Porter plainte après une cyberattaque d'entreprise en Pévèle

Où porter plainte quand votre entreprise est piratée ?

La fiche de France Num, mise à jour en octobre 2023, est nette : « Il n'est pas possible pour l'instant de porter plainte en ligne pour un fait de piratage informatique ». Elle vous envoie au commissariat ou à la gendarmerie dont dépend le site attaqué. Les pages plus récentes du ministère de l'Intérieur vont dans le même sens.

Le service de plainte en ligne existe bien pour les personnes morales, sociétés ou associations. Mais Ma Sécurité précise qu'il « ne concerne que le vol, le cambriolage, la dégradation d'un bien, l'escroquerie hors internet, par une personne inconnue ». THESEE, la plainte en ligne pour les arnaques sur internet, vise les particuliers. Sa page officielle le dit : « Pour les professionnels, vous devrez vous déplacer en commissariat ou en brigade de gendarmerie ». Pour une entreprise, même une messagerie piratée ou un achat sur un faux site passent donc par une plainte sur place ou par courrier.

Reste le courrier. Service-Public indique de l'adresser au procureur de la République du tribunal judiciaire du lieu de l'infraction ou du domicile de l'auteur. Vous y décrivez les faits, leur date et le préjudice estimé, et vous joignez vos preuves. Si l'auteur est inconnu, la plainte vise X. Inutile de nommer l'infraction : décrire les faits suffit. Porter plainte est gratuit.

Sur place, le service est obligé d'enregistrer votre plainte, rappelle la même page. L'article 15-3 du Code de procédure pénale impose aux officiers et agents de police judiciaire de la recevoir, même hors de leur zone. Elle est alors transmise, s'il y a lieu, au service compétent.

Quelle brigade pour une entreprise de la Pévèle ?

Publié sur data.gouv.fr, le fichier de compétence territoriale du ministère de l'Intérieur classe en zone de gendarmerie les 38 communes de Pévèle Carembault. Leur liste est celle de l'Insee. Aucune ne relève d'un commissariat. Le fichier les répartit entre six brigades, et le code postal ne suffit pas à trouver la vôtre. Mouchin partage le 59310 d'Orchies mais dépend de Cysoing. Camphin-en-Pévèle relève de Baisieux, hors de l'intercommunalité.

Les horaires d'accueil figurent sur chaque fiche. Pour des faits en cours ou vieux de moins de 24 heures, elles renvoient au 17, au 112 ou à une brigade, sans délai. Elles signalent aussi un échange en ligne avec un gendarme de la Brigade numérique.

Que change le délai de 72 heures pour l'assurance ?

Depuis le 24 avril 2023, l'article L. 12-10-1 du Code des assurances subordonne l'indemnisation des dommages causés par une cyberattaque à une plainte. Elle doit être déposée « au plus tard soixante-douze heures après la connaissance de l'atteinte par la victime ». La règle vise les personnes morales et les personnes physiques dans leur activité professionnelle, donc aussi les entrepreneurs individuels, précise Service-Public.

Le texte renvoie aux articles 323-1 à 323-3-1 du Code pénal. Ils punissent le fait d'accéder ou de se maintenir frauduleusement dans un système informatique, d'en entraver ou d'en fausser le fonctionnement. Ils visent aussi l'introduction, l'extraction, la modification ou la suppression frauduleuse de données, et la détention sans motif légitime d'outils conçus pour ces attaques. Service-Public range parmi les cas visés les rançongiciels, l'hameçonnage, le vol de données et le déni de service.

Le délai part de la découverte des dommages, pas de la date de l'attaque. Une intrusion vieille de plusieurs semaines, découverte ce matin, ouvre un délai qui court depuis ce matin. La loi compte en heures. ExemplePrenons une attaque constatée un vendredi à 18 heures : le délai expire le lundi à 18 heures, 72 heures plus tard. Le week-end du retour à l'heure d'hiver, l'horloge recule d'une heure : il expire alors le lundi à 17 heures. Le week-end du passage à l'heure d'été, l'horloge avance d'une heure : 72 heures pleines mènent au lundi 19 heures, et la lecture prudente retient le lundi à 18 heures, 71 heures écoulées. Service-Public précise qu'il n'est jamais prolongé.

Deux précautions. La plainte ne crée aucune garantie : encore faut-il que votre contrat couvre le risque cyber. Service-Public conseille de vous rapprocher de votre assureur au plus vite. La plainte ne remplace pas non plus la déclaration de sinistre. L'article L. 113-2 du même code impose de prévenir l'assureur dans le délai fixé par le contrat, qui ne peut être inférieur à cinq jours ouvrés.

Sans assurance cyber, la plainte reste utile : selon France Num, elle permet d'être reconnu comme victime et de bénéficier des résultats de l'enquête. Elle reste aussi possible plus tard, puisque le délai de prescription d'un délit est de six ans, selon Service-Public. Les traces techniques, elles, disparaissent vite. Cybermalveillance.gouv.fr demande de porter plainte avant de réinstaller les appareils touchés, pour conserver les preuves.

Faut-il aussi prévenir la CNIL ?

Oui, si l'attaque touche des données personnelles : fichier clients, paie, messages reçus par le formulaire du site. C'est une démarche à part, portée par un autre texte et adressée à un autre destinataire. L'article 33 du RGPD impose de notifier la violation à la CNIL « dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance ». Il écarte les violations qui ne sont pas susceptibles d'engendrer un risque pour les personnes. Au-delà de 72 heures, la notification donne les motifs du retard. Elle décrit au moins la nature de la violation, le nombre approximatif de personnes et d'enregistrements concernés, les conséquences probables et les mesures prises.

La CNIL admet une notification en deux temps : une première dans les 72 heures si possible, puis un complément quand les informations arrivent. En cas de doute, elle conseille de notifier. Dans tous les cas, l'incident se documente en interne. Si le risque est élevé, l'article 34 impose aussi de prévenir les personnes concernées. Après une cyberattaque, la CNIL conseille enfin de porter plainte et de garder les preuves techniques pour les enquêteurs.

Le même article 33 oblige un sous-traitant à prévenir son client « dans les meilleurs délais » après avoir découvert une violation. Je suis dans ce cas quand une mission me fait traiter vos données. Un contrat de sous-traitance au sens de l'article 28 accompagne alors le devis, comme l'expliquent les questions fréquentes. Vous restez responsable du traitement, donc la notification à la CNIL vous revient.

Que mettre dans le dossier avant d'aller à la brigade ?

Je vous conseille de réunir ces éléments, repris des fiches de France Num et de Cybermalveillance.gouv.fr.

• L'heure de la découverte, notée tout de suite : elle fait partir les 72 heures.
• Un journal daté des événements et de chaque action menée depuis, à garder pour les enquêteurs.
• Les machines touchées, coupées du réseau mais laissées allumées : les éteindre peut effacer des preuves contenues dans leur mémoire. Si le chiffrement continue, la fiche de Cybermalveillance.gouv.fr invite à envisager un arrêt, de préférence par une mise en veille prolongée.
• Les preuves : captures d'écran, message de rançon, quelques fichiers chiffrés, journaux du pare-feu et des autres équipements de sécurité, disques durs ou leurs copies, clés USB.
• Si le dirigeant d'une société ne peut pas venir : une copie de sa pièce d'identité, un extrait Kbis et un mandat daté et signé.
• En repartant, le récépissé, remis aussitôt, et la copie du procès-verbal, remise si vous la demandez. Transmettez-les à votre assureur.

Avant de partir, le diagnostic en ligne 17Cyber, ouvert jour et nuit, aide à identifier l'attaque. Si elle est grave, il permet d'échanger par tchat avec un policier ou un gendarme, selon Cybermalveillance.gouv.fr. Vous y recevez des conseils de première urgence et vous engagez les démarches judiciaires. La notification à la CNIL passe par le téléservice de sa page dédiée.

Pour récupérer les journaux, mieux vaut détenir les accès. Dans ma méthode, le nom de domaine, l'hébergement et les comptes sont à votre nom dès le départ. Le jour d'un incident, c'est vous qui ouvrez l'espace de votre hébergeur, sans attendre personne.