Quand une messagerie tombe, qu’un écran affiche une demande de rançon ou qu’un compte est vidé, les premières heures décident de ce qu’on pourra encore prouver et récupérer. Voici les gestes à connaître avant d’en avoir besoin.
Pourquoi ces heures comptent
Lors du forum de Yaoundé sur la cybersécurité, l’ANTIC a présenté le cas d’une attaque par rançongiciel survenue en mars 2026 : un serveur Windows non corrigé, puis près d’un mois sans messagerie (récit rapporté par Cameroon Tribune, 30/09/2026 ; voir notre analyse du cas). Ces éléments viennent d’une seule source de presse ; l’Observatoire n’a pas consulté le rapport source de l’ANTIC. Le cas rappelle une règle simple : ce qui est fait, ou évité, dans les premières heures conditionne la durée de l’interruption.
Les gestes, dans l’ordre
Ces étapes s’inspirent de la fiche de réponse aux rançongiciels de la CISA et du MS-ISAC (États-Unis, mars 2022), adaptée au contexte local. Ce n’est pas un protocole officiel de l’ANTIC.
- Isoler d’abord. Identifier les systèmes touchés et les couper du réseau (câble, Wi-Fi, ou au niveau du commutateur s’il y en a plusieurs). Prévenir les collègues par téléphone plutôt que par la messagerie, qui peut être surveillée par l’attaquant.
- N’éteindre qu’en dernier recours. Éteindre ou redémarrer détruit les preuves conservées en mémoire vive. À réserver aux cas où l’on ne peut pas déconnecter la machine.
- Établir des priorités. Lister les systèmes vitaux (paie, facturation, santé, services au public) et repérer ceux qui ne sont pas touchés, à restaurer en dernier.
- Conserver les preuves. Photographier l’écran, noter l’heure, garder les messages reçus, les journaux (logs) et les fichiers suspects. Ne rien supprimer.
- Changer les accès depuis un appareil sain : messagerie, banque, comptes d’administration ; activer la double authentification quand elle existe.
- Ne pas décider de la rançon seul. La CISA déconseille de payer : le paiement ne garantit ni le déblocage des données, ni la fin de l’intrusion, et les attaquants peuvent réclamer une seconde somme. À discuter avec un conseil technique et juridique.
- Signaler à l’ANTIC : le numéro vert est le 8202. L’ANTIC est le régulateur désigné par la loi n° 2010/012 sur la cybersécurité et la cybercriminalité.
- Informer les personnes concernées si des données personnelles sont touchées (voir l’encadré).
- Ne restaurer qu’après nettoyage, depuis des sauvegardes saines, vérifiées hors ligne.
Encadré juridique : données personnelles
La loi n° 2024/017 du 23 décembre 2024 sur la protection des données personnelles est exigible depuis le 23 juin 2026. Elle crée l’Autorité de protection des données à caractère personnel (APDP, art. 53). D’après une analyse de cabinet (TechHive Advisory), son article 22 impose aux responsables de traitement comme aux sous-traitants de notifier toute violation à l’Autorité et aux personnes concernées, sans fixer de délai chiffré.
À ce jour, l’Observatoire n’a trouvé aucune confirmation publique que l’APDP soit installée ou opérationnelle : le décret d’organisation ne semble pas publié. Les organisations ne doivent pas attendre pour documenter leurs incidents ; la manière de notifier une autorité encore non installée reste, à notre connaissance, une question ouverte.
Ce que l’on ne sait pas
L’Observatoire ne dispose pas de données publiques sur le délai moyen de remise en service après incident au Cameroun, ni d’un guide camerounais officiel équivalent à celui de la CISA.
Un incident à signaler ? Écrivez-nous : mon@obs-cc.org.
Sources
- Cameroon Tribune, « Lutte contre la cybercriminalité : la riposte nationale s’organise » (30/09/2026)
- CISA / MS-ISAC, Ransomware Response Checklist (mars 2022)
- TechHive Advisory, « Opérationnalisation de la loi camerounaise sur la protection des données »
- OBS-CC, Loi 2024/017 : protection des données au Cameroun
- OBS-CC, CIRT Cameroun