Lundi matin, tout est chiffré : le plan de réponse d'une PME sans service informatique

Une page à imprimer et à ranger dans le tiroir du dirigeant, avant que ça arrive. Guide publié le 13 septembre 2026.

Le scénario, tel qu'il se produit

8 h 10. La secrétaire ouvre un dossier client : le fichier a une extension bizarre et refuse de s'ouvrir. 8 h 20, c'est tout le serveur de fichiers. 8 h 25, un fichier texte sur le bureau explique, en anglais, qu'il faut payer en cryptomonnaie. En 2025, l'Office fédéral de la cybersécurité a enregistré 65 000 signalements ; le groupe Akira, spécialisé dans ce type d'attaque, a mené 26 attaques connues contre des sociétés suisses au seul second semestre. Ce ne sont pas les grandes entreprises qui sont visées, ce sont les structures qui ont des données sensibles et pas de service informatique.

La première heure : ce qu'on fait, ce qu'on ne fait pas

On débranche du réseau les postes touchés et le serveur : câble réseau retiré, Wi-Fi coupé. On n'éteint pas les machines : la mémoire contient des traces utiles à l'analyse et parfois les clés.
On ne paie pas, et on ne répond pas aux attaquants. Payer ne garantit rien, finance l'attaque suivante, et peut engager votre responsabilité. Cette décision se prend avec votre avocat et votre assureur, pas seul à 8 h 30.
On ne restaure rien tout de suite. Une sauvegarde branchée sur un réseau encore infecté est une sauvegarde de moins.
On appelle, dans l'ordre : le prestataire informatique (numéro d'urgence, pas le ticket habituel), la direction, l'assureur si vous avez une cyber-assurance (le numéro est sur la police, et l'assureur impose souvent son propre intervenant).
On note tout : heure de découverte, machines touchées, message reçu, personnes prévenues. Sur papier ou sur un téléphone, pas sur le réseau.
On prévient l'équipe en une phrase : ne rien allumer, ne rien brancher, ne pas ouvrir les mails, attendre les instructions. Le téléphone reste le canal.

Le premier jour : comprendre avant de reconstruire

Par où sont-ils entrés ? Un mail d'hameçonnage, un accès à distance exposé, un mot de passe réutilisé, un prestataire compromis. Tant que la porte n'est pas identifiée et fermée, restaurer ne sert à rien : ils reviendront.
Qu'ont-ils pris ? Les attaques récentes copient les données avant de les chiffrer, puis menacent de les publier. Cela change vos obligations (voir plus bas).
Que reste-t-il de sain ? La sauvegarde hors ligne ou hors site, les postes non touchés, les services en ligne (messagerie, kDrive) qui ne sont pas sur le réseau local.
Signaler : l'Office fédéral de la cybersécurité (OFCS) reçoit les signalements en ligne et conseille ; pour certaines infrastructures c'est une obligation depuis 2025. Une plainte pénale se dépose auprès de la police cantonale.

La restauration : dans cet ordre

Reconstruire à neuf les machines touchées, sur un réseau propre, avec des mots de passe tous changés et la double authentification partout.
Restaurer les données depuis la sauvegarde la plus récente saine, en commençant par ce qui fait tourner l'activité (messagerie, dossiers clients, comptabilité), pas par tout.
Vérifier avec les utilisateurs, service par service, avant de rouvrir l'accès à tous.
Compter : une PME de 10 à 30 postes bien préparée est de retour en deux à cinq jours ; sans sauvegarde testée, c'est des semaines, ou jamais.

Vos obligations, en Suisse

nLPD, art. 24 : si des données personnelles ont été volées ou exposées et que le risque pour les personnes est élevé, vous devez informer le Préposé fédéral (PFPDT) dans les meilleurs délais, et parfois les personnes concernées. Un vol de dossiers clients ou patients entre presque toujours dans ce cas.
Secret professionnel : avocats, médecins, notaires ont en plus leurs règles ordinales. Informez votre ordre.
Clients, bailleurs, banques : mieux vaut un message sobre de votre part le jour même qu'un article de presse la semaine suivante. Préparez trois phrases, faites-les relire par votre avocat.

Ce guide n'est pas un avis juridique : pour les notifications, votre avocat et, si vous en avez une, votre cyber-assurance sont la référence.

Ce qui fait qu'on s'en sort en trois jours plutôt qu'en trois semaines

Tout se joue avant. Une sauvegarde selon la règle 3-2-1 (trois copies, deux supports, une hors site et hors ligne) restaurée pour de vrai au moins deux fois par an. La double authentification pour tous. Aucun accès à distance exposé sur internet. Une liste imprimée des numéros à appeler et des accès de secours dans un coffre. Et ce plan, lu une fois par an par le dirigeant et par la personne qui gère les outils.

Avant que ça arrive : l'Audit Express vérifie la date du dernier test de restauration, les accès à distance et la double authentification, et vous laisse ce plan adapté à votre structure. La revue de sécurité et des accès met le reste en place.

Questions fréquentes

Faut-il payer la rançon ?

Notre position : non, sauf décision contraire prise avec votre avocat et votre assureur. Payer ne garantit ni la clé ni le silence des attaquants, et finance la prochaine attaque. Une sauvegarde testée rend la question sans objet.

Notre messagerie et nos fichiers sont chez Infomaniak ou Microsoft : sont-ils chiffrés aussi ?

En général non, si le rançongiciel a touché le réseau local : les services en ligne restent accessibles depuis un poste sain. C'est un argument de plus pour ne pas garder le serveur de fichiers dans le bureau sans sauvegarde hors site.

Une cyber-assurance vaut-elle le coup pour une PME ?

Souvent oui, pour la prise en charge de l'intervention d'urgence et des frais juridiques, à condition de lire les exclusions : la plupart exigent la double authentification et des sauvegardes testées. Sans elles, l'assureur peut refuser d'indemniser.