Un poste qui affiche soudain un message de rançon, une alerte de connexion depuis un pays inconnu, un collaborateur qui signale ne plus pouvoir ouvrir ses dossiers : dans les minutes qui suivent la découverte d'un incident cyber, la tentation est grande de vouloir tout comprendre avant d'agir. C'est pourtant l'inverse qu'il faut faire. Les bons réflexes des premières heures limitent l'ampleur des dégâts bien avant que le diagnostic complet ne soit établi.
Qu'est-ce qu'un incident cyber pour un cabinet ?
Un incident cyber ne se limite pas au scénario spectaculaire du rançongiciel qui bloque tout le système. Pour un cabinet d'avocats, il recouvre une famille beaucoup plus large de situations, dont certaines paraissent anodines au premier abord :
Signes évidents
- → Message de rançon affiché sur un poste ou un serveur
- → Fichiers renommés avec une extension inconnue, illisibles
- → Impossibilité soudaine d'accéder au logiciel de gestion
Signes discrets, tout aussi sérieux
- → Alerte de connexion depuis un lieu ou un appareil inhabituel
- → Emails envoyés depuis une boîte du cabinet à l'insu de son titulaire
- → Ralentissements ou comportements anormaux persistants sur un poste
⚠️ Le piège le plus fréquent : attendre d'avoir la certitude qu'il s'agit bien d'une attaque avant de réagir. Un signal faible non traité laisse le temps à un intrus de progresser dans le système ou à un chiffrement de se propager à d'autres postes et aux sauvegardes connectées.
Les 3 premiers réflexes, avant tout diagnostic
Avant même de savoir précisément ce qui s'est passé, trois actions limitent l'ampleur d'un incident en cours.
Réflexe 1 — Isoler sans éteindre
Débranchez le câble réseau ou désactivez le Wi-Fi du poste concerné pour l'isoler, mais évitez de l'éteindre si possible : la mémoire vive contient souvent des indices utiles à l'analyse technique ultérieure. Un rançongiciel en cours de chiffrement, une fois le poste isolé, ne peut plus se propager aux autres machines ni aux lecteurs réseau partagés.
Réflexe 2 — Ne pas manipuler ni « nettoyer » soi-même
Supprimer des fichiers suspects, réinstaller un système ou tenter de déchiffrer des données par ses propres moyens détruit souvent les preuves nécessaires à l'analyse et peut aggraver la situation. Laissez cette étape à votre prestataire informatique ou à un expert en réponse à incident.
Réflexe 3 — Changer les mots de passe depuis un appareil sain
Si un compte semble compromis (messagerie, logiciel de gestion, accès distant), changez son mot de passe depuis un appareil non touché par l'incident, et activez ou vérifiez l'authentification à deux facteurs sur ce compte.
❌ À ne pas faire : éteindre brutalement tous les postes du cabinet par précaution. Cette réaction, fréquente sous le coup du stress, peut effacer des traces utiles et retarde souvent la reprise, sans empêcher un chiffrement déjà en cours sur d'autres machines isolées trop tard.
Qui prévenir, et dans quel ordre ?
La rapidité de la chaîne d'alerte détermine en grande partie l'ampleur finale de l'incident. Voici l'ordre généralement recommandé pour un cabinet.
1. Le prestataire informatique ou l'expert en réponse à incident
C'est le premier interlocuteur technique. Il pourra confirmer la nature de l'incident, engager le confinement et, si besoin, orienter vers un prestataire spécialisé en réponse à incident référencé par l'État sur la plateforme cybermalveillance.gouv.fr.
2. La direction du cabinet
Même dans une petite structure, une personne doit centraliser les décisions : arrêt ou maintien de l'activité, communication interne, validation des dépenses d'urgence.
3. L'assureur du cabinet
De nombreux contrats de responsabilité civile professionnelle incluent désormais une garantie cyber, avec des délais de déclaration à respecter et parfois un prestataire de gestion de crise imposé par l'assureur.
4. Le délégué à la protection des données ou le référent RGPD interne
Il évalue si l'incident constitue une violation de données personnelles au sens du RGPD et déclenche, si nécessaire, la procédure de notification.
5. Les clients concernés, une fois la situation clarifiée
Une communication prématurée et approximative est parfois plus dommageable qu'un délai raisonnable pour disposer d'informations fiables — sans pour autant retarder une information devenue nécessaire.
💡 Bon à savoir : déposer une plainte pénale est également recommandé, notamment auprès des unités spécialisées en cybercriminalité. Elle peut être nécessaire pour certaines démarches assurantielles et constitue une trace officielle de l'incident subi.
Faut-il notifier la CNIL ?
C'est l'une des questions les plus fréquentes, et la réponse dépend de l'analyse de risque, pas de la seule gravité technique de l'incident. Si l'incident a entraîné un accès non autorisé, une perte ou une divulgation de données personnelles (dossiers clients, données de collaborateurs, données RH), il s'agit potentiellement d'une violation de données au sens du RGPD.
Le principe : si un risque existe pour les personnes concernées, le responsable de traitement doit notifier la CNIL dans un délai de 72 heures après en avoir eu connaissance. Cette évaluation et les démarches associées sont détaillées dans notre article dédié : violation de données personnelles en cabinet, que faire.
Trois questions pour orienter la décision
- ✓ Des données personnelles étaient-elles accessibles depuis le système ou le compte touché ?
- ✓ Y a-t-il un indice concret d'accès, d'exfiltration ou de perte de ces données, et non une simple tentative bloquée ?
- ✓ Quel est le risque concret pour les personnes concernées (usurpation, atteinte au secret professionnel, préjudice financier) ?
Documenter l'incident dès la première heure
Le réflexe de documentation est souvent négligé sous le coup de l'urgence, alors qu'il conditionne la suite : dossier d'assurance, éventuelle notification CNIL, plainte pénale, retour d'expérience interne.
À noter dès la découverte, avec l'heure précise
✓ Date et heure de la découverte
✓ Qui a détecté l'incident et comment
✓ Postes, comptes ou services concernés
✓ Message ou comportement observé (capture d'écran si possible)
✓ Actions déjà entreprises et par qui
✓ Personnes prévenues et à quelle heure
Un journal d'audit intégré au logiciel de gestion facilite grandement cette reconstitution, en conservant une trace horodatée des connexions et actions effectuées avant, pendant et après l'incident — un élément précieux pour l'analyse comme pour la preuve.
La checklist des premiers réflexes
☐ Isoler le ou les postes touchés du réseau, sans les éteindre
☐ Ne rien supprimer ni « réparer » soi-même
☐ Changer les mots de passe des comptes exposés depuis un appareil sain
☐ Alerter le prestataire informatique
☐ Informer la direction du cabinet
☐ Contacter l'assureur si une garantie cyber existe
☐ Évaluer avec le référent RGPD si une notification CNIL s'impose
☐ Documenter chronologiquement chaque constat et chaque action
Anticiper plutôt que subir
Un cabinet qui dispose déjà d'un [plan de continuité d'activité](/blog/plan-de-continuite-d-activite-pca-pour-cabinet-d-avocats) traverse un incident cyber avec beaucoup plus de sérénité : les rôles sont connus à l'avance, les contacts d'urgence identifiés, et l'accès aux dossiers via un [logiciel de gestion hébergé](/fonctionnalites) plutôt que des fichiers uniquement locaux limite la casse en cas de poste compromis.
Les erreurs à ne pas commettre
❌ Attendre d'être certain avant d'agir
Un signal faible ignoré laisse le temps à l'incident de s'étendre. Isoler par précaution ne coûte rien ; attendre peut coûter cher.
❌ Garder l'incident secret au sein du cabinet
Plus l'alerte circule tôt en interne vers les bonnes personnes, plus vite les comptes exposés peuvent être sécurisés.
❌ Restaurer une sauvegarde sans vérifier son intégrité
Si l'intrus était présent depuis plusieurs jours, les sauvegardes récentes peuvent elles-mêmes être compromises. Faites vérifier leur fiabilité avant restauration.
❌ Négliger le volet humain
Un collaborateur qui a cliqué sur un lien malveillant ne doit pas être sanctionné pour l'avoir signalé : c'est ce signalement rapide qui permet de réagir à temps.
FAQ
Faut-il débrancher tout le réseau du cabinet en cas de doute ?
Pas nécessairement. Isolez en priorité le ou les postes concrètement concernés. Couper l'intégralité du réseau se justifie seulement si votre prestataire confirme une propagation active ou une incertitude sur son étendue.
Doit-on informer les clients immédiatement ?
Pas avant d'avoir une vision minimale de la situation. Une information prématurée et inexacte peut créer une inquiétude disproportionnée ou, à l'inverse, sous-estimer un risque réel. En revanche, ne repoussez pas indéfiniment une information devenue nécessaire au regard du risque identifié.
Un petit cabinet doit-il avoir un contrat avec un prestataire de réponse à incident avant qu'un problème survienne ?
C'est recommandé, au même titre qu'une assurance. À défaut d'un contrat préétabli, la plateforme publique cybermalveillance.gouv.fr permet d'être mis en relation avec des prestataires de proximité qualifiés, y compris en urgence.
Que faire si l'incident touche le logiciel de gestion du cabinet lui-même ?
Contactez immédiatement l'éditeur du logiciel : un service hébergé et surveillé professionnellement dispose généralement de procédures d'isolement, de sauvegardes indépendantes et d'une équipe dédiée à la réponse à incident, ce qui n'est pas toujours le cas d'une infrastructure gérée en interne par un petit cabinet.
En résumé
Un incident cyber se gère d'abord par des réflexes simples et rapides — isoler, ne pas improviser de réparation, alerter les bonnes personnes dans l'ordre — bien avant que le diagnostic complet ne soit posé. La documentation dès la première heure et une chaîne d'alerte connue à l'avance font toute la différence entre un incident maîtrisé et une crise prolongée.
Pour réduire l'exposition de votre cabinet en amont, découvrez les fonctionnalités NetJuris — hébergement en France, journal d'audit et sauvegardes intégrées — et notre offre tarifaire.
Sources : cybermalveillance.gouv.fr ; CNIL — notification de violation de données ; RGPD, article 33.