Un employé a cliqué sur un lien malveillant, que faire immédiatement ? Isolez immédiatement le poste du réseau en débranchant le câble Ethernet ou en désactivant le WiFi, sans nécessairement éteindre l'ordinateur — surtout si un ransomware est soupçonné, car l'appareil peut contenir des preuves utiles à l'analyse. Alertez sans délai le responsable informatique ou votre fournisseur de services gérés, notez l'heure exacte du clic, et évitez de continuer à utiliser le poste ou les comptes potentiellement exposés avant d'avoir reçu des consignes claires.
Ce guide s'adresse aux gestionnaires, propriétaires et responsables informatiques de PME québécoises confrontés à une situation stressante mais fréquente : un employé vient de vous informer, ou vous venez de découvrir, qu'un lien suspect a été cliqué. Contrairement à un article théorique sur la cybersécurité, ce guide fonctionne comme une checklist d'urgence à suivre étape par étape, minute par minute, dans les premières heures suivant l'incident. Nos techniciens certifiés interviennent régulièrement en support informatique pour PME lors de ce type d'urgence et appliquent la même méthodologie décrite ici lorsqu'ils sont appelés à sécuriser un environnement d'entreprise après un incident de cybersécurité.
Gardez votre calme, la panique aggrave la situation
La première réaction naturelle après avoir cliqué sur un lien suspect est la panique, qui pousse souvent à des décisions précipitées : éteindre brutalement l'ordinateur, tenter de tout réparer seul sans en informer personne, ou au contraire ne rien faire en espérant que rien de grave ne se produise. Aucune de ces réactions n'est la bonne. Suivez la séquence ci-dessous, dans l'ordre, et vous réduirez considérablement les dégâts potentiels, peu importe le scénario exact.
Les 5 premières minutes : la checklist d'urgence immédiate
Ce qui se passe dans les cinq premières minutes suivant un clic sur un lien malveillant détermine souvent si l'incident reste mineur et contenu, ou s'il se transforme en compromission majeure touchant l'ensemble du réseau de votre PME. Voici, dans l'ordre exact, les gestes à poser.
Isoler le poste du réseau — sans nécessairement l'éteindre
Débranchez immédiatement le câble Ethernet ou désactivez le WiFi de l'appareil concerné. Cette étape coupe la communication entre le poste et le reste du réseau, empêchant un logiciel malveillant de se propager vers d'autres postes, serveurs ou appareils partagés. Il s'agit du geste le plus important et le plus rapide à poser, et il ne requiert aucune expertise technique particulière — n'importe quel employé peut débrancher un câble ou désactiver le WiFi en quelques secondes.
Éteindre ou ne pas éteindre : la nuance qui change tout
Ici se trouve l'erreur la plus fréquente et la plus coûteuse : éteindre immédiatement l'ordinateur par réflexe. Si un ransomware est soupçonné (fichiers renommés avec une extension inconnue, message de rançon apparaissant à l'écran, icônes de documents devenues illisibles), isolez le réseau mais laissez l'appareil allumé si possible. La mémoire vive de l'ordinateur peut contenir des informations précieuses pour un expert en réponse à incident — parfois même une clé de déchiffrement temporaire — qui disparaissent instantanément à l'extinction. En revanche, si le poste ne montre aucun signe de ransomware actif et que le risque semble limité à une exposition d'identifiants (par exemple une saisie sur une fausse page de connexion), l'isolement réseau suffit généralement sans qu'il soit nécessaire d'éteindre quoi que ce soit.
Alerter immédiatement le responsable informatique
Que ce soit une ressource interne ou un fournisseur externe de services gérés, la personne responsable doit être avisée dans les minutes suivant la découverte, jamais à la pause du midi ou en fin de journée. Communiquez l'heure exacte du clic, ce que l'employé se rappelle avoir vu ou fait (lien cliqué, pièce jointe ouverte, identifiants saisis), et l'état actuel du poste.
Ne pas paniquer, ne pas blâmer, ne pas cacher
L'employé qui a cliqué n'est ni le premier ni le dernier à qui cela arrivera — les campagnes de phishing modernes, souvent générées par intelligence artificielle, sont conçues précisément pour tromper des personnes attentives et compétentes. Une réaction de blâme immédiat pousse à la dissimulation lors du prochain incident, ce qui est nettement plus dangereux pour l'entreprise qu'un signalement rapide et honnête, même embarrassant.
Documenter ce qui s'est passé pendant que c'est frais
Notez par écrit, dès que possible, l'heure précise, le contenu approximatif du courriel ou du message reçu, l'adresse de l'expéditeur si elle est visible, et toute action posée par l'employé après le clic (saisie de mot de passe, téléchargement, macro activée). Cette documentation accélère considérablement le travail de l'expert appelé à intervenir et sera nécessaire si une notification réglementaire s'avère requise.
Quel scénario exact ? L'action immédiate selon ce qui a été cliqué ou saisi
Toutes les situations de « clic sur un lien malveillant » ne se valent pas, et l'action à prendre varie sensiblement selon le scénario précis. Le tableau suivant présente les cinq situations les plus fréquentes en contexte de PME et l'action immédiate spécifique à chacune.
| Scénario | Risque principal | Action immédiate spécifique |
|---|---|---|
| Clic sur un simple lien, sans saisie ni téléchargement | Faible à modéré — dépend du site de destination | Isoler le réseau par précaution, fermer l'onglet, scanner le poste ; surveiller le comportement du poste dans les heures suivantes |
| Ouverture d'une pièce jointe (PDF, Word, Excel) | Modéré à élevé — possibilité de charge malveillante intégrée | Isoler le réseau immédiatement, ne pas fermer d'éventuelles fenêtres suspectes brutalement, scanner avec un antivirus à jour avant toute autre action |
| Saisie d'identifiants sur une fausse page de connexion | Élevé — compromission de compte probable | Changer le mot de passe du compte concerné IMMÉDIATEMENT depuis un autre appareil non compromis, activer le 2FA, vérifier les journaux de connexion |
| Activation d'une macro dans un document Office | Très élevé — exécution de code possible sur le poste | Isoler le réseau sans délai, ne pas éteindre si un ransomware est suspecté, contacter immédiatement un expert en réponse à incident |
| Téléchargement et exécution d'un fichier .exe ou installateur | Critique — compromission active probable du système | Isoler le réseau, préserver l'état actuel du poste, contacter un expert en urgence ; envisager l'arrêt seulement sur recommandation d'un spécialiste |
Dans les cinq scénarios, l'isolement réseau demeure le premier réflexe commun. Ce qui change, c'est la gravité présumée et la rapidité avec laquelle une expertise externe devient nécessaire : un simple clic sans conséquence visible peut souvent être géré en interne avec un scan antivirus, tandis qu'une macro activée ou un exécutable téléchargé justifie presque toujours l'intervention rapide d'un spécialiste en audit de sécurité informatique.
Dans le doute, traitez toujours le scénario le plus grave
Lorsque l'employé n'est pas certain de ce qu'il a exactement cliqué, ouvert ou saisi — ce qui est fréquent sous le coup du stress — la prudence commande de traiter la situation comme le scénario le plus sérieux plausible plutôt que le plus optimiste. Il est toujours possible de désescalader une fois la situation clarifiée, mais rarement possible de revenir en arrière après avoir sous-réagi à un incident qui s'avérait grave.
Un employé vient de cliquer sur un lien suspect ?
Nos techniciens certifiés IT Cares interviennent en urgence pour isoler, analyser et sécuriser vos postes et vos comptes après un incident de sécurité. Disponibles pour intervention rapide, à distance ou sur place à Montréal.
Les 15 à 60 minutes suivantes : sécuriser ce qui peut encore l'être
Une fois le poste isolé et le responsable informatique alerté, la fenêtre des quinze à soixante minutes suivantes est déterminante pour limiter les conséquences d'une compromission de compte ou d'identifiants. Voici les gestes à poser dans cet ordre.
Changer les mots de passe à partir d'un autre appareil non compromis
Si l'employé a saisi des identifiants sur une fausse page, ou si le poste montre des signes de compromission active, changez immédiatement le mot de passe du compte concerné — mais jamais depuis le poste potentiellement infecté. Utilisez un autre ordinateur, une tablette ou un téléphone dont vous êtes certain qu'il n'a pas été exposé. Changer un mot de passe depuis l'appareil compromis peut simplement transmettre le nouveau mot de passe à l'attaquant si un enregistreur de frappe ou un logiciel espion est déjà actif sur le poste.
Vérifier les comptes financiers et bancaires de l'entreprise
Si le compte compromis a un accès direct ou indirect aux systèmes financiers de l'entreprise (comptabilité en ligne, portail bancaire, plateforme de paie), vérifiez immédiatement l'historique des transactions récentes et communiquez avec votre institution financière si un virement suspect ou non autorisé est repéré. Un virement frauduleux signalé dans l'heure a des chances réelles d'être rappelé ; le même virement signalé le lendemain est presque toujours irrécupérable.
Activer le 2FA si ce n'est pas déjà fait
Si l'authentification à deux facteurs n'était pas déjà activée sur le compte concerné, activez-la sans attendre, immédiatement après le changement de mot de passe. Cette mesure bloque la grande majorité des tentatives de connexion frauduleuse même si l'attaquant possède désormais l'ancien mot de passe.
Scanner la machine avec un antivirus à jour
Une fois le poste isolé du réseau, lancez une analyse complète avec un antivirus dont les définitions sont à jour. Un scan rapide ne suffit généralement pas pour détecter les menaces les plus sophistiquées ; privilégiez une analyse complète du système, même si elle prend plus de temps.
Examiner les journaux de connexion inhabituels
La plupart des plateformes de messagerie et de collaboration en entreprise (Microsoft 365, Google Workspace) offrent un historique de connexion récent, incluant l'emplacement géographique approximatif et l'appareil utilisé. Une connexion depuis une ville ou un pays inhabituel, à une heure où l'employé n'était manifestement pas actif, constitue un signal fort de compromission active nécessitant une action immédiate — déconnexion forcée de toutes les sessions actives et changement de mot de passe supplémentaire si ce n'est pas déjà fait.
Obligations légales au Québec : la Loi 25 et le délai de 72 heures
Un aspect souvent méconnu des gestionnaires de PME québécoises est l'obligation légale qui peut découler d'un incident de sécurité impliquant des renseignements personnels. Depuis l'entrée en vigueur complète de la Loi 25 (anciennement projet de loi 64), toute entreprise faisant affaire au Québec est soumise à des obligations précises en cas d'incident de confidentialité.
Qu'est-ce qui déclenche l'obligation de notification
L'obligation de notifier la Commission d'accès à l'information (CAI) se déclenche lorsqu'un incident de confidentialité présente un risque de préjudice sérieux pour les personnes concernées — clients, employés, fournisseurs dont les renseignements personnels ont potentiellement été accédés, utilisés ou communiqués sans autorisation. Un simple clic sur un lien malveillant sans confirmation d'accès aux données ne déclenche pas automatiquement cette obligation, mais l'entreprise doit tout de même évaluer et documenter le risque, même si la conclusion est qu'aucune notification n'est requise.
Le délai de 72 heures : ce que ça implique concrètement
La pratique généralement reconnue au Québec, en cohérence avec les standards internationaux en la matière, est de viser une notification à la CAI dans un délai de 72 heures suivant la découverte d'un incident présentant un risque de préjudice sérieux. Pour une PME sans service juridique interne, ce délai signifie concrètement :
- ☐ Documenter l'incident dès sa découverte (date, heure, nature, systèmes touchés, données potentiellement exposées)
- ☐ Évaluer rapidement, idéalement avec l'aide d'un conseiller juridique ou d'un expert en cybersécurité, si le risque de préjudice sérieux est atteint
- ☐ Préparer la notification à la CAI si le seuil est atteint, incluant la nature de l'incident, les mesures prises et les mesures prévues pour les personnes concernées
- ☐ Aviser directement les personnes concernées (clients, employés) dont les renseignements personnels ont potentiellement été exposés, en plus de la notification à la CAI
- ☐ Tenir un registre des incidents de confidentialité, une obligation distincte qui s'applique même lorsque le seuil de notification à la CAI n'est pas atteint
Documentez même quand vous concluez qu'aucune notification n'est requise
Beaucoup de PME commettent l'erreur de ne rien documenter lorsqu'elles jugent, souvent à juste titre, qu'un incident mineur ne nécessite pas de notification formelle. Or, la Loi 25 exige la tenue d'un registre des incidents de confidentialité, peu importe leur gravité. En cas de contrôle ou d'incident ultérieur lié, l'absence de registre peut elle-même constituer un manquement, indépendamment de la gravité de l'incident initial.
Pour une PME qui n'a pas de ressource juridique dédiée, faire appel à un partenaire externe capable d'évaluer rapidement un incident et de documenter la démarche de conformité représente souvent l'option la plus réaliste, particulièrement dans les 72 premières heures où chaque jour compte pour respecter les obligations réglementaires.
Études de cas : trois incidents québécois et leur coût réel
Les scénarios suivants, inspirés de situations types rencontrées par des PME québécoises, illustrent concrètement l'écart de coût entre une réaction rapide et une réaction tardive face à un clic sur un lien malveillant. Les noms et détails ont été modifiés à des fins d'illustration.
Cas 1 — Clinique médicale de Québec : identifiants Microsoft 365 compromis
Une réceptionniste d'une clinique médicale de la région de Québec reçoit un courriel prétendant provenir de Microsoft, l'avertissant que sa boîte de courriel sera suspendue dans 24 heures. Sous la pression du temps, elle clique sur le lien et saisit ses identifiants sur une page qui imite parfaitement le portail de connexion Microsoft 365. Se rendant compte quelques minutes plus tard que quelque chose clochait dans l'apparence de la page, elle alerte immédiatement sa gestionnaire. Le mot de passe est changé depuis un autre poste en moins de 20 minutes, le 2FA est activé, et une revue des journaux de connexion ne révèle aucun accès non autorisé confirmé. Coût total de l'incident : environ 450 $ en intervention technique d'urgence, aucune perte de données ni interruption de service. À titre de comparaison, un incident similaire dans un cabinet comparable, où le signalement avait pris plus de six heures, s'était soldé par un accès non autorisé confirmé à la boîte de courriel et une perte estimée à plus de 8 000 $ en temps de récupération, notification aux patients concernés et honoraires juridiques liés aux obligations de la Loi 25.
Cas 2 — Cabinet comptable de Trois-Rivières : pièce jointe piégée en pleine période fiscale
En pleine période de préparation des déclarations fiscales, un technicien comptable d'un cabinet de Trois-Rivières ouvre une pièce jointe reçue d'un expéditeur qu'il croyait être un client habituel, mais dont l'adresse courriel avait été légèrement modifiée. La pièce jointe déclenche l'installation silencieuse d'un logiciel espion conçu pour capturer les frappes clavier. Le poste continue de fonctionner normalement en apparence, sans symptôme visible, pendant plusieurs jours. Ce n'est qu'à la réception d'une alerte de connexion inhabituelle sur le compte courriel professionnel, environ cinq jours plus tard, que l'incident est découvert. Une enquête technique confirme que des identifiants bancaires de l'entreprise ont été capturés durant cette période. Un virement frauduleux de 14 500 $ avait déjà été initié avant que la banque ne le bloque de justesse grâce à un contrôle de sécurité interne, mais le cabinet a tout de même dû absorber environ 6 200 $ en frais d'enquête technique, de notification aux clients dont les dossiers étaient potentiellement accessibles depuis le poste compromis, et de renforcement de ses mesures de sécurité. Un signalement immédiat au moment de l'ouverture de la pièce jointe, plutôt que cinq jours plus tard, aurait vraisemblablement limité l'incident à une fraction de ce montant.
Cas 3 — PME manufacturière du Saguenay : macro Excel malveillante
Un employé du service des achats d'une PME manufacturière du Saguenay reçoit un fichier Excel prétendant être une soumission d'un nouveau fournisseur potentiel. Le fichier demande d'« activer le contenu » pour afficher correctement les données — une demande d'activation de macro, signal classique d'un document piégé. L'employé active la macro, qui déclenche le téléchargement silencieux d'un ransomware en arrière-plan. Reconnaissant rapidement un comportement inhabituel de son poste (ralentissement soudain, activité disque anormale), il isole immédiatement le réseau en débranchant le câble et alerte son superviseur dans les cinq minutes. Le ransomware n'a eu le temps de chiffrer que les fichiers du poste local, sans se propager au serveur de fichiers partagé grâce à l'isolement rapide. Le poste est reformaté et restauré à partir d'une sauvegarde récente, pour un coût total d'environ 1 100 $ et une seule journée de travail perdue pour l'employé concerné. Un cas comparable documenté dans le secteur manufacturier québécois, où l'isolement réseau n'était intervenu qu'après plus de 40 minutes, avait vu le ransomware se propager à un serveur de fichiers partagé, entraînant un arrêt de production partiel de trois jours et des coûts totaux (récupération, perte de production, intervention externe) dépassant 32 000 $.
Ce que ces trois cas ont en commun
Dans les trois scénarios, la variable la plus déterminante n'était ni la sophistication de l'attaque ni la taille de l'entreprise, mais la rapidité du signalement et de l'isolement. Un incident signalé et contenu en moins de 10 minutes coûte typiquement quelques centaines à un peu plus d'un millier de dollars en intervention technique. Le même type d'incident, signalé après plusieurs heures ou plusieurs jours, peut facilement multiplier les coûts par dix ou vingt, sans compter l'impact sur la réputation et la confiance des clients.
Ce qu'il ne faut surtout pas faire
Autant les bonnes pratiques comptent, autant certaines réactions instinctives aggravent systématiquement la situation. Voici les erreurs les plus fréquentes observées par nos techniciens lors d'interventions d'urgence.
Éteindre l'ordinateur avant d'avoir isolé le réseau en cas de ransomware
Éteindre précipitamment un poste où un ransomware est en train de chiffrer des fichiers peut sembler être le réflexe logique, mais cela élimine la mémoire vive contenant potentiellement des informations utiles à la récupération, tout en n'empêchant pas nécessairement la propagation déjà amorcée sur le réseau. Isolez toujours le réseau en premier — cette action seule stoppe la propagation vers d'autres postes — avant même de considérer l'extinction de l'appareil.
Payer une rançon sans consulter un expert au préalable
Payer une rançon en cas de ransomware ne garantit ni la récupération réelle des données (certains groupes criminels ne fournissent jamais de clé de déchiffrement fonctionnelle même après paiement), ni l'absence d'une seconde attaque du même groupe, qui identifie désormais votre entreprise comme une cible payante. Consultez toujours un expert en réponse à incident avant d'envisager tout paiement, et vérifiez d'abord si des sauvegardes saines permettent une restauration sans passer par la rançon.
Cacher l'incident par peur des conséquences
Que ce soit un employé qui hésite à signaler son erreur par crainte d'une réprimande, ou une direction qui hésite à documenter un incident par crainte d'obligations réglementaires, la dissimulation transforme presque toujours un incident gérable en une crise plus grave. Un incident caché continue d'évoluer sans surveillance ni intervention, alors qu'un incident signalé peut être contenu activement.
Continuer à utiliser les mêmes identifiants après l'incident
Un mot de passe potentiellement exposé qui n'est jamais changé reste une porte d'entrée ouverte, parfois pendant des semaines ou des mois, jusqu'à ce qu'il soit exploité. Le changement de mot de passe ne doit jamais être reporté « à plus tard, quand on aura le temps » — c'est une action à effectuer dans l'heure suivant la découverte d'un incident potentiel.
Budget réaliste pour un service de réponse à incident
Pour une PME québécoise sans équipe de sécurité interne, prévoir un budget réaliste pour la réponse à incident permet d'éviter de découvrir les coûts uniquement au moment critique, quand la marge de négociation est la plus faible. Voici les ordres de grandeur observés sur le marché québécois en 2026.
| Type de service | Coût typique (CAD) | Ce que ça couvre |
|---|---|---|
| Intervention ponctuelle d'urgence (analyse et nettoyage d'un poste) | 200 $ à 600 $ | Isolement, analyse antivirus, revue de compromission, nettoyage ou reformatage d'un poste |
| Audit de sécurité post-incident | 500 $ à 2 000 $ | Revue complète des accès, journaux de connexion, recommandations correctives |
| Retainer mensuel de réponse à incident (petite PME, 5-15 employés) | 150 $ à 400 $ / mois | Intervention prioritaire garantie, support continu, surveillance de base |
| Retainer mensuel de réponse à incident (PME moyenne, 15-50 employés) | 400 $ à 800 $ / mois | Intervention prioritaire, surveillance active, gestion des correctifs, support Microsoft 365 |
| Formation cybersécurité annuelle pour l'équipe | 500 $ à 2 500 $ / an selon la taille | Session d'embauche, rappels trimestriels, simulations de phishing |
Comparé aux coûts observés dans les études de cas précédentes — où une réaction tardive avait entraîné des pertes de plusieurs dizaines de milliers de dollars — un retainer mensuel de quelques centaines de dollars représente un investissement nettement rentable pour la grande majorité des PME québécoises, particulièrement celles qui manipulent des données sensibles (santé, finances, dossiers clients).
Sécurisez votre PME avant le prochain incident, pas après
IT Cares accompagne les PME québécoises en réponse à incident d'urgence, en audit de sécurité et en support informatique continu. Nos techniciens certifiés interviennent rapidement pour isoler, analyser et sécuriser vos systèmes après un clic sur un lien suspect, une pièce jointe piégée ou toute autre compromission potentielle.
Checklist récapitulative imprimable
Voici la séquence complète, du clic à la résolution, à imprimer et à afficher près des postes de travail de votre équipe pour une consultation rapide en cas d'urgence.
- ☐ Débrancher le câble Ethernet ou désactiver le WiFi du poste concerné immédiatement
- ☐ Ne pas éteindre l'ordinateur si un ransomware est soupçonné — isoler le réseau suffit dans la majorité des cas
- ☐ Alerter le responsable informatique ou le fournisseur de services gérés sans délai
- ☐ Noter l'heure exacte du clic et les détails du message ou du fichier concerné
- ☐ Changer les mots de passe des comptes potentiellement exposés à partir d'un autre appareil non compromis
- ☐ Activer le 2FA sur les comptes concernés si ce n'est pas déjà fait
- ☐ Vérifier les comptes financiers et bancaires de l'entreprise pour toute transaction suspecte récente
- ☐ Scanner le poste isolé avec un antivirus à jour, analyse complète plutôt que rapide
- ☐ Examiner les journaux de connexion des comptes cloud pour repérer une activité inhabituelle
- ☐ Évaluer si l'incident présente un risque de préjudice sérieux pour des renseignements personnels (obligation Loi 25)
- ☐ Documenter l'incident dans un registre, même si aucune notification à la CAI n'est finalement requise
- ☐ Ne jamais payer une rançon sans avoir consulté un expert en réponse à incident au préalable
- ☐ Traiter le signalement de l'employé sans blâme, comme une occasion de formation plutôt qu'une faute
Ressources gouvernementales et organismes à connaître
Plusieurs organismes gouvernementaux offrent du soutien, des outils et parfois du financement aux PME québécoises et canadiennes en matière de cybersécurité, avant et après un incident.
Banque de développement du Canada (BDC)
La BDC propose des ressources et, selon les cas, du financement pour aider les PME canadiennes à renforcer leurs mesures de cybersécurité, incluant des outils d'autoévaluation des risques et des prêts destinés à la modernisation technologique. Pour une PME qui souhaite investir dans une infrastructure de sécurité plus robuste à la suite d'un incident, la BDC constitue un point de départ pertinent pour explorer les options de financement disponibles.
Investissement Québec
Investissement Québec offre également des programmes d'accompagnement et de financement pouvant appuyer la transformation numérique des PME québécoises, incluant des volets liés à la sécurité informatique. Les entreprises qui prévoient un investissement plus substantiel en cybersécurité (audit complet, refonte de l'infrastructure réseau, mise en place d'un centre de surveillance) peuvent y trouver des programmes adaptés à leur secteur d'activité.
Commission d'accès à l'information (CAI) — obligations détaillées de la Loi 25
La CAI est l'organisme responsable de l'application de la Loi 25 au Québec et constitue la référence officielle pour toute question relative aux obligations de notification en cas d'incident de confidentialité. Son site officiel détaille les critères d'évaluation du risque de préjudice sérieux, les modalités de notification, ainsi que les formulaires requis. Pour une PME confrontée à un incident potentiellement lié à des renseignements personnels, consulter directement les lignes directrices de la CAI — idéalement avec l'appui d'un conseiller juridique ou d'un expert en cybersécurité familier avec ces obligations — demeure la démarche la plus sûre pour établir sa conformité.
Questions fréquentes — Employé a cliqué sur un lien malveillant
Isolez immédiatement le poste du réseau en débranchant le câble Ethernet ou en désactivant le WiFi, sans nécessairement éteindre l'ordinateur — surtout si un ransomware est soupçonné, car l'appareil peut contenir des preuves utiles à l'analyse. Alertez sans délai le responsable informatique ou votre fournisseur de services gérés, notez l'heure exacte du clic, et évitez de continuer à utiliser le poste ou les comptes potentiellement exposés avant d'avoir reçu des consignes claires.
Pas toujours, et c'est une nuance importante : si un ransomware est soupçonné (fichiers renommés, extension inconnue, message de rançon à l'écran), isoler le réseau plutôt qu'éteindre préserve la mémoire vive, qui peut contenir des clés de déchiffrement ou des preuves utiles à un expert. En revanche, si un exécutable malveillant est en train de se propager activement et que l'isolement réseau seul ne suffit pas à freiner les dégâts visibles, un arrêt forcé peut être justifié. Dans le doute, isolez d'abord le réseau et consultez un expert avant d'éteindre.
Changez en priorité le mot de passe du compte courriel professionnel de l'employé, celui de tout compte où il a saisi des identifiants sur la page suspecte, ainsi que tout compte réutilisant le même mot de passe. Effectuez ces changements à partir d'un autre appareil non compromis, jamais depuis le poste potentiellement infecté, et activez l'authentification à deux facteurs sur chacun de ces comptes si ce n'est pas déjà fait.
Seulement si l'incident constitue un risque de préjudice sérieux pour des renseignements personnels — par exemple si des données clients, employés ou financières ont potentiellement été exposées ou accédées. Dans ce cas, la Loi 25 impose une notification à la Commission d'accès à l'information (CAI) dans les meilleurs délais, généralement interprétée comme un objectif de 72 heures, ainsi qu'un avis aux personnes concernées. Un simple clic sans confirmation d'accès aux données n'oblige pas automatiquement une notification, mais l'évaluation du risque doit être documentée.
Une intervention ponctuelle d'urgence pour analyser et nettoyer un poste compromis coûte généralement entre 200 $ et 600 $ pour une PME québécoise, selon la complexité et l'ampleur de l'exposition. Un retainer mensuel de réponse à incident avec un fournisseur de services gérés, qui garantit une intervention prioritaire en cas d'urgence, se situe typiquement entre 150 $ et 800 $ par mois selon la taille de l'entreprise — un coût nettement inférieur à celui d'un incident non contenu rapidement.
Non, pas sans avoir d'abord consulté un expert en réponse à incident. Payer une rançon ne garantit ni la récupération des données ni l'absence de nouvelle attaque, finance directement l'écosystème criminel, et peut dans certains cas comporter des risques légaux selon l'identité du groupe derrière l'attaque. La priorité est de contacter un spécialiste et, si des sauvegardes saines existent, d'évaluer la restauration avant même d'envisager tout paiement.
Les signes à surveiller incluent un ralentissement inhabituel du poste, des fenêtres ou processus inconnus, une activité réseau anormale, des connexions à des comptes professionnels depuis des lieux ou appareils inhabituels dans les journaux de connexion, ainsi que des courriels envoyés à l'insu de l'employé depuis sa propre boîte. Un scan complet avec un antivirus à jour et une revue des journaux de connexion des comptes cloud (Microsoft 365, Google Workspace) permettent de confirmer ou d'écarter une compromission active.
Non, sanctionner un employé de bonne foi pour un premier clic est généralement contre-productif : cela encourage la dissimulation plutôt que le signalement rapide, qui est l'élément le plus déterminant pour limiter les dégâts. L'incident devrait plutôt servir d'occasion de formation ciblée, en réservant toute mesure disciplinaire aux cas de négligence répétée et documentée après un accompagnement adéquat.
Commentaires (3)
Un de nos employés a cliqué sur un faux lien Microsoft la semaine dernière. On a suivi presque exactement cette séquence sans le savoir (débrancher, alerter, changer les mots de passe) et finalement aucun dégât. Ça confirme qu'agir vite fait toute la différence.
La nuance entre éteindre et isoler seulement m'a vraiment aidé. J'aurais probablement éteint l'ordi par réflexe si je n'avais pas lu ça avant. On a maintenant une petite affiche près des postes avec les étapes principales.
La partie sur la Loi 25 et le délai de 72 heures était nouvelle pour moi, on n'avait jamais vraiment formalisé ça dans l'entreprise. On va documenter nos incidents dorénavant même les mineurs, merci pour la clarté.
Laisser un commentaire