En bref : après une cyberattaque, les entreprises peuvent déposer plainte auprès de la police. Le bon interlocuteur est constitué par les Zentrale Ansprechstellen Cybercrime (ZAC, points de contact centraux cybercriminalité) des Landeskriminalämter (offices de police criminelle des Länder allemands), spécialisés dans les entreprises et les autorités. Préparez une courte chronologie et sauvegardez les preuves avant que des systèmes soient réinstallés. Cette page est une information générale et ne constitue pas un conseil juridique.
Pourquoi une plainte peut être judicieuse
De nombreuses entreprises hésitent après une attaque à faire intervenir la police. Elles craignent la charge de travail, l'interruption d'activité ou la publicité. Pourtant, une plainte présente des avantages concrets : elle documente officiellement l'incident, permet des enquêtes contre les auteurs et aide les autorités à avoir une vue d'ensemble de la situation. Pour les assureurs, les partenaires commerciaux et, le cas échéant, les autorités de contrôle, le numéro de dossier peut être un justificatif utile.
Qu'une plainte soit appropriée dans un cas particulier dépend de la situation. En cas de chantage, de vol de données, de manipulation de données de paiement ou d'intrusion dans un serveur contenant des données clients, beaucoup d'éléments plaident en sa faveur. Discutez de la question avec votre conseil juridique et, le cas échéant, avec votre cyberassureur.
Les Zentrale Ansprechstellen Cybercrime
Les ZAC sont des services spécialisés de la police, qui existent dans chaque Land allemand, rattachés aux Landeskriminalämter. Elles s'adressent aux entreprises, aux autorités et aux associations. Des enquêteurs ayant une formation technique y travaillent, familiers des attaques contre des serveurs, du chantage et du vol de données.
La ZAC compétente est en règle générale celle du Land où votre entreprise a son siège. Vous trouverez un aperçu de tous les services sur polizei.de. Nous ne citons volontairement aucun numéro de téléphone ici, car les voies de contact peuvent changer ; utilisez les indications actuelles de la police.
Recherchez les coordonnées de la ZAC de votre Land avant qu'un incident se produise et inscrivez-les dans votre plan d'urgence, à un endroit accessible même sans informatique fonctionnelle.
Cyberattaque : préparer la plainte auprès de la police
Vous n'avez pas besoin de tout savoir pour déposer plainte. Une présentation ordonnée de l'état connu facilite toutefois l'entretien. Vous devriez rassembler ces points :
- Chronologie : quand l'incident a-t-il été remarqué, par qui, et quelles mesures ont suivi ?
- Systèmes concernés : par exemple serveur web, boutique, portail clients, avec leur emplacement dans votre entreprise ou chez l'hébergeur.
- Observations : fichiers inconnus, entrées de journal suspectes, messages de chantage, fuites de données.
- Dommage : interruption, données concernées, conséquences financières, dans la mesure où elles sont connues.
- Mesures prises jusqu'ici : systèmes isolés, corrigés, mots de passe changés, prestataire mobilisé.
- Interlocuteur : qui, dans l'entreprise, est disponible pour les questions.
Pour un incident lié à PHP2Shell, les failles CVE-2026-109618 et CVE-2026-109619 ainsi que la date de votre correctif doivent figurer dans l'exposé. Un correctif ne prouve pas que rien ne s'est produit auparavant.
Conserver les preuves
Pour les enquêtes, des traces inchangées sont déterminantes. Le réflexe d'effacer immédiatement un serveur compromis et de le réinstaller détruit précisément ces traces. Un ordre méthodique vaut mieux : isoler le système, sauvegarder les journaux, les listes de fichiers et, le cas échéant, les images mémoire et disque, consigner les sommes de contrôle, puis nettoyer.
Pour PHP2Shell, la presse spécialisée recommande de conserver les journaux du serveur à partir du 20 octobre 2026. Demandez aussi à votre hébergeur de sauvegarder les journaux si vous n'y avez pas accès vous-même. La façon d'analyser les journaux sans modifier les traces est décrite dans Analyser les journaux du serveur web après une attaque. Pour une sauvegarde exploitable en justice, la forensique informatique est la voie appropriée.
Après la plainte, vous recevez en règle générale un numéro de dossier. Les enquêteurs vous contactent en cas de questions et conviennent avec vous des données dont ils ont besoin, par exemple des copies de journaux ou d'images mémoire. Ne comptez pas sur des enquêtes aboutissant rapidement à un résultat ; les auteurs se trouvent souvent à l'étranger et utilisent une infrastructure dissimulée. La valeur d'une plainte ne réside donc pas seulement dans le cas particulier. Les enseignements tirés de nombreuses plaintes aident à rattacher les groupes d'auteurs et à perturber leur infrastructure. Consignez le numéro de dossier dans votre documentation de l'incident et transmettez-le au besoin à l'assureur ou à l'autorité de contrôle. Vous pouvez compléter avec les nouveaux éléments de votre propre enquête.
Plainte et autres obligations
Une plainte ne remplace aucune autre notification. Si des données personnelles sont concernées, une obligation de notification à l'autorité de protection des données selon l'art. 33 du RGPD peut exister, si possible dans les 72 heures suivant la prise de connaissance. Si votre entreprise relève de NIS2, des notifications au BSI s'y ajoutent. Et de nombreuses cyberassurances exigent une information rapide. Coordonnez l'ordre afin qu'aucune voie ne soit oubliée ; des indications figurent sous Cyberassurance en cas de sinistre.
Vous ne devriez pas envisager de paiements aux maîtres chanteurs sans consulter la police, le conseil juridique et l'assureur. Les ZAC peuvent conseiller sur de telles questions.
Comment PHP SOS aide-t-il concrètement ?
- Nous sauvegardons les journaux et les états du système de manière à ce qu'ils restent exploitables pour les enquêtes, et documentons les sommes de contrôle.
- Nous établissons une chronologie technique et une synthèse compréhensible pour l'entretien avec la ZAC.
- Sur votre demande, nous nous tenons à la disposition des enquêteurs comme interlocuteurs techniques.
- Parallèlement, nous poursuivons la réponse à incident, afin que votre activité reprenne en sécurité le plus vite possible.
Questions fréquentes
Une plainte après une cyberattaque vaut-elle vraiment la peine ?
Une plainte crée une documentation officielle qui peut être utile vis-à-vis des assureurs, des partenaires commerciaux et des autorités. Elle permet des enquêtes et contribue à la vue d'ensemble de la situation. Vous pouvez discuter de son utilité dans un cas particulier avec la ZAC et votre conseil juridique.
Qu'est-ce qu'une ZAC ?
Les Zentrale Ansprechstellen Cybercrime (ZAC, points de contact centraux cybercriminalité) sont des services spécialisés de la police allemande pour les entreprises et les autorités, rattachés aux Landeskriminalämter (offices de police criminelle des Länder). Ils reçoivent les plaintes, conseillent sur la marche à suivre et coordonnent les enquêtes. Un aperçu est proposé par polizei.de.
Dois-je arrêter mon activité pour les besoins de l'enquête ?
En règle générale non. Les ZAC sont conscientes que les entreprises doivent continuer à travailler et conviennent des mesures avec vous. Clarifiez dès le premier entretien les questions de préservation des preuves et de reprise d'activité.
Une plainte devient-elle automatiquement publique ?
Non, une plainte n'est pas publiée automatiquement. Abordez les questions de confidentialité directement avec la ZAC. Vous continuez de piloter vous-même votre communication vers l'extérieur.