Ransomware : plainte, assurance, preuves • le triptyque qui protège l'entreprise

Écran noir, fichiers renommés, message exigeant une rançon en cryptomonnaie : le rançongiciel reste l'une des attaques les plus redoutées des TPE et PME françaises. La production s'arrête, les sauvegardes sont parfois chiffrées elles aussi, et la pression au paiement est maximale.

C'est précisément dans ce moment de sidération que se joue la suite juridique du dossier. Trois chantiers doivent s'ouvrir en parallèle • plainte, assurance, preuves • pendant que vos équipes techniques travaillent à la reprise.

Payer la rançon : ce qu'en disent les autorités

L'ANSSI et Cybermalveillance.gouv.fr recommandent de ne pas payer la rançon. Les raisons sont constantes :

• •le paiement ne garantit ni la récupération des données ni l'absence de fuite ou de revente ;
• •il finance l'écosystème criminel et désigne l'entreprise comme un payeur potentiel pour de futures attaques ;
• •il peut fragiliser la position assurantielle et, selon les circonstances, soulever des questions de conformité.

À noter : depuis la loi LOPMI de 2023, l'indemnisation par l'assurance d'une rançon payée est conditionnée au dépôt d'une plainte dans les 72 heures suivant la connaissance de l'attaque. Autrement dit, même la voie du paiement • que nous ne recommandons pas • passe par la plainte.

Préserver les preuves : la matière première du dossier

Sans preuves, pas d'enquête efficace, pas d'indemnisation sereine, pas de défense solide. À préserver en priorité :

• •le message de rançon (capture d'écran, sans cliquer sur les liens) ;
• •les journaux systèmes et réseau des machines touchées ;
• •la chronologie : découverte, propagation, actions entreprises, heure par heure ;
• •les échanges éventuels avec les attaquants (à ne mener, le cas échéant, qu'avec l'appui de professionnels) ;
• •l'inventaire des systèmes et données touchés.

Règle d'or : ne pas réinstaller ni « nettoyer » les machines avant que les constats techniques aient été réalisés. L'idéal est de faire réaliser des copies forensiques par un prestataire de réponse à incident.

Déposer plainte : quand et comment

La plainte peut être déposée au commissariat, en gendarmerie ou adressée au procureur de la République. Des services spécialisés existent (selon les ressorts : sections cyber des parquets, services d'enquête spécialisés).

Trois conseils pratiques :

• •Vite : le délai de 72 heures conditionne l'indemnisation d'une éventuelle rançon et, plus largement, la fraîcheur des preuves sert l'enquête.
• •Documenté : joignez chronologie, captures et premier inventaire des dommages.
• •Accompagné : un avocat structure la plainte, qualifie les infractions (accès frauduleux à un système de traitement automatisé de données, extorsion, atteintes aux données…) et protège vos intérêts dans la durée.

Activer l'assurance cyber sans faux pas

Les contrats cyber couvrent généralement tout ou partie de : réponse à incident, reconstruction, pertes d'exploitation, frais juridiques et de notification. Mais ils comportent des conditions strictes :

• •délais de déclaration courts (parfois 48 h) ;
• •procédure imposée (prestataires agréés, accord préalable pour certains frais) ;
• •exclusions (négligence caractérisée, systèmes non mis à jour, absence de sauvegardes…).

Relisez le contrat avant d'engager des dépenses importantes et faites valider les étapes clés par écrit. En cas de difficulté d'indemnisation, voyez notre article Cyberattaque et assurance : obtenir une indemnisation.

Ne pas oublier le volet RGPD

Un rançongiciel qui chiffre des données personnelles constitue une violation de données (atteinte à la disponibilité, souvent doublée d'une exfiltration). L'analyse de notification CNIL sous 72 heures s'impose donc, en parallèle des autres chantiers • voir notre guide Violation de données RGPD : faut-il notifier la CNIL ?.

Étapes : le parcours type après un ransomware

1. Isoler et alerter

Déconnexion réseau des machines touchées, alerte de la direction, du prestataire informatique et de l'assureur.

2. Préserver les preuves

Captures, journaux, chronologie ; copies forensiques par un professionnel avant toute restauration.

3. Déposer plainte sous 72 heures

Plainte documentée, avec l'appui d'un avocat ; c'est aussi une condition d'assurabilité de la rançon (que le paiement soit ou non envisagé).

4. Déclarer le sinistre à l'assureur

Dans les délais du contrat, en suivant sa procédure de crise.

5. Traiter le volet CNIL

Qualification de la violation, notification sous 72 heures si le risque est caractérisé, registre interne dans tous les cas.

6. Reconstruire et documenter

Restauration à partir de sauvegardes saines, audit de l'intrusion, plan de remédiation • voir notre article Remédiation, audit, retour d'activité.

Glossaire express

• •Rançongiciel (ransomware) : logiciel malveillant qui chiffre les données et exige une rançon.
• •Copie forensique : copie technique certifiée d'un système, réalisée pour préserver la preuve.
• •Perte d'exploitation : préjudice lié à l'interruption d'activité, souvent couvert par l'assurance cyber.

Dossier complet : RGPD, hacking, vol de données : vos réflexes après une cyberattaque.

Sources officielles : ANSSI (rançongiciels), Cybermalveillance.gouv.fr, Legifrance (loi LOPMI du 24 janvier 2023), CNIL.

Les contenus et outils proposés sur LeDroitEnClair.fr ont une vocation informative. Ils ne remplacent pas une consultation personnalisée auprès d'un avocat, d'un DPO ou d'un professionnel qualifié en cybersécurité.