Le 24 juin 2024, en arrivant à son bureau, Jérôme Doré, responsable informatique de l’Espace des sciences de Rennes, découvre que certains fichiers ne peuvent plus être ouverts. Ils portent une extension bizarre. Changer cette extension ne sert à rien. Le problème touche l’ensemble du parc informatique et les serveurs de l’établissement. L’Espace des sciences vient de subir une cyberattaque par rançongiciel, racontée par Ouest-France le 20 octobre 2026, à la veille du témoignage que le salarié doit livrer lors de la troisième édition d’Hack’in Trégor, le 22 octobre 2026 à Lannion. « Tous les ordinateurs allumés ont été touchés », résume le journal. Cette histoire vécue de l’intérieur pose les questions que toute entreprise, toute association et toute collectivité redoutent : faut-il payer la rançon pour récupérer ses données, comment porter plainte sans détruire les preuves, et que doit-on déclarer à la CNIL quand des données personnelles sont compromises. La première partie décrit les réflexes des premières heures, entre isolement technique et poursuites pénales. La seconde traite l’après-attaque, entre notification à la CNIL et responsabilités internes, à la lumière de ce que la Cour de cassation a tranché en 2025 et 2026.
I. Attaque par rançongiciel : les réflexes qui sauvent l’entreprise dans les premières heures
A. Couper, isoler, ne pas payer la rançon : le kit de survie technique et juridique
Une attaque par rançongiciel vise à bloquer l’accès à un équipement ou à un système, ou à en chiffrer ou copier les données, en échange d’une rançon, comme l’explique la fiche réflexe du dispositif public cybermalveillance.gouv.fr, publiée le 3 juin 2025 et mise à jour le 7 mai 2026. Concrètement, l’attaque consiste à compromettre un équipement ou un système d’information pour en bloquer l’accès, en chiffrer ou en copier les données, puis à réclamer à la victime une rançon pour les rendre à nouveau accessibles ou ne pas les divulguer. L’intrusion passe le plus souvent par l’exploitation d’une faille de sécurité, une sécurisation insuffisante des accès distants exposés sur internet, la compromission d’un compte ou d’une machine après un message d’hameçonnage, ou l’infection par un programme malveillant. Le récit rennais correspond à ce scénario classique : des fichiers illisibles un matin, puis la découverte que tout le réseau est atteint.
Le premier réflexe consiste à couper les connexions à internet du réseau attaqué, puis à identifier et déconnecter les machines touchées du reste du système d’information, avant d’alerter immédiatement le service ou le prestataire informatique. Cette séquence figure en tête de la fiche officielle, avec la mention « ne pas payer la rançon ». L’État ne pose pas d’interdiction générale de payer, mais il le déconseille nettement, pour trois raisons que tout dirigeant doit mesurer. D’abord, rien ne garantit que les attaquants fourniront une clé de déchiffrement fonctionnelle ni qu’ils détruiront la copie des données exfiltrées. Ensuite, payer alimente un circuit criminel et expose l’entreprise à une seconde demande, une fois sa capacité à payer démontrée. Enfin, dans les attaques dites à double extorsion, les cybercriminels chiffrent et copient : même après un éventuel paiement, la menace de divulgation publique demeure. La fiche officielle prévient d’ailleurs que, durant l’attaque, les cybercriminels cherchent souvent à détruire les sauvegardes de la victime pour l’empêcher de restaurer ses données, et qu’ils peuvent également exfiltrer ces données pour menacer de les rendre publiques. Vérifier l’état des sauvegardes déconnectées, éprouver leur restauration sur un environnement isolé et figer les journaux de connexion font donc partie des premières heures.
En parallèle, l’entreprise doit activer ses filets de sécurité. Le contrat d’assurance cyber, lorsqu’il existe, doit être relu immédiatement : conditions de déclaration, accord préalable avant d’engager un prestataire de réponse à incident, prise en charge des frais d’expertise et d’interruption d’activité. Les échanges avec l’assureur et le prestataire doivent rester écrits et datés, car ils documenteront plus tard le sérieux de la réaction. Le guichet unique 17Cyber permet de faire diagnostiquer l’attaque en ligne et d’être orienté vers des prestataires de proximité et vers le dépôt de plainte. Surtout, aucune réinstallation ne doit intervenir avant que les preuves aient été préservées, point sur lequel le droit pénal se montre exigeant.
Au même moment, l’entreprise doit ouvrir un journal de crise tenu heure par heure : qui a constaté quoi et à quel moment, quelles machines ont été isolées, quels prestataires ont été appelés, quelles décisions ont été prises sur la continuité de l’activité. Ce journal, signé par la direction, servira trois fois : face à l’assureur, qui vérifiera que les obligations de déclaration et de mitigation du contrat ont été respectées ; face à la CNIL, qui appréciera le sérieux de la réaction au regard du délai de 72 heures ; et face aux enquêteurs, qui y trouveront la chronologie de l’incident. Les messages des attaquants doivent être conservés tels quels, sans les effacer ni y répondre, car ils contiennent les adresses de paiement, les délais de l’ultimatum et parfois des fautes de frappe ou des métadonnées utiles à l’enquête. Enfin, si l’activité doit continuer en mode dégradé, toute bascule sur des postes sains ou des sauvegardes doit être tracée, afin de démontrer que l’entreprise a limité la propagation au lieu de la subir passivement.
B. Porter plainte avant de réinstaller : extorsion, entrave et introduction frauduleuse
La fiche officielle recommande de déposer plainte avant toute réinstallation des appareils touchés, afin de conserver les preuves techniques de l’incident et de pouvoir les fournir aux enquêteurs. Cette consigne conditionne l’efficacité de toute la procédure pénale : journaux de connexion, copies des messages de rançon avec adresses de portefeuilles en cryptomonnaies, captures des écrans de chiffrement, sauvegardes des disques, historique des accès distants. La plainte se dépose auprès de la police ou de la gendarmerie, en fournissant l’ensemble de ces éléments, et le récépissé servira ensuite auprès de l’assureur comme de la CNIL.
Sur le fond, la demande de rançon constitue d’abord une extorsion. L’article 312-1 du code pénal dispose que « L’extorsion est le fait d’obtenir par violence, menace de violences ou contrainte soit une signature, un engagement ou une renonciation, soit la révélation d’un secret, soit la remise de fonds, de valeurs ou d’un bien quelconque », et la punit de sept ans d’emprisonnement et de 100 000 euros d’amende. Exiger une somme en cryptomonnaies sous la menace de détruire définitivement les données ou de les divulguer entre exactement dans la remise de fonds sous contrainte. La Cour de cassation donne à ce texte une portée large : dans un arrêt du 5 février 2025, elle juge qu’« En effet, l’article 312-1 du code pénal n’exige pas que la signature obtenue par violence, menace ou contrainte soit apposée sur un document valant engagement » (Cass. crim., 5 février 2025, n° 24-81.579). Peu importe donc le support ou la forme de ce que les attaquants cherchent à obtenir : dès lors qu’une contrainte pèse sur la victime, l’extorsion est constituée.
L’attaque elle-même entre ensuite dans les atteintes aux systèmes de traitement automatisé de données. L’article 323-1 du code pénal punit de trois ans d’emprisonnement et de 100 000 euros d’amende « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données », avec une aggravation à cinq ans et 150 000 euros lorsque cette intrusion a entraîné une suppression ou une modification des données ou une altération du fonctionnement du système. L’article 323-2 punit de cinq ans d’emprisonnement et de 150 000 euros d’amende « Le fait d’entraver ou de fausser le fonctionnement d’un système de traitement automatisé de données », ce qui couvre le chiffrement qui paralyse les serveurs. L’article 323-3 punit des mêmes peines « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient », ce qui vise à la fois le programme malveillant introduit, l’exfiltration des fichiers et la destruction des sauvegardes. La Cour de cassation précise que « des modifications ou suppressions de données sont nécessairement frauduleuses dès lors qu’elles ont été sciemment dissimulées à au moins un autre utilisateur d’un tel système, même s’il n’est pas titulaire de droits de modification » (Cass. crim., 8 juin 2021, n° 20-85.853). Or un rançongiciel agit toujours à l’insu des utilisateurs légitimes, ce qui remplit ce critère. Enfin, la tentative des délits prévus par les articles 323-1 à 323-3-1 est punie des mêmes peines, de sorte qu’une intrusion détectée et bloquée avant chiffrement reste punissable, et la participation à un groupement formé en vue de la préparation de ces infractions est punie des peines de l’infraction elle-même, ce qui permet de poursuivre les réseaux qui industrialisent ces attaques.
II. Après le rançongiciel : CNIL, salariés et juge face aux données chiffrées
A. Notifier la CNIL en 72 heures, tenir le registre, informer les personnes
Dès lors que l’attaque a pu compromettre des données personnelles, fichiers clients, dossiers des salariés, messageries, bases de prospects ou données de santé, l’entreprise entre dans le champ de la violation de données personnelles. La CNIL résume ainsi les obligations du responsable du traitement : en l’absence de risque pour les droits et libertés des personnes, il doit documenter en interne, sous forme d’un registre, la violation qui vient de se produire, sans notification ni information, la CNIL pouvant en revanche contrôler cette documentation interne. Lorsque la violation entraîne un risque, il doit documenter en interne, sous forme d’un registre, la violation qui vient de se produire, et il doit notifier cette violation à la CNIL, au plus tôt et dans un délai maximal de 72h. Lorsque la violation entraîne un risque élevé, il doit en outre communiquer la violation aux personnes concernées, au plus tôt.
En pratique, un rançongiciel avec exfiltration entraîne presque toujours au moins un risque, et souvent un risque élevé, dès lors que des données d’identité, financières ou de santé sont copiées : la notification à la CNIL dans le délai maximal de 72 heures s’impose donc dans la quasi-totalité des cas, et l’information directe des clients et des salariés s’y ajoute quand le risque est élevé, sauf les cas particuliers où les données sont restées incompréhensibles pour toute personne non autorisée, par exemple grâce à un chiffrement robuste dont les attaquants n’ont pas la clé. Le registre interne, lui, est obligatoire dans tous les cas, y compris quand aucune notification n’est due : mentions de la nature de la violation, de ses conséquences et des mesures prises. Côté pénal, l’article 226-17 du code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende « Le fait de procéder ou de faire procéder à un traitement de données à caractère personnel sans mettre en oeuvre les mesures prescrites aux articles 24,25,30 et 32 du règlement (UE) 2016/679 du 27 avril 2016 précité ou au 6° de l’article 4 et aux articles 99 à 101 de la loi n° 78-17 du 6 janvier 1978 précitée », c’est-à-dire sans la sécurité adaptée aux risques. Une entreprise qui n’aurait ni sauvegardes déconnectées, ni correctifs, ni contrôle des accès distants s’expose donc sur deux fronts : la sanction du défaut de sécurité et l’aggravation du préjudice subi par les personnes concernées.
Concrètement, la notification s’effectue au plus vite par une notification initiale adressée à la CNIL par le biais du téléservice mis à disposition à cet effet, que le responsable complétera ensuite par une notification complémentaire au fur et à mesure des investigations, si possible dans le délai maximal de 72 heures. Lorsque le délai de 72 heures est dépassé, la notification reste obligatoire et les raisons justifiant du retard doivent être indiquées à la CNIL. Après analyse des mesures techniques et organisationnelles mises en oeuvre avant et après la violation, la CNIL effectue, au besoin uniquement, dans les 72 heures, un retour par courriel avec des conseils, remarques ou questions, et peut proposer une analyse de risque aux conclusions différentes de celle du responsable du traitement. Autrement dit, notifier vite et documenter avec précision, c’est aussi se donner les moyens de discuter utilement avec le régulateur plutôt que de subir son contrôle.
Lorsque l’attaque est passée par un prestataire informatique, un hébergeur ou des objets connectés, la répartition des rôles entre responsable du traitement et sous-traitant commande tout le reste, comme l’explique l’analyse consacrée à une attaque passée par un prestataire, entre notification CNIL, contrats et réparation. Le contrat de sous-traitance doit prévoir l’alerte, l’assistance et la documentation, et l’entreprise cliente ne peut pas se défausser de sa propre notification au motif que la faille viendrait du prestataire. Cette articulation doit être anticipée avant la crise, car au lendemain d’un chiffrement, chaque heure compte pour qualifier le risque et respecter le délai de 72 heures.
B. Menace interne et chiffrement face au juge : ce que la Cour de cassation a tranché en 2025 et 2026
Les attaquants ne sont pas toujours extérieurs. Le 2 septembre 2025, la chambre criminelle a rejeté le pourvoi d’un administrateur réseau salarié qui lisait clandestinement la messagerie de son dirigeant et avait installé, la veille de sa mise à pied, un transfert automatique des courriels vers sa propre adresse. La cour d’appel de Versailles l’avait condamné à trois mois d’emprisonnement avec sursis. La Cour de cassation approuve : « se rend coupable de l’infraction prévue par l’article 323-1 du code pénal celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès à la messagerie » (Cass. crim., 2 septembre 2025, n° 24-83.605). La Cour ajoute que cette culpabilité est retenue peu important le mobile ayant présidé aux faits. Autrement dit, disposer des codes d’accès ne donne pas le droit de s’en servir à d’autres fins que sa mission. Pour l’entreprise, la leçon est directe : définir par écrit le périmètre des habilitations, limiter les droits d’administration au strict nécessaire, journaliser les accès et révoquer les comptes dès le départ d’un salarié ou d’un prestataire.
Le chiffrement, arme des attaquants, est aussi l’objet d’un contentieux fourni devant le juge pénal. Le 14 avril 2026, la chambre criminelle a partiellement cassé l’arrêt d’une cour d’appel qui avait condamné un prévenu pour refus de remettre le code de déverrouillage de son téléphone portable, sans vérifier si ce téléphone était équipé d’un moyen de cryptologie. « Selon le premier de ces textes, est punissable toute personne qui, ayant connaissance de la convention secrète de déchiffrement d’un moyen de cryptologie susceptible d’avoir été utilisé pour préparer, faciliter ou commettre un crime ou un délit, refuse de la remettre aux autorités judiciaires ou de la mettre en oeuvre, sur les réquisitions de ces autorités délivrées en application des titres II et III du livre Ier du code de procédure pénale. » « Pour l’application du premier de ces textes et au sens du deuxième, une convention de déchiffrement s’entend de tout moyen logiciel ou de toute autre information permettant la mise au clair d’une donnée transformée par un moyen de cryptologie, que ce soit à l’occasion de son stockage ou de sa transmission », d’où il résulte que « le code de déverrouillage d’un téléphone mobile peut constituer une clé de déchiffrement si ce téléphone est équipé d’un moyen de cryptologie » (Cass. crim., 14 avril 2026, n° 25-86.258). Les juges du fond doivent donc établir techniquement l’existence du moyen de cryptologie avant de condamner. Dans le même sens, l’assemblée plénière avait jugé le 7 novembre 2022 que le code de déverrouillage peut valoir convention de déchiffrement, en rappelant qu’« un moyen de cryptologie s’entend de tout matériel ou logiciel conçu ou modifié pour transformer des données, qu’il s’agisse d’informations ou de signaux, à l’aide de conventions secrètes ou pour réaliser l’opération inverse avec ou sans convention secrète » (Ass. plén., 7 novembre 2022, n° 21-83.146). L’article 434-15-2 du code pénal, qui punit ce refus de trois ans d’emprisonnement et de 270 000 euros d’amende, a été vérifié en vigueur sur Légifrance à la date de rédaction, avec une abrogation différée enregistrée au 1er janvier 2029. Pour l’entreprise victime, ces décisions éclairent le versant judiciaire de la crise : les enquêteurs peuvent exiger la mise au clair des données chiffrées utiles à l’enquête, et l’entreprise a intérêt à conserver les clés et les moyens de déchiffrement légitimes dont elle dispose, sans jamais confondre cette coopération avec une quelconque obligation de payer les attaquants.
Ce que dit le droit, en trois phrases
Face à un rançongiciel, la conduite officielle tient en trois impératifs vérifiés : ne pas payer la rançon, déconnecter et préserver les preuves, comme l’exige la fiche du dispositif public cybermalveillance.gouv.fr. La demande de rançon sous menace de détruire ou de divulguer les données constitue une extorsion punie de sept ans d’emprisonnement par l’article 312-1 du code pénal, et l’intrusion relève des articles 323-1 à 323-3. Quand des données personnelles sont compromises, le responsable du traitement doit notifier la CNIL au plus tôt et dans un délai maximal de 72 heures et informer les personnes en cas de risque élevé.
Conclusion
L’histoire de l’Espace des sciences de Rennes rappelle qu’aucune structure n’est trop petite pour intéresser les opérateurs de rançongiciels : un établissement culturel, une PME, une association gérant des fichiers d’adhérents ou une collectivité exposent les mêmes données et encourent les mêmes obligations. Les premières heures décident de tout, isolement du réseau, refus de la rançon, préservation des preuves et plainte pour extorsion et atteintes aux systèmes. Les jours suivants engagent la conformité, notification à la CNIL dans le délai maximal de 72 heures, registre interne, information des personnes et examen des responsabilités, y compris internes, comme la condamnation de l’administrateur réseau infidèle le démontre. Le guide du dispositif cyber du gouvernement et la fiche réflexe officielle offrent le pas-à-pas opérationnel, et un cabinet d’avocats consacrait déjà en 2021 une analyse à la question de savoir s’il est légal de payer la rançon : depuis, la jurisprudence criminelle de 2025 et 2026 a précisé les qualifications et les devoirs de chacun face au chiffrement. Le témoignage attendu à Lannion le 22 octobre 2026 prolonge cette pédagogie par l’exemple, et chaque organisation peut s’en inspirer avant d’être, à son tour, confrontée à l’extension bizarre qui fige ses écrans. En attendant, conserver dans un dossier unique le récépissé de plainte, le registre CNIL, les rapports d’expertise et le journal de crise, c’est se doter des pièces qui feront foi devant l’assureur comme devant le juge.