Cyberattaque : une commune de 5 000 habitants s'en est sortie. Voici comment.

En octobre 2025, une petite ville française de 5 000 habitants a été frappée par un ransomware. Serveurs bloqués, postes de travail chiffrés, données inaccessibles. Et pourtant, un mois plus tard, tout fonctionnait à nouveau normalement. Sans payer la rançon. Ce retour d'expérience contient des leçons directement applicables à votre cabinet, votre étude ou votre PME.

Personne n'est trop petit pour être ciblé

C'est la première fausse croyance à déconstruire. La commune en question n'était pas une cible stratégique. Elle n'avait pas de données sensibles d'envergure nationale. Elle était simplement connectée, avec un pare-feu qui n'avait pas été mis à jour depuis deux ans.

Un cartel cybercriminel international a lancé une campagne automatisée de détection de failles. La commune est apparue dans les résultats. L'attaque a suivi.

C'est exactement le même mécanisme qui touche des cabinets comptables, des études notariales ou des PME de dix personnes. Pas parce qu'elles intéressent particulièrement les attaquants — mais parce qu'elles présentent une faille exploitable. La taille ne protège pas. L'absence de faille, si.

Ce qui s'est passé concrètement

Un vendredi matin, l'agent d'accueil allume son poste. Message d'erreur. En quelques minutes, le constat s'impose : l'ensemble du système d'information est chiffré. Serveurs, postes de travail, photocopieurs. Tout bloqué. Une demande de rançon s'affiche — pas un montant fixe, mais une invitation à « discuter d'une contribution annuelle ».

La commune n'a pas engagé cette discussion. Elle n'a pas payé.

« Une cyberattaque n'est pas une honte. C'est un risque contemporain. Et comme tout risque, il doit être anticipé, assumé et intégré dans la gestion quotidienne. »

Ce choix a été rendu possible par quelques décisions prises avant l'incident. Des décisions simples, peu coûteuses, et pourtant déterminantes.

Les quatre réflexes qui ont tout changé

Aucun de ces éléments ne relève de la haute technologie. Ils relèvent de l'organisation.

Sauvegardes externalisées

Les données critiques — comptabilité, RH, finances — étaient hébergées hors site. Résultat : aucune donnée vitale n'a été perdue. Ce qui a disparu, ce sont des fichiers de travail enregistrés localement sur certains postes. La différence entre les deux, c'est la différence entre un incident gérable et une catastrophe.

Assurance cyber active

Souscrite l'année précédente, elle a couvert la moitié des coûts de remédiation — estimés à plusieurs dizaines de milliers d'euros — et mis immédiatement des experts à disposition. Sans elle, la commune aurait dû improviser, seule, sous pression.

Communication transparente dès les premières heures

Le maire a informé les habitants immédiatement, sans attendre d'avoir tout sous contrôle. Résultat : de la compréhension, pas de la méfiance. Le silence dans ces situations génère des rumeurs et de la défiance. La transparence, elle, crée de la confiance — même dans l'adversité.

Cellule de crise structurée

Dès les premières heures : déconnexion du système, contact avec l'assurance, signalement aux autorités compétentes, activation des experts. Pas d'improvisation. Un ordre précis dans les actions. Ce réflexe a limité la propagation et accéléré la remédiation.

Un mois. Et des leçons pour vous.

Il a fallu un mois pour retrouver un fonctionnement normal. Trente-cinq postes nettoyés, un serveur remplacé physiquement, un nouveau pare-feu déployé. Pendant quinze jours, l'activité a tourné au ralenti. La commune a frôlé l'impossibilité de payer ses agents en temps et en heure.

C'est long. Mais c'est récupérable.

Sans les sauvegardes externalisées, sans l'assurance cyber, sans la cellule de crise — la même attaque aurait pu être irréversible. Des données perdues définitivement. Une activité à l'arrêt pendant des mois. Une responsabilité légale engagée vis-à-vis des tiers dont les données étaient confiées.

Pour un indépendant ou une PME, les conséquences sont potentiellement plus lourdes encore. Pas de service informatique interne. Pas de plan B. Pas d'équipe dédiée à la gestion de crise.

Les 4 questions à vous poser maintenant

• Mes données critiques sont-elles sauvegardées hors site — et cette sauvegarde est-elle testée régulièrement ?
• Mon assurance couvre-t-elle une cyberattaque ? Si oui, à quelle hauteur et avec quel accès à des experts ?
• En cas d'incident, je sais qui appeler — dans quel ordre — dans les premières heures ?
• La dernière mise à jour de mes équipements réseau (pare-feu, routeur) date de quand ?

Conclusion

Cette commune a eu de la chance d'avoir pris les bonnes décisions avant l'incident. Elle-même le reconnaît : sans les sauvegardes externalisées, le scénario aurait été dramatique.

La bonne nouvelle, c'est que ces décisions sont à la portée de n'importe quelle structure — indépendant, cabinet, PME. Elles ne demandent pas de compétences techniques. Elles demandent de l'organisation, un peu d'anticipation, et la volonté de considérer ce risque comme un risque réel.

Comme un risque d'incendie. Ou d'inondation. Qui mérite un plan, pas juste une assurance.