Piratage ou hameçonnage : tous les services à prévenir, et dans quel ordre

Virement frauduleux, compte piraté, appel suspect : banque, plainte, CNIL, assurance, 17Cyber, 33700, Pharos. La liste des interlocuteurs et les...

Au moment où une entreprise découvre qu'un compte a été piraté, qu'un virement est parti au mauvais destinataire ou qu'un salarié a communiqué ses identifiants après un appel, la question qui se pose n'est pas technique : c'est « qui prévient-on, et dans quel ordre ? ». Chaque heure compte, plusieurs délais légaux courent en parallèle, et la plupart des dirigeants découvrent ces interlocuteurs au pire moment. Voici la liste, classée par urgence.

Avant tout appel extérieur, trois gestes conditionnent la suite. Isoler la machine touchée du réseau sans l'éteindre, afin de préserver les traces présentes en mémoire, qui disparaîtraient à l'extinction et qui sont précieuses pour comprendre l'origine de l'intrusion. Changer ensuite le mot de passe du compte compromis depuis un autre poste, et surtout révoquer les sessions actives : un mot de passe modifié ne déconnecte pas l'attaquant déjà connecté, qui peut continuer à travailler tranquillement pendant des heures. Vérifier enfin les règles de transfert automatique de la boîte aux lettres, car c'est la première chose que l'attaquant met en place pour continuer à lire les messages après coup.

En parallèle, prévenir le prestataire informatique et la direction. Si l'entreprise a désigné un délégué à la protection des données, il doit être informé immédiatement : c'est lui qui pilote le délai de soixante-douze heures évoqué plus bas, et ce délai commence à courir dès la découverte, pas à la fin de l'analyse.

Un dernier point, souvent décisif : si un salarié est à l'origine du clic, le message de la direction doit être explicite et donné tout de suite — on signale sans crainte de reproche. Dans les incidents que nous traitons, ce sont rarement les minutes techniques qui manquent, ce sont les heures perdues par quelqu'un qui hésite à dire ce qui s'est passé. Une entreprise qui sanctionne le signalement s'assure d'être prévenue trop tard la fois suivante.

Ces trois gestes doivent être connus à l’avance, car personne ne les improvise correctement dans la panique. Il est utile de désigner nommément la personne qui les exécute et son remplaçant, puis de vérifier une fois par an que les accès nécessaires fonctionnent encore. Un administrateur en congés et un mot de passe d’urgence oublié suffisent à transformer un incident maîtrisable en soirée perdue.

Si de l'argent est en jeu : la banque en premier

En cas de virement frauduleux ou de coordonnées bancaires détournées, la banque doit être appelée sans attendre, sur le numéro du service fraude figurant au dos de la carte ou dans l'espace client — jamais sur un numéro communiqué dans le message suspect, qui renverrait droit vers l'escroc. Certains virements peuvent encore être rappelés dans les heures qui suivent, surtout s'ils n'ont pas encore été exécutés ou si la banque destinataire coopère rapidement ; passé un ou deux jours, les chances s'effondrent.

Pour une fraude à la carte bancaire, le signalement s'effectue en ligne via le service Perceval, accessible depuis service-public.fr. Il ne remplace pas la démarche auprès de la banque : il la complète et alimente les enquêtes en recoupant les affaires entre victimes.

Si la fraude a impliqué une usurpation de votre ligne téléphonique — cas fréquent dans les détournements de double authentification par SMS — l'opérateur mobile doit être prévenu dans la foulée pour bloquer la carte SIM et refuser toute nouvelle demande de portabilité. Enfin, si des factures fournisseurs ont été modifiées, il faut prévenir directement les fournisseurs concernés : dans les fraudes au faux ordre de virement, la même usurpation vise souvent plusieurs entreprises d'une même chaîne commerciale.

Un point pratique reste souvent négligé : conserver les preuves. Captures d’écran du message frauduleux, en-têtes complets de l’e-mail, relevé du virement, horodatage des actions menées. La banque, l’assurance et les services d’enquête les demanderont, et ces éléments deviennent introuvables une fois la boîte nettoyée ou le poste réinstallé. Le réflexe coûte deux minutes et conditionne l’indemnisation.

Plainte, assistance publique et obligations légales

La plainte se dépose au commissariat, à la gendarmerie, ou en ligne selon la nature des faits : pour les escroqueries commises sur Internet, la plateforme THESEE permet un dépôt en ligne. Le dépôt de plainte n'est pas une formalité symbolique : il conditionne l'indemnisation par l'assurance, il est souvent exigé par la banque, et il permet le recoupement des affaires.

Côté assistance, le dispositif national se trouve sur cybermalveillance.gouv.fr, avec le service 17Cyber : un diagnostic guidé, des conseils adaptés au type d'incident et une mise en relation avec des prestataires référencés. Les professionnels disposent en outre du service Mon ExpertCyber pour la sécurisation après incident, et le site publie des fiches réflexes précises qu'il vaut mieux avoir lues avant d'en avoir besoin. Pour un conseil téléphonique, la plateforme Info Escroqueries du ministère de l'Intérieur répond au 0 805 805 817, service gratuit.

Viennent enfin les obligations. Si des données personnelles ont été exposées — fichier clients, données de salariés, coordonnées bancaires — la violation doit être notifiée à la CNIL dans les soixante-douze heures suivant sa découverte, dès lors qu'elle présente un risque pour les personnes ; une notification initiale peut être complétée ensuite. Lorsque le risque est élevé, les personnes concernées doivent également être informées directement, ce qui protège aussi la relation commerciale : un client prévenu par vous accepte bien mieux la situation qu'un client qui l'apprend ailleurs. L'assurance doit être déclarée dans le délai prévu au contrat, souvent cinq jours ouvrés. Et les entreprises relevant de la directive NIS2 ont leurs propres obligations auprès de l'ANSSI, avec une première alerte sous vingt-quatre heures.

Signaler, même sans préjudice

Un incident qui n'a rien coûté mérite quand même d'être signalé, parce que le signalement alimente la détection collective et fait tomber des campagnes entières. Un e-mail d'hameçonnage se signale à Signal Spam. Un SMS ou un appel frauduleux se signale au 33700, gratuitement, en transférant simplement le message. Un contenu illicite ou un site frauduleux se signale sur la plateforme Pharos, à l'adresse internet-signalement.gouv.fr. Un litige commercial ou une pratique trompeuse relève de SignalConso.

Reste le travail de fond, celui qui se fait avant. Le seul moyen de gagner du temps le jour venu est d'avoir écrit la liste à l'avance. Une page unique, imprimée et accessible sans réseau, suffit : numéro du service fraude de la banque, contact du prestataire informatique, numéro de contrat d'assurance et délai de déclaration, coordonnées du délégué à la protection des données, et le nom de la personne habilitée à décider. En situation réelle, ce n'est pas la solution technique qui manque, c'est la décision et le bon numéro.

Le réflexe à retenir tient en une phrase : on isole, on prévient sa banque, on dépose plainte, on notifie, on signale. Dans cet ordre. La fiche ci-dessous rassemble tous les contacts utiles — imprimez-la et affichez-la là où elle sera trouvée sans ordinateur.

Cet article présente une information générale et ne constitue pas un conseil juridique.