Cyberattaque sur une PME : ce qui se passe vraiment dans les 72 premières heures (et comment l'éviter)
- 11 juin
- 10 min de lecture
Il est 8h12 un mardi matin. Le premier salarié arrive, allume son poste et tombe sur un écran noir avec un message en anglais qui réclame une rançon en cryptomonnaie. Les fichiers partagés sont illisibles. La messagerie ne répond plus. Le logiciel de gestion affiche une erreur. En l'espace d'une nuit, une PME de 30 personnes vient de basculer dans la crise.
Ce scénario n'a rien d'exceptionnel. En 2025, l'ANSSI a traité 1 366 incidents de cybersécurité en France, et les PME, TPE et ETI figurent parmi les premières victimes des attaques par rançongiciel.
La plupart de ces dirigeants pensaient, la veille encore, que « ça n'arrive qu'aux grandes entreprises ».
Cet article décrit, heure par heure, ce qui se passe réellement dans une PME pendant les 72 premières heures d'une cyberattaque. Pas pour vous effrayer, mais pour que vous mesuriez précisément ce qui est en jeu, et surtout ce qui aurait pu l'éviter.
Heure 0 : comment une cyberattaque commence (et pourquoi personne ne s'y attend)
Contrairement à l'image du pirate qui force une porte en quelques secondes, une cyberattaque sur une PME est presque toujours silencieuse et progressive. L'attaquant entre, observe, et attend.
Dans la grande majorité des cas, le point d'entrée est d'une banalité déconcertante :
Un email piégé. Un collaborateur ouvre une pièce jointe ou clique sur un lien qui semble provenir d'un fournisseur, d'un client ou d'un service interne. Le facteur humain reste le premier vecteur d'intrusion.
Un mot de passe faible ou réutilisé. Un identifiant volé sur un autre site, recyclé pour accéder à la messagerie professionnelle ou à un accès distant.
Une faille non corrigée. Un équipement de bordure (pare-feu, VPN, serveur exposé) qui n'a pas reçu sa mise à jour de sécurité. L'ANSSI souligne année après année que ces équipements peu supervisés restent une cible privilégiée.
Le piège, c'est le décalage temporel. Une fois entré, l'attaquant ne déclenche pas immédiatement le chiffrement. Il prend le temps de cartographier le réseau, d'identifier les serveurs critiques, de repérer les sauvegardes, et souvent d'exfiltrer les données avant de les chiffrer.
En 2025, l'ANSSI a recensé 196 incidents liés à des exfiltrations de données, soit une hausse de 51 % sur un an : voler les données pour faire chanter la victime devient aussi rentable que de les chiffrer.
C'est précisément pour cette raison que personne ne s'y attend : au moment où l'alerte se déclenche, l'intrus est déjà là depuis des jours, parfois des semaines. C'est tout l'enjeu de la détection précoce, sur lequel nous reviendrons : repérer cette présence avant le déclenchement du chiffrement change tout
Les 72 heures qui suivent : chronologie d'une crise réelle
Voici comment se déroule, concrètement, une crise dans une PME qui n'avait pas anticipé le risque. Cette chronologie est une reconstitution réaliste fondée sur le déroulé type d'une attaque par rançongiciel.
Heures 0 à 4 : La sidération.
Les postes sont bloqués les uns après les autres. Personne ne comprend ce qui se passe. Le réflexe naturel (et souvent le pire) est de tout rallumer, de tout débrancher dans le désordre, parfois d'effacer involontairement des traces utiles à l'enquête. L'activité s'arrête : pas de devis, pas de facturation, pas de production, pas d'accès aux dossiers clients.
Heures 4 à 12 : La prise de conscience financière.
Le dirigeant réalise que ce n'est pas une « panne ». La question n'est plus « quand est-ce que ça repart ? » mais « est-ce que ça repart un jour ? ». On cherche les sauvegardes. C'est souvent à ce moment que se révèle le drame : la sauvegarde était sur le même réseau, et elle a été chiffrée elle aussi.
Heures 12 à 24 : Les premières décisions sous pression.
Faut-il payer la rançon ? Prévenir les clients ? Déposer plainte ? Notifier la CNIL ? Sans plan de crise, chaque décision se prend dans l'urgence et l'émotion, ce qui multiplie les erreurs.
Heures 24 à 48 : La paralysie s'installe.
Les équipes sont au chômage technique forcé. Les clients qui attendent une livraison ou une réponse commencent à s'inquiéter. La réputation est touchée. Les coûts cachés s'accumulent : heures perdues, commandes annulées, intervention d'urgence facturée au prix fort.
Heures 48 à 72 : Le verdict.
Si une sauvegarde saine et isolée existe, la reprise peut commencer. Sinon, l'entreprise entre dans une zone grise qui peut durer des semaines. Le baromètre CESIN évalue à environ 3 semaines la durée d'arrêt partiel ou total nécessaire pour remettre les systèmes sur pied après une attaque sérieuse.
La leçon de ces 72 heures est simple : ce qui détermine la survie d'une PME ne se joue pas pendant la crise, mais avant. Une entreprise correctement protégée et sauvegardée vit cet épisode comme un incident sérieux mais maîtrisé. Une entreprise non préparée le vit comme une menace existentielle.
Quel est le coût moyen d'une cyberattaque pour une PME en France ?
C'est la question que tout dirigeant devrait se poser à froid, plutôt que de la découvrir à chaud.
Les chiffres disponibles dessinent une fourchette large, car le coût dépend de la taille de l'entreprise et de son niveau de préparation.
Selon les données recoupées de l'ANSSI et du baromètre CESIN, on observe les ordres de grandeur suivants :
Pour une PME, le coût d'une attaque par rançongiciel se chiffre couramment entre 130 000 et 250 000 euros lorsqu'on inclut l'interruption d'activité.
Pour une PME de 50 à 250 salariés, la fourchette grimpe régulièrement de 250 000 à 800 000 euros une fois additionnés l'arrêt d'activité, les frais d'expertise technique (forensique), la restauration et les conséquences juridiques.
Le baromètre CESIN situe la rançon moyenne au-delà de 900 000 euros dans les cas où elle est exigée, sans aucune garantie de récupération des données après paiement.
Mais le chiffre le plus lourd de sens n'est pas le coût immédiat.
C'est le taux de survie : plusieurs sources convergent pour estimer qu'une part très importante des PME victimes d'une attaque majeure ne s'en relèvent pas et cessent leur activité dans les 18 mois.
Une cyberattaque n'est pas une ligne de dépense exceptionnelle. C'est un risque qui peut faire fermer l'entreprise.
Le calcul est implacable : le coût d'une protection cybersécurité managée représente une fraction infime de ces montants. La vraie question n'est pas « combien coûte la protection ? » mais « combien coûte l'absence de protection le jour où ça arrive ? ».
Les 3 erreurs que font 80 % des dirigeants de PME face au risque cyber
Les attaques réussissent rarement par génie technique. Elles réussissent parce que trois erreurs reviennent presque systématiquement.
Erreur n°1 : « On est trop petits pour intéresser les pirates. »
C'est l'illusion la plus dangereuse. Les attaques par rançongiciel sont aujourd'hui largement industrialisées et automatisées : les attaquants ne choisissent pas leurs cibles une par une, ils ratissent large et frappent les structures les moins protégées. Une PME mal défendue est précisément la cible idéale : assez de valeur pour payer, pas assez de défenses pour résister.
Erreur n°2 : confondre sauvegarde et protection.
Beaucoup de dirigeants se rassurent en pensant « on a des sauvegardes ». Mais une sauvegarde stockée sur le même réseau que les données est chiffrée en même temps que le reste lors d'une attaque. Une sauvegarde n'a de valeur que si elle est isolée, testée régulièrement et restaurable rapidement. C'est tout l'enjeu d'une stratégie de sauvegarde cloud bien conçue.
Erreur n°3 : traiter la cybersécurité comme un achat ponctuel.
Installer un antivirus une fois et considérer le sujet réglé. Or la menace évolue chaque semaine, les failles apparaissent en continu, et les correctifs doivent être appliqués sans délai. Surtout, un antivirus seul ne suffit plus face aux attaques actuelles : il reconnaît les menaces déjà connues, mais reste aveugle face à une intrusion qui passe sous le radar. Il faut une couche de détection capable de repérer les comportements suspects, pas seulement les virus identifiés. La cybersécurité n'est pas un produit, c'est un processus de supervision permanent.
Ces trois erreurs ont un point commun : elles donnent un sentiment de sécurité sans la sécurité réelle. Et c'est exactement ce sentiment qui s'effondre à l'heure 0.
Ce qu'une solution de cybersécurité managée change concrètement
Face à des menaces continues et automatisées, la réponse ne peut pas être ponctuelle. Une cybersécurité managée, c'est une protection supervisée en continu par un prestataire spécialisé, plutôt qu'une série d'outils installés et oubliés.
Concrètement, pour une PME de l'Oise, cela se traduit par plusieurs niveaux de protection coordonnés :
Une protection des postes et serveurs à jour en permanence, avec des solutions reconnues. Convergence Informatique déploie et supervise des protections de type ESET et Bitdefender sur l'ensemble du parc, Windows comme macOS.
Une détection avancée qui va au-delà de l'antivirus. C'est la différence majeure aujourd'hui. Là où un antivirus classique bloque les menaces connues, les solutions dites EDR (détection et réponse sur les postes et serveurs) et XDR (détection étendue à l'ensemble du système d'information) repèrent les comportements anormaux et permettent de réagir avant la propagation. En complément, un SIEM (Security Information and Event Management, soit la gestion centralisée des informations et événements de sécurité) collecte et corrèle les signaux faibles pour détecter une attaque en cours. Ces technologies sont complémentaires de l'antivirus, elles ne le remplacent pas : ensemble, elles forment une défense en profondeur.
Des solutions souveraines, hébergées et opérées en Europe. Convergence Informatique distribue et met en place des solutions de cybersécurité souveraines françaises, en complément des antivirus : HarfangLab pour la protection et la détection sur les postes et serveurs (EPP/EDR), et Sekoia pour la plateforme de détection et de réponse (XDR/SIEM), hébergée en France et reconnue par l'ANSSI. Pour une PME, c'est l'assurance d'une protection de niveau professionnel, sans dépendre exclusivement de technologies extra-européennes, et avec des données qui restent sous juridiction française.
Une supervision et une réaction. L'enjeu n'est pas seulement de bloquer, mais de détecter une intrusion tôt et de réagir avant que les dégâts ne s'étendent.
Une sauvegarde isolée et testée. C'est la pièce maîtresse de la reprise d'activité : des sauvegardes cloud des environnements Microsoft 365 et Google Workspace, séparées du réseau de production, qui permettent de redémarrer même après un chiffrement.
La gestion des mises à jour et des correctifs, en particulier sur les équipements exposés, pour fermer les failles avant qu'elles ne soient exploitées.
La différence le jour de l'attaque est radicale. Sans supervision, l'intrusion est découverte trop tard, quand tout est déjà chiffré. Avec une protection managée qui s’appuie sur ces outils de détection, l'incident est détecté tôt, contenu, et la restauration s'appuie sur des sauvegardes saines. C'est la différence entre une demi-journée d'interruption maîtrisée et trois semaines de paralysie.
Checklist : êtes-vous exposé ? (auto-diagnostic rapide)
Répondez honnêtement à ces questions. Chaque « non » est une porte ouverte.
Vos sauvegardes sont-elles isolées du réseau de production (et non stockées sur le même serveur) ?
Avez-vous testé une restauration au cours des six derniers mois pour vérifier qu'elle fonctionne réellement ?
L'authentification à plusieurs facteurs (MFA) est-elle activée sur la messagerie et les accès distants ?
Disposez-vous d'une détection qui va au-delà de l'antivirus (EDR/XDR), capable de repérer un comportement suspect et pas seulement un virus connu
Vos équipements de sécurité (pare-feu, VPN, serveurs) reçoivent-ils leurs mises à jour de façon régulière et supervisée ?
Vos collaborateurs ont-ils été sensibilisés au phishing au cours de la dernière année ?
Vos postes Mac sont-ils protégés au même niveau que vos PC ?
Disposez-vous d'un plan de réaction écrit en cas d'incident (qui appeler, quoi faire, quoi ne pas faire) ?
Savez-vous qui supervise votre sécurité en dehors de vos horaires de bureau ?
Si vous avez répondu « non » ou « je ne sais pas » à plus de deux questions, votre entreprise présente une exposition réelle. La bonne nouvelle : chacun de ces points se corrige, et un audit permet d'établir précisément où vous en êtes.
FAQ : ANSSI, obligation légale & cyberassurance
Que recommande l'ANSSI à une PME pour se protéger ?
L'ANSSI met en avant des mesures fondamentales et accessibles : des sauvegardes régulières et déconnectées du réseau, l'application rapide des mises à jour de sécurité, l'authentification à plusieurs facteurs, la limitation des accès aux seules personnes qui en ont besoin, et la sensibilisation des collaborateurs. Ces mesures de base bloquent la grande majorité des attaques automatisées qui visent les PME.
EDR, XDR, SIEM : qu'est-ce que c'est, et est-ce utile pour une PME ?
Ce sont trois niveaux de détection complémentaires de l'antivirus. L'EDR (Endpoint Detection and Response) surveille les postes et serveurs pour repérer les comportements suspects, pas seulement les virus connus. Le XDR (Extended Detection and Response) étend cette surveillance à l'ensemble du système d'information pour corréler les signaux. Le SIEM (Security Information and Event Management) centralise et analyse les journaux d'événements pour détecter une attaque en cours. Longtemps réservées aux grands groupes, ces technologies sont aujourd'hui accessibles aux PME via des solutions managées. Convergence Informatique met en place des solutions souveraines françaises comme HarfangLab (EPP/EDR) et Sekoia (XDR/SIEM), opérées et supervisées pour le compte de ses clients.
Une PME a-t-elle une obligation légale en matière de cybersécurité ?
Toute entreprise qui traite des données personnelles est soumise au RGPD : en cas de violation de données, elle doit notifier la CNIL dans un délai de 72 heures lorsque la violation présente un risque pour les personnes concernées. Par ailleurs, la directive européenne NIS 2, en cours de transposition, étend les obligations de sécurité à un nombre élargi d'organisations, y compris des entreprises de taille intermédiaire et certains de leurs prestataires. Au-delà de l'obligation, la responsabilité du dirigeant peut être engagée en cas de négligence manifeste.
Faut-il souscrire une cyberassurance ?
Une cyberassurance peut couvrir une partie des coûts (gestion de crise, pertes d'exploitation, frais de remédiation), mais elle ne remplace pas la prévention. Les assureurs exigent d'ailleurs de plus en plus un niveau minimal de protection (sauvegardes, MFA, supervision) pour accepter de couvrir une entreprise, et les primes augmentent fortement. L'assurance intervient après le sinistre ; la cybersécurité managée vise à éviter le sinistre.
Faut-il payer la rançon en cas de ransomware ?
Les autorités, dont l'ANSSI, déconseillent fermement de payer. Le paiement ne garantit pas la récupération des données, finance directement la cybercriminalité, et désigne l'entreprise comme une cible « qui paie », donc susceptible d'être attaquée à nouveau. La seule vraie réponse est une sauvegarde saine qui rend la rançon inutile.
Ne découvrez pas votre niveau de protection le jour de l'attaque
Les 72 heures d'une cyberattaque ne s'improvisent pas : tout se joue dans la préparation. Convergence Informatique accompagne les PME de Beauvais et de l'Oise depuis 1995 et sécurise leurs systèmes au quotidien, des antivirus jusqu'aux solutions souveraines de détection avancée.
Demandez votre audit cybersécurité offert Nous identifions vos points d'exposition réels et vous remettons un plan d'action clair, sans engagement. ☎ 03 44 82 43 97 | contact@convergence-info.fr |