Que faire après une cyberattaque est une question qui doit être traitée avec méthode, surtout lorsque des comptes, des données personnelles, des documents professionnels ou de l’argent peuvent être concernés. Dans les premières heures, une mauvaise décision peut compliquer l’analyse de l’incident, permettre à un attaquant de conserver un accès ou entraîner la perte de preuves numériques importantes.
Lorsqu’une personne devient victime de cyberattaque, la priorité n’est donc pas de chercher immédiatement à répondre au pirate. Il faut d’abord sécuriser les accès encore disponibles, comprendre ce qui a été compromis, préserver les éléments techniques et déterminer l’origine de l’incident.
Savoir que faire après une cyberattaque permet de passer d’une situation de panique à une véritable stratégie de réponse. Qu’il s’agisse d’un compte personnel, d’une entreprise, d’une messagerie, d’un serveur, d’un téléphone, d’un réseau ou d’un portefeuille numérique, les premières actions peuvent avoir une influence importante sur la suite de l’investigation.
Une cyberattaque peut prendre des formes très différentes : vol d’identifiants, phishing, ransomware, malware, intrusion dans un système, compromission d’une boîte e-mail, fraude bancaire, vol de données ou usurpation d’identité. La réponse doit donc être adaptée à la nature de l’incident.
Que faire après une cyberattaque : comprendre immédiatement ce qui s’est passé
Avant de chercher à réparer tous les problèmes, il faut essayer de déterminer ce qui s’est réellement produit.
Une connexion inhabituelle sur un compte ne signifie pas nécessairement que l’ensemble de vos appareils a été compromis. À l’inverse, un simple changement de mot de passe peut être insuffisant si un logiciel malveillant est installé sur l’ordinateur.
La première question à se poser est donc :
Quel élément a été compromis ?
Il peut s’agir :
- d’un compte e-mail ;
- d’un compte bancaire ;
- d’un réseau social ;
- d’un ordinateur ;
- d’un smartphone ;
- d’un serveur ;
- d’un site Internet ;
- d’un compte professionnel ;
- d’une plateforme cloud ;
- d’un portefeuille de cryptomonnaies ;
- d’une base de données ;
- d’un compte administrateur.
Il faut également noter quand l’incident a été découvert, ce qui a été observé et quelles actions ont déjà été réalisées.
Par exemple, si vous avez reçu une notification indiquant une connexion depuis un appareil inconnu, conservez cette notification. Si un compte affiche des messages ou des transactions que vous n’avez pas effectués, prenez des captures d’écran avant de modifier quoi que ce soit.
Cette chronologie peut ensuite être extrêmement utile pour comprendre la séquence des événements.
Que faire après une cyberattaque quand un compte est encore accessible ?
Si vous avez encore accès au compte compromis, il faut agir rapidement mais sans supprimer les éléments susceptibles d’être utiles à l’analyse.
Commencez par modifier le mot de passe depuis un appareil que vous considérez comme fiable.
Le nouveau mot de passe doit être unique et suffisamment robuste. Il ne doit pas être réutilisé sur d’autres services.
Ensuite, vérifiez les paramètres de sécurité disponibles :
- sessions actives ;
- appareils connectés ;
- adresses e-mail associées ;
- numéros de téléphone ;
- méthodes de récupération ;
- applications autorisées ;
- connexions tierces ;
- clés de sécurité ;
- authentification à deux facteurs.
Si une session inconnue est encore active, il peut être nécessaire de la fermer.
L’authentification multifacteur doit également être activée lorsque le service la propose.
Cependant, il faut comprendre une chose essentielle : modifier le mot de passe ne signifie pas nécessairement que l’incident est terminé.
Si l’attaquant a compromis votre ordinateur ou votre téléphone, il pourrait récupérer de nouvelles informations après le changement de mot de passe.
C’est pourquoi la sécurisation du compte doit être accompagnée d’une vérification de l’environnement numérique.
Que faire après une cyberattaque si l’ordinateur semble compromis ?
Lorsqu’un ordinateur présente un comportement inhabituel après une intrusion, évitez de continuer à l’utiliser comme si de rien n’était.
Certains signes peuvent attirer l’attention :
- programmes inconnus ;
- ralentissements soudains ;
- fenêtres inhabituelles ;
- connexions inconnues ;
- fichiers modifiés ;
- antivirus désactivé ;
- extensions de navigateur inconnues ;
- nouveaux comptes utilisateurs ;
- activité réseau inhabituelle ;
- fichiers chiffrés ;
- messages envoyés sans votre intervention.
Dans une situation sérieuse, il est préférable de limiter l’utilisation de la machine concernée.
Une erreur fréquente consiste à réinitialiser immédiatement l’ordinateur ou à supprimer tous les fichiers suspects.
Cela peut effectivement résoudre certains problèmes, mais cela peut également détruire des éléments qui auraient pu permettre de comprendre l’incident.
Lorsqu’une analyse technique est nécessaire, les journaux système, fichiers, métadonnées, historiques de connexion et autres artefacts numériques peuvent avoir une valeur importante.
C’est l’une des raisons pour lesquelles que faire après une cyberattaque ne se résume pas à installer un antivirus.
Victime de cyberattaque : sécuriser les autres comptes
Un attaquant qui obtient l’accès à une boîte e-mail peut parfois tenter de compromettre d’autres services.
L’e-mail est particulièrement important parce qu’il peut être utilisé pour réinitialiser les mots de passe d’autres comptes.
Une personne victime de cyberattaque devrait donc examiner les comptes liés à l’adresse e-mail concernée.
Vérifiez notamment :
- banque ;
- réseaux sociaux ;
- services cloud ;
- messagerie ;
- plateformes professionnelles ;
- boutiques en ligne ;
- comptes administrateurs ;
- services de paiement ;
- plateformes de cryptomonnaies.
Si le même mot de passe était utilisé sur plusieurs services, il faut le remplacer partout.
Il faut également rechercher les règles de transfert automatique dans la messagerie. Un attaquant peut tenter de créer une règle qui transfère discrètement certains messages vers une autre adresse.
Ce type de configuration peut passer inaperçu pendant longtemps.
Données volées que faire : identifier les informations compromises
Données volées que faire est une autre question essentielle après une intrusion.
Toutes les données n’ont pas la même valeur ni les mêmes conséquences.
Il faut déterminer si l’incident concerne :
- nom et prénom ;
- adresse ;
- numéro de téléphone ;
- adresse e-mail ;
- mots de passe ;
- documents d’identité ;
- informations professionnelles ;
- données clients ;
- données financières ;
- informations bancaires ;
- documents confidentiels ;
- photographies ;
- conversations privées ;
- données médicales ;
- informations d’authentification.
Une liste précise permet de mieux mesurer le risque.
Par exemple, le vol d’une adresse e-mail peut entraîner davantage de conséquences si cette adresse est utilisée pour récupérer plusieurs comptes importants.
De même, le vol d’un document contenant des informations personnelles peut augmenter les risques d’usurpation d’identité.
La question données volées que faire doit donc être traitée en fonction de la nature exacte des informations exposées.
Que faire après une cyberattaque lorsqu’il y a une fraude financière ?
Lorsqu’une cyberattaque est associée à une perte financière, la situation devient particulièrement urgente.
Cela peut concerner :
- un virement bancaire non autorisé ;
- une carte bancaire utilisée frauduleusement ;
- un compte de paiement compromis ;
- un faux investissement ;
- une fraude au président ;
- une manipulation par phishing ;
- une transaction en cryptomonnaie ;
- un changement frauduleux de coordonnées bancaires.
Dans ce contexte, contactez rapidement l’établissement financier concerné par les canaux officiels.
Ne contactez pas une personne qui vous appelle en prétendant être la banque si vous avez le moindre doute sur son identité.
Conservez les informations liées à l’opération :
- date ;
- heure ;
- montant ;
- bénéficiaire ;
- référence de transaction ;
- messages reçus ;
- adresse e-mail ;
- numéro utilisé ;
- captures d’écran ;
- documents transmis.
Ces informations peuvent contribuer à reconstituer la fraude.
Si l’argent a été envoyé vers une plateforme de cryptomonnaie ou une adresse blockchain, les informations techniques liées à la transaction doivent également être conservées.
Que faire après une cyberattaque pour préserver les preuves numériques ?
Les preuves numériques peuvent disparaître ou être modifiées très rapidement.
C’est pourquoi il est recommandé de conserver les éléments disponibles avant de procéder à des opérations destructrices.
Parmi les éléments potentiellement utiles :
- captures d’écran ;
- e-mails ;
- en-têtes de messages ;
- historiques de connexion ;
- adresses IP affichées ;
- journaux système ;
- fichiers suspects ;
- URL utilisées ;
- numéros de téléphone ;
- identifiants de transaction ;
- adresses de portefeuille ;
- conversations ;
- notifications de sécurité ;
- relevés bancaires ;
- factures ;
- fichiers modifiés.
Ne modifiez pas inutilement les fichiers originaux.
Lorsque cela est possible, conservez une copie distincte des éléments importants.
Une investigation numérique professionnelle peut aller beaucoup plus loin qu’une simple capture d’écran. Elle peut chercher à établir une chronologie, identifier des traces techniques, comparer différents événements et déterminer comment une compromission a pu se produire.
Quand faire appel à un expert en cybersécurité après piratage ?
La question expert cybersécurité après piratage devient pertinente lorsque l’incident dépasse une simple réinitialisation de mot de passe.
Une intervention spécialisée peut notamment être envisagée lorsque :
- plusieurs comptes sont compromis ;
- une entreprise a subi une intrusion ;
- des données confidentielles ont été exposées ;
- un ordinateur présente des signes persistants de compromission ;
- de l’argent a été volé ;
- une fraude semble organisée ;
- un serveur a été attaqué ;
- des fichiers ont été chiffrés ;
- une adresse e-mail professionnelle a été compromise ;
- une transaction en cryptomonnaie doit être analysée ;
- l’origine de l’attaque reste inconnue.
L’intérêt d’un expert cybersécurité après piratage est notamment de ne pas se limiter aux symptômes visibles.
Changer un mot de passe peut bloquer un accès connu. Cela ne permet pas nécessairement de déterminer comment l’attaquant est entré, ce qu’il a consulté, quelles données ont été copiées ou si d’autres accès existent encore.
Une analyse technique peut donc avoir un objectif différent : comprendre, documenter et sécuriser.
Que faire après une cyberattaque dans une entreprise ?
Pour une entreprise, les conséquences d’une cyberattaque peuvent être beaucoup plus importantes qu’un simple compte bloqué.
Une compromission peut toucher :
- les collaborateurs ;
- les clients ;
- les fournisseurs ;
- les serveurs ;
- les postes de travail ;
- les applications ;
- les bases de données ;
- les sauvegardes ;
- les outils cloud ;
- les systèmes de paiement ;
- les comptes administrateurs.
La première priorité consiste à contenir l’incident.
Selon la situation, cela peut nécessiter l’isolement de certaines machines ou comptes compromis afin d’éviter que l’attaquant ne se déplace vers d’autres systèmes.
Il faut parallèlement documenter les événements.
Une entreprise doit éviter de supprimer précipitamment les journaux ou de réinstaller tous les postes sans réflexion, car ces actions peuvent compliquer l’analyse ultérieure.
La réponse doit également tenir compte des obligations applicables à l’organisation, notamment lorsque des données personnelles ont été compromises.
Pour les organisations européennes, la CNIL propose des ressources officielles concernant les violations de données personnelles.
Les erreurs dangereuses après une cyberattaque
Savoir que faire après une cyberattaque signifie également savoir ce qu’il vaut mieux éviter.
La première erreur consiste à contacter directement l’attaquant pour tenter de négocier ou de comprendre ses intentions.
Cela peut aggraver la situation et ne garantit aucune récupération.
Une autre erreur consiste à supprimer immédiatement toutes les traces.
Réinitialiser un appareil, supprimer des messages ou effacer des fichiers peut empêcher une analyse ultérieure.
Il faut également éviter de communiquer ses nouveaux mots de passe à une personne qui prétend pouvoir récupérer le compte.
Après une attaque, les victimes peuvent être particulièrement vulnérables aux secondes fraudes.
Un escroc peut par exemple contacter une personne après un premier incident en affirmant :
« Nous avons retrouvé votre argent, mais vous devez payer des frais pour le récupérer. »
Ce type de promesse doit être traité avec une extrême prudence.
La récupération d’un compte ou l’analyse d’une fraude ne doit jamais conduire à transmettre ses identifiants, codes d’authentification ou informations bancaires à une personne non vérifiée.
Comment déterminer si la cyberattaque est réellement terminée ?
Une cyberattaque n’est pas nécessairement terminée simplement parce que le compte fonctionne à nouveau.
Il faut rechercher les signes permettant de déterminer si l’accès non autorisé a été supprimé.
Cela peut inclure :
- sessions inconnues ;
- appareils inconnus ;
- applications tierces suspectes ;
- nouveaux administrateurs ;
- règles de messagerie inhabituelles ;
- clés d’accès inconnues ;
- logiciels suspects ;
- modifications de configuration ;
- connexions répétées ;
- nouvelles tentatives de récupération de compte.
Dans un environnement professionnel, l’analyse doit également considérer les systèmes qui communiquent avec la machine compromise.
Un attaquant peut avoir obtenu un premier accès puis tenté de progresser vers d’autres ressources.
C’est pourquoi une réponse sérieuse doit chercher à comprendre l’étendue réelle de la compromission.
Que faire après une cyberattaque pour éviter une nouvelle intrusion ?
Une fois l’urgence passée, il faut travailler sur la prévention.
La sécurité ne repose pas uniquement sur des mots de passe complexes.
Une stratégie de protection peut inclure :
- authentification multifacteur ;
- mots de passe uniques ;
- gestionnaire de mots de passe ;
- mises à jour régulières ;
- sauvegardes vérifiées ;
- chiffrement ;
- antivirus et solutions de sécurité ;
- limitation des privilèges ;
- surveillance des connexions ;
- sensibilisation au phishing ;
- séparation des comptes personnels et professionnels ;
- contrôle des applications autorisées.
Les sauvegardes sont particulièrement importantes contre certaines attaques comme les ransomwares.
Mais une sauvegarde n’est réellement utile que si elle fonctionne et qu’elle n’est pas elle-même accessible depuis le système compromis.
Il faut donc tester régulièrement les procédures de restauration.
Pour les entreprises, des audits de sécurité, tests de vulnérabilité et tests d’intrusion peuvent également permettre d’identifier des faiblesses avant qu’elles ne soient exploitées.
Pourquoi la chronologie d’une cyberattaque est-elle importante ?
Une bonne chronologie permet de répondre à plusieurs questions.
Quand l’accès initial a-t-il probablement eu lieu ?
Quel compte a été compromis en premier ?
Quelles actions ont été effectuées ensuite ?
Quelles données ont potentiellement été consultées ?
Quand la fraude a-t-elle commencé ?
Quels appareils ou services ont été utilisés ?
Cette reconstruction peut être particulièrement importante lorsqu’une affaire implique une fraude financière, une usurpation d’identité ou une fuite de données.
Les différents éléments doivent être comparés.
Une notification de connexion peut être rapprochée d’un e-mail reçu quelques minutes auparavant. Une transaction peut être comparée à une connexion inhabituelle. Une modification de mot de passe peut être mise en relation avec un événement observé sur un autre compte.
C’est ce travail de corrélation qui peut transformer plusieurs indices isolés en une compréhension beaucoup plus cohérente de l’incident.
Que faire après une cyberattaque lorsque l’origine reste inconnue ?
Il est fréquent qu’une victime sache qu’un compte a été compromis sans savoir exactement comment.
Elle peut constater :
- une connexion inconnue ;
- une transaction inhabituelle ;
- des messages envoyés sans autorisation ;
- des fichiers modifiés ;
- une demande de rançon ;
- un compte verrouillé ;
- des données disparues.
Mais l’origine reste mystérieuse.
Dans ce cas, il faut éviter de présenter une hypothèse comme une certitude.
Dire « mon compte a été piraté par telle personne » sans preuve peut être problématique.
Une investigation doit distinguer :
les faits observés,
les indices techniques,
les hypothèses,
les éléments confirmés.
Cette distinction est fondamentale dans toute analyse sérieuse.
Un rapport technique fiable doit expliquer ce qui peut être démontré et ce qui reste incertain.
Comment une investigation numérique peut aider après un piratage ?
Lorsqu’une situation nécessite une analyse approfondie, l’investigation numérique peut permettre d’examiner différents éléments techniques afin de reconstruire les événements.
Selon le contexte, l’analyse peut porter sur :
- ordinateurs ;
- smartphones ;
- serveurs ;
- messageries ;
- comptes en ligne ;
- fichiers ;
- journaux de connexion ;
- historiques ;
- métadonnées ;
- transactions numériques ;
- infrastructures cloud.
L’objectif n’est pas simplement de « trouver un hacker ».
Une investigation sérieuse cherche d’abord à établir des faits vérifiables.
Elle peut chercher à déterminer :
comment l’accès a été obtenu,
quels systèmes ont été concernés,
quelles actions ont été réalisées,
quelles données ont pu être exposées,
et quelles mesures peuvent réduire le risque de récidive.
Cette approche est particulièrement importante lorsque les conséquences financières, professionnelles ou juridiques sont importantes.
Que faire après une cyberattaque : quand faut-il agir en urgence ?
Certaines situations nécessitent une réaction particulièrement rapide.
C’est notamment le cas lorsqu’une personne constate :
- un transfert financier non autorisé ;
- une compromission bancaire ;
- une fuite importante de données ;
- un ransomware ;
- une compromission d’un compte administrateur ;
- une attaque contre une entreprise ;
- une menace de publication de données ;
- une compromission de plusieurs systèmes ;
- une activité persistante après changement des mots de passe.
Dans ces situations, attendre plusieurs jours avant de documenter les événements ou de sécuriser les accès peut compliquer la réponse.
La rapidité est importante, mais elle doit être accompagnée de méthode.
Agir vite ne signifie pas agir dans la panique.
Il faut sécuriser ce qui peut l’être, conserver les preuves, documenter les événements et faire intervenir les bons interlocuteurs lorsque la situation dépasse une simple récupération de compte.
FAQ : que faire après une cyberattaque ?
Que faire après une cyberattaque en premier ?
Que faire après une cyberattaque dépend de la nature de l’incident, mais les premières mesures consistent généralement à sécuriser les comptes concernés, limiter les accès suspects, préserver les preuves et identifier les systèmes potentiellement compromis. Il faut également documenter précisément ce qui s’est passé avant d’effectuer des opérations susceptibles d’effacer des traces.
Que faire après un piratage d’un compte ?
Après un piratage, sécurisez le compte depuis un appareil fiable, modifiez le mot de passe, activez l’authentification multifacteur et vérifiez les sessions, appareils et moyens de récupération associés. Si plusieurs comptes utilisent les mêmes identifiants, leurs mots de passe doivent également être changés.
Je suis victime de cyberattaque, dois-je supprimer les fichiers suspects ?
Pas nécessairement. Si une investigation est envisagée, supprimer immédiatement des fichiers ou réinitialiser un appareil peut faire disparaître des éléments utiles à l’analyse. Il est préférable de documenter la situation et de demander un avis professionnel lorsque l’incident est sérieux.
Données volées que faire immédiatement ?
Lorsque des données ont potentiellement été volées, identifiez précisément les informations concernées, sécurisez les comptes associés, conservez les preuves disponibles et déterminez si d’autres personnes ou organismes doivent être informés. La réponse dépend notamment de la nature des données exposées et du contexte de l’incident.
Quand contacter un expert cybersécurité après piratage ?
Un expert cybersécurité après piratage peut être pertinent lorsque plusieurs comptes ou systèmes sont compromis, lorsqu’une fraude financière est associée à l’incident, lorsqu’une entreprise est touchée, lorsque l’origine de l’attaque est inconnue ou lorsque des preuves numériques doivent être analysées.
Une cyberattaque peut-elle continuer après un changement de mot de passe ?
Oui. Si l’attaquant possède encore une session active, un moyen de récupération, une application autorisée ou un accès à un appareil compromis, le changement de mot de passe peut ne pas suffire. Il faut donc vérifier l’ensemble des mécanismes d’accès et l’environnement numérique concerné.
Comment savoir si mes données ont été volées ?
Il n’est pas toujours possible de le déterminer immédiatement. Les journaux, notifications de sécurité, fichiers, historiques de connexion et autres éléments techniques peuvent fournir des indices. Dans certains cas, une analyse numérique est nécessaire pour déterminer l’étendue de la compromission.
Faut-il contacter la police après une cyberattaque ?
Lorsqu’une cyberattaque entraîne une fraude, une extorsion, une usurpation d’identité, un vol ou une autre infraction, le dépôt d’une plainte peut être pertinent. Conservez autant de preuves que possible afin de pouvoir présenter des éléments précis concernant les faits.
Que faire après une cyberattaque contre une entreprise ?
Une entreprise doit rapidement chercher à contenir l’incident, protéger ses systèmes critiques, préserver les preuves et déterminer l’étendue de la compromission. Lorsque des données personnelles sont concernées, les obligations réglementaires applicables doivent également être examinées.
Peut-on retrouver l’auteur d’une cyberattaque ?
Cela dépend fortement des traces disponibles et de la nature de l’attaque. Une analyse technique peut parfois permettre d’identifier des infrastructures, des comptes, des adresses ou des méthodes utilisées par l’attaquant. Cependant, aucune investigation sérieuse ne devrait garantir à l’avance l’identification d’une personne sans disposer des éléments nécessaires.
Conclusion : que faire après une cyberattaque sans aggraver la situation ?
Que faire après une cyberattaque ne consiste pas simplement à changer un mot de passe et à espérer que le problème soit terminé.
Une réponse efficace repose sur plusieurs principes : sécuriser les accès, limiter les dégâts, identifier les systèmes concernés, préserver les preuves, documenter les événements et déterminer si une analyse technique est nécessaire.
Pour une personne victime de cyberattaque, la priorité doit être de reprendre progressivement le contrôle de son environnement numérique sans détruire les éléments qui pourraient permettre de comprendre l’incident.
Lorsque des données ont été compromises, lorsqu’une fraude financière est constatée ou lorsqu’une intrusion semble plus complexe qu’un simple compte piraté, une analyse professionnelle peut apporter une vision beaucoup plus précise de la situation.
La cybersécurité ne consiste pas uniquement à empêcher les attaques. Elle consiste également à savoir réagir lorsqu’une attaque s’est déjà produite, à comprendre ce qui s’est passé et à réduire le risque qu’un même scénario se reproduise.
Si vous cherchez que faire après une cyberattaque, commencez par sécuriser vos accès, conserver les preuves et éviter toute action précipitée susceptible d’effacer les traces. Lorsque l’incident est complexe, une expertise technique peut aider à établir les faits et à déterminer les prochaines mesures de protection.
