cybercriminels se sont également diversifiées, allant du simple vol de données au ransomware (rançongiciel), une attaque capable de paralyser l’accès aux systèmes informatiques et aux données critiques. 

Chaque jour en France, plus de 1000 attaques informatiques sont organisées contre des entreprises, élevant l’hexagone dans le TOP 5 des pays les plus touchés dans le monde. L’écrasante majorité des victimes sont des TPE/PME, qui ne portent plainte que dans 50% des cas ou qui, dans d’autres cas, ne s’en rendent pas compte. Et le coût de ces cyberattaques ne cesse d’augmenter, se chiffrant en milliards d’euros chaque année. Le dispositif Cybermalveillance.gouv.fr, dans son bilan 2023, tire la sonnette d’alarme compte tenu de la hausse importante en France des attaques par faux ordre de virement (+63 %), et des attaques par déni de service (+41 %). 

Cette réalité pousse les entreprises à intégrer les cybermenaces comme un risque majeur, dans l’ensemble de leurs services, et plus uniquement par leur DSI (Direction des systèmes d’information). En effet, chaque branche d’une société, des ressources humaines à celui des finances, est concernée, car une attaque peut entraîner des perturbations massives dans le fonctionnement de toute la structure. Par ailleurs, les entreprises sans service informatique interne doivent prendre rapidement des mesures de protection, car aucune organisation n’est à l’abri. Avec l’explosion des cyberattaques, il est nécessaire que les entreprises se préparent.

Que faire en cas de cyberattaque ? Les premiers réflexes :

Lorsqu’une cyberattaque survient, la rapidité d’action est essentielle pour limiter son impact :  

• Alertez immédiatement le support informatique : si votre entreprise dispose d’un service dédié ou d’un prestataire externe, avertissez-les sans délai. Ces experts sont les mieux placés pour gérer ce type de crise, et lancer les premières mesures. 

• N’éteignez pas les ordinateurs infectés : contrairement à ce que l’on pourrait penser, il est conseillé de laisser les machines touchées allumées. Cela permet aux experts d’analyser les processus en cours, de récupérer des informations cruciales sur l’attaque et d’éviter de perdre des données importantes pour l’enquête. 

• Isolez les systèmes non touchés : dans la mesure du possible, tous les ordinateurs et serveurs non affectés doivent en revanche être éteints immédiatement, et les connexions au réseau local et à Internet doivent être coupées. Éteindre un maximum d’appareils non touchés permet en effet de contenir l’attaque et d’éviter sa propagation à d’autres machines encore saines. 

• Constituez une équipe de gestion de crise : la mise en place d’une équipe dédiée, incluant différents services (informatique, RH, juridique, communication), facilite la gestion de crise. Un responsable attitré, épaulé si besoin par d’autres collaborateurs, coordonne les actions et prend les décisions nécessaires. 

• Documentez les événements : tenir un registre précis des actions entreprises et des événements observés est indispensable pour la suite de l’enquête, mais aussi pour pouvoir analyser la gestion de la crise après coup. Ce registre sera en outre d’une grande utilité vis-à-vis des autorités et de vos assureurs. 

• Préservez toutes les preuves : sauvegardez tout élément en lien avec l’attaque (emails et messages reçus, fichiers et postes infectés, journaux de connexions), et ses caractéristiques (heure, point d’entrée). Ces preuves seront déterminantes pour l’analyse de l’attaque, et pourront également servir en cas d’action en justice.

Comment agir quand la crise est terminée ?

Au sein de votre entreprise

• Réinitialisez les terminaux touchés : une fois que toutes les informations utiles ont été extraites des systèmes infectés, réinitialisez complètement tous les terminaux qui ont été compromis. Cela inclut, idéalement, la réinstallation du système d’exploitation et des logiciels pour garantir que toute trace du logiciel malveillant est effacée. Il est recommandé de restaurer ces systèmes, soit par défaut, soit à partir de sauvegardes récentes et sûres (si vous en avez), pour prévenir une persistance de la menace. 

• Enquêtez sur les failles de sécurité : réalisez une analyse « post-mortem » détaillée pour comprendre comment l’attaque a pu se produire. Cette étape doit inclure une évaluation des vulnérabilités des systèmes, des procédures internes, et des erreurs humaines éventuelles. Vous pouvez engager un expert ou consultant en cybersécurité pour vous aider à identifier ces failles et les solutions correctives, telles que le renforcement des pare-feux, et l’authentification à deux facteurs. Ce processus doit inclure l’évaluation de vos politiques de sauvegarde et récupération de données. 

• Sensibilisez à nouveau vos équipes : L’organisation d’un atelier de formation ou de sensibilisation à la cybersécurité s’impose pour prévenir les attaques futures. Cet atelier doit rappeler aux employés les bonnes pratiques : vigilance au quotidien face aux tentatives de phishing, utilisation de mots de passe forts, et l’absolue nécessité de signaler aussitôt toute activité suspecte. De préférence, l’ensemble du personnel doit être formé régulièrement aux nouvelles menaces, afin de renforcer la résilience collective de l’entreprise en matière de cyberattaque et cyberdéfense.

Auprès de vos clients 

Il faut communiquer rapidement et de manière transparente avec vos clients et partenaires après une cyberattaque. Informez-les de la nature de l’incident, des mesures prises pour le contenir, et des actions entreprises pour renforcer la sécurité de leurs données. Apportez-leur l’assurance que des solutions concrètes ont été mises en place pour éviter que cela ne se reproduise.  

Cette transparence est essentielle pour préserver la confiance et protéger la réputation de votre entreprise. Tenter de dissimuler une attaque, par crainte des répercussions auprès de vos clients, pourrait avoir l’effet inverse à celui escompté, en générant des suspicions et des inquiétudes, alors qu’une communication proactive tend à renforcer votre crédibilité.

Qui contacter ? 

• Dispositif de prévention et d’assistance aux victimes de cybermalveillance : 

Rendez-vous sur leur site dédié pour demander de l’aide à des professionnels et être aiguillé dans la résolution du problème. www.cybermalveillance.gouv.fr 

• Notification de violation de données personnelles à la CNIL : 

Vous devez également notifier la CNIL dans les 72 heures qui suivent l’attaque ainsi que les personnes concernées en cas d’atteinte grave à la vie privée. C’est la loi ! https://www.cnil.fr/fr/notifier-une-violation-de-donnees-personnelles 

• Police – gendarmerie : composez le 17 

Puis rendez-vous au commissariat ou à la gendarmerie la plus proche pour déposer plainte, également 72 heures après la connaissance de l’incident. Cela vous aidera peut-être à retrouver les pirates et vous servira de preuve auprès de votre assureur, que vous devez également contacter au plus vite. Renseignez-vous notamment auprès de celui-ci, avant toute cyberattaque, pour connaître les conditions d’indemnisation et savoir ce que vous devez faire pour être indemnisé.

Prévenir les attaques

Pour les entreprises de toute taille, l’installation d’un logiciel de sécurité est une mesure préventive incontournable. Ce type de solution professionnelle inclut des pare-feux avancés, des antivirus, ainsi que des systèmes de détection des intrusions, spécialement conçus pour protéger les infrastructures complexes. Ce type de logiciel propose par ailleurs des fonctionnalités adaptées aux environnements professionnels, comme la gestion centralisée des menaces, le chiffrement des données, et bien évidemment la protection des réseaux.