Cyberattaque en PME : qui appeler d'abord pour éviter d'aggraver le sinistre

Quand une cyberattaque touche une PME, les premières heures comptent plus que les grandes décisions théoriques. Entre messagerie bloquée, rançongiciel, soupçon de fuite de données et pression des équipes, l'ordre des appels change souvent le coût final, et parfois la suite juridique.

Le premier réflexe n'est pas de payer, mais de figer la situation

Dans beaucoup d'entreprises, la scène se répète : un poste ne répond plus, la messagerie se met à rejeter les envois, puis un message de rançon apparaît. Le réflexe humain consiste à chercher le réparateur le plus vite possible. C'est compréhensible, mais pas toujours judicieux.

Avant d'appeler qui que ce soit, il faut isoler les postes touchés, couper les accès compromis si cela reste possible sans tout effacer, conserver les messages d'alerte, noter les premières constatations et éviter toute manipulation improvisée. Redémarrer une machine, supprimer un fichier suspect ou payer dans l'urgence peut compliquer l'analyse technique comme la prise en charge assurantielle.

Autrement dit, la bonne question n'est pas seulement cyberattaque PME : que faire, mais que ne faut-il surtout pas faire dans la première heure. Cette nuance, en pratique, vaut parfois plusieurs jours d'activité gagnés.

Les erreurs qui rendent un incident plus coûteux

Appeler un prestataire avant de vérifier le contrat

Une assurance cyber-risques pour l'entreprise peut prévoir un numéro d'urgence, un réseau d'experts, des conditions de déclaration et parfois des prestataires agréés. Si un dirigeant engage seul une intervention lourde, il risque de sortir du cadre prévu ou d'empêcher la coordination du dossier. L'assurance n'est pas là pour remplacer le technicien, mais pour orchestrer les bons intervenants au bon moment.

Attendre pour déclarer le sinistre

Beaucoup de dirigeants veulent d'abord comprendre. C'est une erreur classique. Un sinistre cyber se déclare tôt, même avec des informations incomplètes. L'objectif n'est pas de raconter l'incident parfaitement, mais de déclencher la chaîne utile : expertise technique, conseil juridique, gestion de crise, parfois communication.

Payer la rançon sans cadre

Face à un rançongiciel en PME, la tentation de payer paraît simple. En réalité, elle ouvre d'autres risques : absence de restitution, nouvelle extorsion, difficulté probatoire, atteinte réputationnelle, et parfois problèmes de conformité selon les acteurs impliqués. Payer n'est jamais une première étape. C'est, au mieux, une décision de dernier recours examinée avec les spécialistes mandatés.

Qui appeler en premier selon la nature de l'attaque

Si l'activité est bloquée mais les données semblent intactes

Commencez par l'assureur ou le courtier, puis le prestataire informatique selon le circuit prévu. Si le contrat est bien monté, il ouvre rapidement l'accès à une cellule de crise. C'est précisément là qu'un accompagnement en cyber-risques et protection des données prend son sens : nous vérifions en amont ce que couvre réellement le contrat, qui intervient, et sous quels délais.

Si des données personnelles ont pu fuiter

Le sujet devient tout de suite plus sensible. Il faut un regard juridique en parallèle du technique, parce qu'une violation de données peut entraîner des obligations de notification, notamment auprès de la CNIL, selon la nature des informations et le niveau de risque. Ici, l'avocat n'arrive pas après coup : il aide à qualifier les faits, à documenter les décisions et à éviter des formulations hasardeuses.

Si vous ne savez pas encore ce qui s'est passé

Dans le doute, appelez d'abord votre point d'entrée assurantiel - assureur ou courtier - à condition qu'il maîtrise réellement le sujet. Un bon courtier en cyberassurance en France ne se contente pas de vendre une police ; il sait activer le bon séquençage. C'est souvent la différence entre un incident contenu et un dossier qui dérive, un peu silencieusement.

Quand la boîte mail se ferme avant l'ouverture des bureaux

À Nantes, une société de services d'une quarantaine de salariés a découvert que plusieurs boîtes mail envoyaient des messages frauduleux pendant la nuit. Le responsable administratif voulait faire intervenir immédiatement son infogérant habituel pour nettoyer les postes. La dirigeante, elle, a préféré passer d'abord par son contrat.

Cette décision a évité un faux départ. La déclaration a activé un expert en réponse à incident, puis un conseil juridique pour qualifier la possible fuite de données. L'infogérant a bien été mobilisé, mais dans un ordre plus rigoureux. Nous voyons souvent ce point lors de l'analyse des garanties pour professionnels et entreprises : ce n'est pas l'existence d'un contrat qui protège, c'est la clarté du scénario d'activation. Le dossier s'est stabilisé vite. Personne n'a eu l'impression d'avoir gagné du temps, pourtant tout le monde en a économisé.

Ce que l'assurance cyber peut réellement déclencher

Une bonne couverture ne rembourse pas seulement des factures après coup. Elle peut activer l'expertise forensique, l'assistance juridique, la gestion de crise, la restauration de données, parfois la perte d'exploitation, et selon les contrats certains frais de notification ou de communication. Encore faut-il avoir vérifié les plafonds, les exclusions, les franchises, les délais et les prérequis de sécurité.

C'est aussi pour cela qu'une police cyber standard mal relue rassure plus qu'elle ne protège. Dans notre métier de courtier indépendant, nous insistons sur un point un peu ingrat mais décisif : les garanties d'urgence n'ont de valeur que si elles sont cohérentes avec vos usages réels, vos sauvegardes, vos accès distants et votre dépendance à la messagerie.

Pour cadrer les mesures de prévention et de réaction, les ressources publiées par l'ANSSI restent d'ailleurs une base sérieuse, loin des check-lists décoratives.

Le vrai coût d'une mauvaise séquence

On pense d'abord au coût informatique. C'est rarement le seul. Une mauvaise chronologie entraîne aussi des pertes d'exploitation, des tensions clients, des heures internes absorbées, des frais juridiques supplémentaires, parfois une notification mal préparée, et cette fatigue diffuse qui fait commettre la seconde erreur après la première.

Le sujet mérite donc un plan simple, écrit, relu, testé. Qui décide l'isolement ? Qui déclare le sinistre ? Où trouver le contrat ? Quel prestataire appeler si la messagerie est indisponible ? Ces questions paraissent élémentaires. Elles ne le sont plus du tout quand tout s'éteint d'un coup.

Préparer l'ordre des appels avant l'incident

Une cyberattaque ne se gère pas proprement si chacun improvise son rôle au dernier moment. Le plus raisonnable reste de cartographier vos expositions, de relire vos garanties et d'écrire un chemin d'escalade très court : technique, assurance, juridique, direction. Si vous voulez vérifier si votre contrat cyber est réellement mobilisable pour votre activité, nous pouvons vous y aider via notre rubrique Notre regard d'expert ou un échange direct depuis notre page de contact. En matière de crise numérique, la vitesse compte, mais l'ordre compte davantage encore.