Cyberattaque dans une PME : la page à imprimer avant d'en avoir besoin

Le jour où un écran affiche une demande de rançon, ou où la comptable découvre qu'un virement est parti vers un compte inconnu, personne n'a envie de chercher sur Google qui appeler. Et si la messagerie est touchée, on ne pourra peut-être même pas relire le dernier e-mail du prestataire informatique.

En mai 2026, le Centre pour la Cybersécurité Belgique (CCB) a publié un document « Premiers secours en cas de cyberincident ». Il recommande entre autres de garder sur papier les contacts clés et les étapes à suivre. Pour une PME de dix ou vingt personnes, ça tient sur une page. Voici ce que je mettrais dessus, et ce qu'il faut préparer pour que cette page serve le jour venu.

1. Les trois premiers gestes, pour tout le monde

Cette partie s'adresse à la personne devant l'écran, pas au gérant ni à l'informaticien. Elle doit pouvoir la lire en trente secondes.

• Débrancher le câble réseau et couper le wifi de l'appareil touché. Ne pas l'éteindre : le CCB insiste, éteindre efface des traces utiles pour comprendre l'attaque.
• Prévenir tout de suite la personne désignée sur la fiche, même en cas de simple doute.
• Ne plus toucher à l'appareil, ne rien supprimer, et prévenir les collègues pour que personne n'ouvre le même message.

2. Qui décide, et par quel canal

Écrivez deux noms : la personne qui coordonne, souvent le gérant, et celle qui s'occupe de la technique, en interne ou chez votre prestataire. Pour chacun, un numéro de portable qui répond aussi en dehors des heures de bureau, et un remplaçant.

Prévoyez aussi un canal de secours. Le CCB conseille de passer par un moyen extérieur aux outils habituels, par exemple Signal, Threema ou SMS, au cas où la messagerie ou le chat de l'entreprise seraient compromis. Si quelqu'un lit vos e-mails, ce n'est pas là qu'on organise la réponse. Un groupe Signal créé à l'avance avec ces quelques personnes suffit.

3. Tout noter, à l'heure près

Dès les premières minutes, quelqu'un tient un journal : ce qu'on a vu, ce qu'on a fait, à quelle heure, et qui l'a fait. Sur papier si les PC sont suspects. On garde les messages reçus, les captures d'écran, les relevés bancaires. Ce journal sert au prestataire qui enquête, à la police, à l'assureur, et plus tard à comprendre ce qui a cédé.

Ne réinstallez rien et ne redémarrez rien avant que les preuves soient sécurisées, sauf nécessité absolue. Et ne restaurez pas une sauvegarde faite juste avant ou juste après l'attaque : Safeonweb@work, le site du CCB pour les organisations, demande d'abord de vérifier que le système de sauvegarde n'a pas été touché lui aussi.

4. Qui prévenir en Belgique

C'est la partie qu'on cherche le plus quand on est sous pression. Les contacts ci-dessous viennent des pages du CCB et de Safeonweb@work, relues en octobre 2026.

• Votre banque, et Card Stop au 078 170 170, si de l'argent a disparu, si des coordonnées bancaires ont été communiquées ou si un virement est parti vers un escroc, pour que les transactions frauduleuses puissent être bloquées. Pour s'en prémunir en amont, voir le faux changement d'IBAN d'un fournisseur.
• La police locale pour déposer plainte, en particulier en cas de perte d'argent ou d'extorsion. Apportez le journal, les captures et les relevés.
• Le CCB, via le formulaire notif.safeonweb.be ou l'adresse incident@ccb.belgium.be. C'est obligatoire pour les entités visées par NIS2 et recommandé pour toutes les autres. Le numéro d'urgence du CCB est réservé aux incidents NIS2.
• L'Autorité de protection des données (APD) si des données personnelles sont touchées : fichier clients, dossiers du personnel, boîte mail lue par un tiers. Voir le point suivant.
• Votre assureur, si vous avez une assurance cyber. Relisez dès maintenant ce que le contrat demande en cas de sinistre et notez le numéro de contrat sur la fiche.
• Pour un simple message suspect, sans incident derrière : transférez-le à suspect@safeonweb.be.

5. Les 72 heures de l'APD, et le compte à créer maintenant

Le RGPD impose au responsable du traitement de notifier une violation de données à l'APD dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf si elle n'est pas susceptible d'engendrer un risque pour les personnes concernées. Soixante-douze heures, week-end compris, pendant que tout le monde essaie de remettre l'entreprise en route.

Un détail pratique change tout : l'APD n'accepte les notifications que via son portail, celles envoyées par e-mail ne sont pas traitées, et son manuel indique qu'il faut un compte entreprise sur ce portail. Créez-le, ou vérifiez qui y a accès, pendant qu'il fait calme. Le jour venu, la partie 1 du formulaire peut partir vite, et l'APD laisse ensuite 21 jours calendrier pour compléter la partie 2.

Même si vous concluez qu'il ne faut pas notifier, le RGPD demande de documenter la violation dans un registre (article 33, paragraphe 5). Le journal de l'étape 3 en est la base. Je ne suis pas juriste : si le doute porte sur l'obligation de notifier, posez la question à votre conseil, ou à votre délégué à la protection des données si vous en avez un.

6. La rançon

Le CCB déconseille fortement de payer. Il admet que c'est parfois la seule option, mais rappelle que les criminels sauteront sur toute occasion d'extorquer davantage. Si la question se pose, c'est une décision de direction, prise avec l'assureur et la police, pas un réflexe dans la panique. Elle se pose beaucoup moins quand une copie hors ligne a été restaurée avec succès récemment, comme je l'expliquais dans l'article sur les sauvegardes, les comptes et les mises à jour.

Ce qui doit figurer sur la page

• Les trois gestes : débrancher, ne pas éteindre, prévenir.
• Le coordinateur, la personne technique et leurs remplaçants, avec leurs numéros de portable.
• Le groupe Signal ou SMS de secours.
• Banque, Card Stop 078 170 170, police locale, notif.safeonweb.be, assureur et numéro de contrat.
• Qui a accès au compte entreprise sur le portail de l'APD.
• Le contact du bureau d'enregistrement de votre domaine et de vos comptes administrateur, pour reprendre la main sur la messagerie (voir qui détient vraiment les clés de votre PME).

Imprimez-la, gardez une copie au bureau et une chez vous, et relisez-la deux fois par an. Si vous voulez la remplir avec quelqu'un qui connaît votre installation, ou tester une restauration pendant qu'il fait calme, c'est typiquement le genre de travail qu'on fait en pack d'heures : info@z80.be ou +32 494 111 041.