Cyberattaque en cours : les premiers gestes
Trouvez votre situation dans le sommaire et suivez les gestes, dans l’ordre. Ces gestes reprennent les recommandations de l’Office fédéral de la cybersécurité (OFCS), du canton de Vaud et de Microsoft. Ils ne posent pas de diagnostic et ne remplacent pas une intervention.
En dehors des heures de bureau, seuls les clients dont le contrat le prévoit sont pris en charge. En cas d’urgence, appelez la police au 117.
Le réflexe de base → débranchez du réseau, sans éteindre
Ces gestes valent pour tout incident. Suivez-les dans l’ordre.
Débranchez l’appareil touché du réseau : retirez le câble et coupez le WiFi. Ne l’éteignez pas avant d’avoir parlé à un spécialiste.
Si vous avez des sauvegardes sur un disque ou un serveur, déconnectez-les du réseau tout de suite.
Ne supprimez rien et n’essayez pas de réparer vous-même.
Notez l’heure et ce que vous avez vu. Photographiez avec votre téléphone les messages affichés à l’écran.
Si vous avez saisi un mot de passe sur un site douteux, changez-le depuis un autre appareil.
Prévenez votre responsable informatique, puis appelez Computis pendant les heures de bureau au 021 804 69 00.
À ne pas faire
Contacter les auteurs de l’attaque ou payer quoi que ce soit. Payer ne garantit pas de récupérer les données.
Qui prévenir : votre responsable informatique, puis Computis. En cas d’urgence, la police au 117. Signalez l’attaque à l’OFCS (voir Numéros et contacts d’urgence).
Numéros et contacts d’urgence
Computis : 021 804 69 00, pendant les heures de bureau. En dehors de ces heures, seulement pour les clients dont le contrat le prévoit, selon leurs conditions.
Police : 117 en cas d’urgence. Police cantonale vaudoise hors urgence : 021 644 44 44.
OFCS, signalement en ligne : https://www.report.ncsc.admin.ch/fr/. Un signalement à l’OFCS ne remplace pas une plainte pénale.
Votre banque : son numéro habituel, jamais celui d’un message reçu.
PFPDT, annonce d’une violation de données (entreprises) : portail databreach.edoeb.admin.ch. PFPDT : Préposé fédéral à la protection des données et à la transparence.
APDI, Autorité de protection des données et de droit à l’information, à Lausanne (communes vaudoises) : le canton fournit un formulaire d’annonce.
Communes et infrastructures critiques : les autorités cantonales et communales doivent signaler une cyberattaque à l’OFCS dans les 24 heures suivant sa détection, quelle que soit leur taille. Le signalement se complète dans les 14 jours. Une PME non assujettie peut signaler volontairement.
Rançongiciel, fichiers chiffrés → débranchez le poste
Signes typiques : fichiers illisibles, extensions inconnues comme .locked, message qui réclame un paiement.
Débranchez le poste du réseau : câble, WiFi et 4G.
Ne l’utilisez plus, mais laissez-le allumé si possible.
Notez ce qui se passe et photographiez l’écran.
Coupez les sauvegardes du réseau et vérifiez qu’elles sont intactes.
Appelez votre prestataire informatique, puis la police. L’OFCS recommande une plainte à la police cantonale du siège.
La direction décide tôt si une analyse forensique, l’examen technique des traces, sera faite : la plainte en dépend.
À ne pas faire
Redémarrer ou réparer avant d’avoir copié la mémoire et les disques : l’analyse forensique devient presque impossible. Effacer les données chiffrées, même dans les sauvegardes : une clé peut être trouvée plus tard, par exemple sur nomoreransom.org.
Payer seul. L’OFCS déconseille la rançon et demande d’en parler d’abord avec la police cantonale. Computis déconseille aussi de contacter les auteurs.
Qui prévenir : votre prestataire informatique, puis la police cantonale. Commune : signalement à l’OFCS dans les 24 heures. Données personnelles touchées : voir Données personnelles perdues, volées ou envoyées au mauvais destinataire.
Compte Microsoft 365 piraté → révoquez les sessions
Ces gestes se font par l’administrateur Microsoft 365 ou par votre prestataire informatique.
Désactivez le compte touché. Sinon, réinitialisez son mot de passe. Laissez-le désactivé jusqu’à la fin de l’examen.
Révoquez les sessions actives, depuis le centre d’administration Microsoft Entra : les jetons volés cessent alors de fonctionner.
Supprimez les adresses de transfert et les règles de boîte suspectes, règles masquées comprises.
Contrôlez les journaux de connexion : adresse IP, lieu, heure. Retirez les méthodes d’authentification multifacteur (MFA), applications autorisées, rôles d’administration et mots de passe d’application inconnus.
Activez la MFA.
Vérifiez les courriels envoyés. Prévenez vos contacts que le compte a été piraté.
À ne pas faire
Vous contenter de changer le mot de passe : une règle de transfert continue d’envoyer les courriels aux escrocs, et la réinitialisation ne révoque pas les mots de passe d’application.
Envoyer le nouveau mot de passe par courriel, ou cliquer sur le lien d’une alerte de connexion. Tapez vous-même l’adresse du service.
Qui prévenir : votre prestataire informatique ou l’administrateur Microsoft 365. Si la boîte contenait des données personnelles : voir Données personnelles perdues, volées ou envoyées au mauvais destinataire.
Faux ordre de paiement ou faux IBAN, le virement est parti → appelez votre banque
Appelez votre banque tout de suite, par son numéro habituel, pas celui du message.
Dites clairement qu’il s’agit d’une fraude présumée : un rappel ordinaire ne suffit pas dans ce cas.
Prévenez votre service informatique : la fraude passe souvent par une messagerie piratée ou falsifiée.
Gardez le courriel, la facture et l’ordre. Notez l’heure, l’expéditeur et le contenu.
Déposez plainte.
Selon l’Ombudsman des banques suisses, un paiement confirmé est irrévocable : la banque peut seulement en demander le rappel. Les fonds sont souvent retirés très vite, et un rappel tardif échoue fréquemment.
À ne pas faire
Attendre le prochain jour ouvrable : les escrocs retirent ou transfèrent en général l’argent tout de suite.
Répondre au courriel. Vérifiez une demande inhabituelle par téléphone ou en personne.
Qui prévenir : votre banque, puis votre service informatique, puis la police pour la plainte. Si la fraude est partie d’une boîte Microsoft 365 : voir Compte Microsoft 365 piraté.
Données personnelles perdues, volées ou envoyées au mauvais destinataire → évaluez l’annonce
Un courriel envoyé au mauvais destinataire compte aussi.
Identifiez le type de données touchées.
Isolez les systèmes ou comptes concernés.
Évaluez s’il faut annoncer : au PFPDT pour une entreprise, à l’APDI pour une commune vaudoise.
Documentez une première analyse du risque.
Entreprise : annoncez au PFPDT aussi vite que possible une violation qui entraîne vraisemblablement un risque élevé pour les personnes, sur databreach.edoeb.admin.ch. Informez les personnes concernées si leur protection l’exige.
Des données chiffrées efficacement restent illisibles sans la clé : l’obligation d’annoncer ne s’applique alors pas. Pour une entreprise, chaque violation se documente, et cette documentation se garde au moins deux ans.
Commune vaudoise : pour ses propres traitements, une commune vaudoise relève de la loi cantonale sur la protection des données personnelles (LPrD), pas de la LPD fédérale. L’annonce à l’APDI n’est pas encore une obligation légale, mais le canton l’attend systématiquement et fournit un formulaire.
À ne pas faire
Attendre d’avoir tout clarifié. En cas de doute sur le risque, le PFPDT demande d’annoncer sans tarder.
Vous fier à la bonne foi d’un destinataire inconnu : elle n’exclut pas un risque élevé.
Qui prévenir : votre prestataire informatique, avec la personne qui décide de l’annonce. Cette décision revient au responsable du traitement, pas au prestataire. Quand Computis est votre sous-traitant informatique, elle vous annonce sans tarder toute violation de la sécurité des données.
Ordinateur ou téléphone perdu ou volé → coupez ses accès
Prévenez l’informatique pour couper l’accès de l’appareil aux comptes de l’entreprise. Dans Microsoft Entra, l’administrateur peut désactiver l’appareil et révoquer les sessions.
Changez les mots de passe des comptes ouverts sur l’appareil, depuis un autre appareil.
Localisez l’appareil, si la fonction était activée : Localiser chez Apple, Localiser mon appareil sous Android, Find My Mobile chez Samsung. Il doit en général être allumé et connecté à Internet.
Si nécessaire, effacez-le à distance.
Déclarez le vol à la police.
La question clé du jour : l’appareil était-il chiffré ? Si oui, le risque pour les données baisse fortement. Sinon, voir Données personnelles perdues, volées ou envoyées au mauvais destinataire.
À ne pas faire
Lancer l’effacement sans savoir si les données existent ailleurs : après réinitialisation, elles sont irrécupérables.
Céder si des inconnus exigent ensuite le déblocage de l’appareil. Adressez-vous au support du fabricant.
Qui prévenir : votre support informatique, puis la police pour un vol.
Faux support technique, quelqu’un a pris la main sur mon poste → raccrochez et débranchez
Le scénario type : un faux employé, par exemple de Microsoft, prétend que l’ordinateur est infecté et fait installer un logiciel d’accès à distance.
Raccrochez et débranchez le poste du réseau : câble, WiFi et 4G.
Désinstallez le programme d’accès à distance.
Changez tous les mots de passe utilisés sur ce poste, depuis un appareil sain.
Si vous avez donné votre carte de crédit, faites-la bloquer par son émetteur.
Faites analyser le poste par un informaticien. Le plus sûr est de le réinitialiser entièrement, après avoir sauvegardé les données.
En cas de préjudice financier, déposez plainte à la police.
Selon l’OFCS, aucune entreprise informatique n’appelle sans prévenir pour régler un problème.
À ne pas faire
Utiliser le numéro ou les coordonnées affichés dans une alerte : ils sont falsifiés.
Faire de l’e-banking ou des achats par carte sur ce poste tant qu’il n’est pas nettoyé.
Qui prévenir : votre propre support informatique, avec le numéro que vous connaissez. Si une messagerie était ouverte pendant la prise en main : voir Compte Microsoft 365 piraté.
Après l’incident : preuves, assurance, communication → gardez les preuves
Une fois la crise contenue :
Gardez les preuves avant toute remise en état : notes, photos d’écran, fichiers journaux, copie de la mémoire et des disques. Conservez aussi les données chiffrées.
Arrêtez une version officielle unique. Informez l’interne avant l’externe, et vos propres canaux avant les médias.
Désignez une seule voix. Ne donnez que des faits, vite et régulièrement, sans gêner l’enquête policière.
Complétez les annonces déjà faites : l’OFCS accepte des compléments sous 14 jours, le PFPDT des annonces ultérieures.
Relisez votre police d’assurance : elle fixe ses propres conditions d’annonce et de preuve.
Planifiez un retour d’expérience et un test de restauration des sauvegardes. Le but premier : trouver la voie d’infection et empêcher une nouvelle infection.
Selon l’étude PME Cybersécurité 2026 citée par l’OFCS, seule une PME sur quatre vérifie que ses sauvegardes se restaurent.
À ne pas faire
Réparer ou redémarrer avant la copie des disques.
Laisser plusieurs services s’exprimer sans version commune, ou diffuser des hypothèses.
Qui prévenir : la police cantonale, si la plainte n’est pas encore déposée. Votre assureur, selon les conditions de votre police.
Quelle situation, quel geste
Débrancher l’appareil du réseau, sans l’éteindre
Responsable informatique, Computis ; police au 117 en urgence
Débrancher le poste : câble, WiFi et 4G
Prestataire informatique, puis police cantonale ; commune : OFCS dans les 24 heures
Désactiver le compte et révoquer les sessions
Administrateur Microsoft 365 ou prestataire informatique
Appeler la banque par son numéro habituel, en parlant de fraude présumée
Banque, service informatique, police pour la plainte
Identifier le type de données touchées
Prestataire informatique et personne qui décide de l’annonce ; PFPDT (entreprise) ou APDI (commune vaudoise)
Faire couper l’accès de l’appareil aux comptes
Support informatique, puis police pour un vol
Raccrocher et débrancher le poste
Votre propre support ; émetteur de la carte si vous l’avez donnée ; police en cas de préjudice
Garder les preuves avant toute remise en état
Police cantonale si la plainte n’est pas déposée ; votre assureur
Questions fréquentes
Faut-il payer la rançon ?
Non. Computis déconseille de payer une rançon et de contacter les auteurs, comme le recommande l’OFCS. Payer ne garantit pas de récupérer les données. La suite se décide avec la police.
Faut-il éteindre l’ordinateur touché ?
Non. Débranchez-le du réseau et laissez-le allumé si possible, sans l’utiliser. Redémarrer avant la copie de la mémoire et des disques rend l’analyse forensique presque impossible.
Changer le mot de passe suffit-il après le piratage d’un compte ?
Non. Une règle de transfert peut continuer d’envoyer vos courriels aux escrocs. Révoquez les sessions et supprimez les règles suspectes et les mots de passe d’application (voir Compte Microsoft 365 piraté).
Une commune doit-elle signaler une cyberattaque à l’OFCS ?
Oui, quelle que soit sa taille : les autorités communales figurent parmi les infrastructures critiques. Le premier signalement part dans les 24 heures suivant la détection, et se complète dans les 14 jours. Désignez à l’avance qui signale, et réglez par écrit la délégation si votre informatique est externalisée.
Un courriel envoyé au mauvais destinataire doit-il être annoncé ?
C’est une violation de la sécurité des données. Une entreprise l’annonce au PFPDT si le risque pour les personnes est vraisemblablement élevé ; en cas de doute, sans tarder. Une commune vaudoise s’adresse à l’APDI (voir Données personnelles perdues, volées ou envoyées au mauvais destinataire).
Computis répond-elle en dehors des heures de bureau ?
Seulement pour les clients dont le contrat le prévoit, selon leurs conditions. Sinon, appelez la police au 117 en cas d’urgence et signalez l’attaque à l’OFCS.
Une fois l’incident contenu, faites le point avec Computis : voie d’entrée, sauvegardes, retour d’expérience.
Sources : OFCS, Rançongiciels, que faire ? ; OFCS, Arnaque au président ; OFCS, Fake-Support ; OFCS, Que faire en cas de compte piraté ou de fuite de données ? ; OFCS, Cyberattaque, comment communiquer ? ; OFCS, FAQ concernant l’obligation de signaler ; canton de Vaud, Réagir à une cyberattaque ; PFPDT, DataBreach ; Microsoft Learn, Répondre à un compte de messagerie cloud compromis ; Ombudsman des banques suisses, cas 2024/07. Consultés les 31.10 et 01.11.2026.
Pour une question de droit, voyez un avocat ou l’autorité compétente ; Computis traite la partie technique.