Un employé a cliqué sur un lien suspect : que faire ?
Il est 9h15. Votre collègue vous appelle : « Je crois que j’ai cliqué sur quelque chose de bizarre. » Vous avez 30 minutes pour réagir. Chaque minute compte.
Un clic sur un lien suspect ne mène pas toujours à une catastrophe. Mais sans réaction rapide, un incident mineur peut devenir un ransomware qui paralyse toute votre entreprise. C’est pourquoi cette procédure existe.
Cet article vous guide pas à pas : quoi faire immédiatement, quoi éviter, et comment protéger votre PME à long terme grâce au Triple Bouclier cybersécurité Polynome.
En résumé :
Si un employé a cliqué sur un lien suspect, suivez ces 4 étapes immédiates : déconnectez l’appareil du réseau, signalez l’incident à votre responsable IT, ne redémarrez pas le poste, et contactez votre prestataire cybersécurité. Agir vite limite les dégâts. Voici le détail complet.
Pourquoi un seul clic peut-il mettre toute votre PME en danger ?
Un lien suspect peut déclencher plusieurs types d’attaques en quelques secondes. Le logiciel malveillant s’installe silencieusement. Il se propage ensuite sur votre réseau interne.
Les conséquences les plus fréquentes sont :
- le vol de données confidentielles (clients, comptabilité, RH)
- le chiffrement de tous vos fichiers par un ransomware
- la prise de contrôle à distance de votre poste
Le danger ne vient pas toujours d’un clic « évident ». Les cybercriminels imitent parfaitement les emails de Bpost, de votre banque ou du SPF Finances. Ainsi, même un collaborateur attentif peut se faire piéger.
Quels sont les signes qu’un lien suspect a infecté un poste ?
Après un clic douteux, certains signaux doivent vous alerter immédiatement :
- une page s’ouvre puis se ferme sans raison apparente
- un fichier se télécharge automatiquement sans action de l’utilisateur
- le navigateur redirige vers un site inconnu
- une fenêtre pop-up demande un mot de passe ou des données bancaires
- l’antivirus se désactive soudainement
En cas de doute, agissez comme si l’infection était réelle. Car en effet, attendre une confirmation coûte plus cher qu’une fausse alerte.
Que faire dans les 30 premières minutes après un clic suspect ?
C’est la phase critique. Voici la procédure chronologique à suivre.
Étape 1 — Déconnectez immédiatement le poste du réseau (minutes 1 à 3)
C’est le geste le plus important.
- Débranchez le câble réseau.
- Désactivez le Wi-Fi.
- Coupez aussi le Bluetooth si possible.
Pourquoi ? Car la plupart des malwares cherchent d’abord à se propager sur les autres postes du réseau. Isoler l’appareil bloque cette propagation immédiatement.
⚠️ Ne redémarrez pas le poste. Un redémarrage peut activer certains ransomwares ou effacer des traces utiles pour l’analyse.
Étape 2 — Signalez l’incident à votre responsable ou prestataire IT (minutes 3 à 5)
Prévenez immédiatement votre responsable informatique ou votre prestataire. Si Polynome gère votre infrastructure, contactez notre équipe support sans attendre.
Donnez ces informations précises :
- l’heure exacte du clic
- l’URL du lien cliqué (si visible dans l’historique)
- ce qui s’est passé à l’écran après le clic
Étape 3 — Ne touchez plus au poste (minutes 5 à 15)
- N’essayez pas de « réparer » vous-même.
- N’ouvrez pas d’autres applications.
- Ne copiez aucun fichier vers une clé USB.
Car chaque action supplémentaire peut aggraver la situation ou détruire des preuves utiles pour l’analyse forensique.
Étape 4 — Changez vos mots de passe depuis un autre appareil (minutes 15 à 30)
Depuis un autre poste ou votre smartphone, changez immédiatement :
- votre mot de passe email professionnel
- vos accès aux applications cloud (Exact Online, Odoo, OneDrive, etc.)
- votre accès VPN si vous en utilisez un
Priorité absolue : les comptes avec accès à vos données financières ou clients.
Quelles erreurs aggravent la situation après un clic suspect ?
Certaines réactions instinctives font plus de mal que de bien. Évitez absolument ces erreurs.
| Erreur fréquente | Pourquoi c’est dangereux |
|---|---|
| Redémarrer le poste immédiatement | Peut activer un ransomware en veille |
| Continuer à travailler sur le poste infecté | Permet au malware de se propager |
| Brancher une clé USB pour sauvegarder | Infecte la clé et tous les postes suivants |
| Attendre le lendemain pour signaler | Laisse 12+ heures au malware pour agir |
| Tenter une désinfection manuelle | Masque les traces sans résoudre le problème |
Comment votre antivirus ESET réagit-il automatiquement ?
Si votre PME est protégée par ESET Protect Platform, la réaction est en grande partie automatique.
ESET détecte et bloque la majorité des malwares avant même qu’ils s’exécutent. En cas de menace connue, il met le fichier suspect en quarantaine immédiatement. Il alerte aussi le tableau de bord centralisé, donc votre prestataire peut agir à distance.
Cela ne veut pas dire que tout est résolu automatiquement. Les menaces inconnues (zero-day) peuvent passer. C’est pourquoi l’intervention humaine reste indispensable même avec un antivirus professionnel.
Que faire si le poste est déjà chiffré par un ransomware ?
Si vous voyez un message de rançon à l’écran, le ransomware a déjà agi. Voici les priorités dans ce cas :
- Ne payez pas la rançon. Le paiement ne garantit pas la récupération des données. Il finance les criminels et vous désigne comme cible solvable.
- Isolez tous les postes du réseau, pas seulement celui qui affiche le message.
- Contactez immédiatement votre prestataire IT et déposez plainte auprès de la Police Fédérale belge.
- N’essayez pas de restaurer vos données vous-même. Laissez votre prestataire prendre la main avant toute action de récupération.
Comment restaurer vos données après une attaque ransomware ?
La restauration ne s’improvise pas. Elle suit un ordre précis pour éviter de réinfecter vos systèmes.
Étape 1 — Nettoyez ou réinstallez le poste infecté avec votre prestataire. Ne restaurez jamais une sauvegarde sur un poste encore compromis. Le malware survivrait à la restauration et rechiffrerait vos données immédiatement. Votre prestataire doit d’abord assainir complètement le poste, ou réinstaller le système d’exploitation from scratch.
Étape 2 — Restaurez vos données depuis une copie saine. Si vous utilisez Serenity Backup, vos données peuvent être restaurées depuis une copie antérieure à l’attaque — soit sur le poste nettoyé, soit directement sur un autre poste non infecté pour reprendre le travail immédiatement pendant que le poste compromis est en cours de traitement.
💡 Installer la sauvegarde sur un poste secondaire propre est souvent la solution la plus rapide pour limiter l’arrêt d’activité.
Tableau de synthèse : que faire selon la situation
| Situation | Action prioritaire | Urgence |
|---|---|---|
| Clic sur lien, rien de visible | Déconnecter + signaler IT | Élevée |
| Fichier téléchargé automatiquement | Déconnecter + ne pas ouvrir le fichier | Très élevée |
| Pop-up demande mot de passe | Fermer sans saisir + signaler | Élevée |
| Antivirus déclenche une alerte | Laisser ESET agir + contacter IT | Modérée |
| Message de rançon à l’écran | Isoler réseau + ne pas payer + plainte | Critique |
| Données inaccessibles | Restauration backup + contact IT | Critique |
FAQ — Questions fréquentes sur les clics suspects en entreprise
Oui. Certains malwares se propagent automatiquement sur tous les appareils connectés au même réseau en quelques minutes.
Prévenez d’abord votre IT ou prestataire. C’est lui qui décide si une alerte générale est nécessaire. Évitez la panique inutile.
Si des données personnelles de clients ou d’employés sont potentiellement compromises, vous avez l’obligation légale de le signaler à l’Autorité de protection des données belge (APD) dans les 72 heures (RGPD, art. 33).
Non, pas automatiquement. Les arnaques sont très sophistiquées. La responsabilité de l’entreprise est de former les équipes et de mettre en place des protections techniques adaptées.
Oui, potentiellement. Les menaces dites « zero-day » ne sont pas encore connues des bases de données antivirales. C’est pourquoi l’analyse humaine reste nécessaire après chaque incident.
Entre quelques heures et plusieurs jours selon la complexité. Plus vite vous signalez, plus l’analyse est simple et rapide.
Souvent oui, si vous disposez d’un backup récent et propre. C’est le rôle de Serenity Backup : restaurer vos données depuis une copie antérieure à l’attaque.
Isolez le poste du réseau immédiatement. Contactez votre prestataire via son service de support. Chez Polynome, notre équipe support peut intervenir à distance rapidement.
Conclusion
Un employé qui clique sur un lien suspect, c’est une situation qui arrive dans toutes les PME. Ce n’est pas une honte. C’est un risque réel, gérable si vous réagissez dans les bonnes conditions.
La clé : isoler, signaler, ne pas toucher, changer les mots de passe. Dans cet ordre. Dans les 30 minutes.
Et pour ne plus dépendre uniquement de la vigilance humaine, le Triple Bouclier Polynome — ESET, WatchGuard et Serenity Backup — bloque la grande majorité des menaces avant qu’elles n’atteignent vos données.
Contact : +32 (0)81 84 90 66 | polynome.be/contact
Adresse : Parc Scientifique Crealys, Rue Jean Sonet 17/1, 5032 Gembloux
