En 2025, le CERT-UA a traité 5 927 cyberincidents — soit 37,4 % de plus qu'en 2024. Parmi eux, 1 727 cas de phishing contre 843 l'année précédente. Ces données reflètent le nombre d'incidents traités, et non le nombre total de toutes les tentatives d'attaques contre les entreprises et institutions publiques ukrainiennes.
Dans le rapport mondial Verizon DBIR 2026, le facteur humain était présent dans 62 % des violations de sécurité examinées. Il s'agit d'une catégorie plus large que le phishing : elle englobe également l'ingénierie sociale, les erreurs et l'utilisation d'identifiants compromis. Dans les simulations de phishing, le taux médian de clics réussis pour les vecteurs mobiles — appels vocaux et messages textuels — était supérieur de 40 % à celui du courrier électronique.
Pourquoi les 48 premières heures sont déterminantes
La période de 48 heures constitue un horizon pratique pour l'organisation de mesures urgentes, et non un délai fixé par la loi ni une limite garantie de récupération des fonds. Après une compromission, au moins trois processus se déroulent en parallèle : l'attaquant s'installe durablement dans le système, les journaux numériques peuvent être écrasés, et les fonds peuvent être déplacés entre comptes. La réponse technique, financière et juridique ne doit donc pas être menée de manière séquentielle, mais simultanément.
Le rapport de l'IC3 du FBI pour 2025 recense 24 768 signalements de compromission de la messagerie professionnelle (Business Email Compromise, BEC), pour des pertes déclarées supérieures à 3,046 milliards de dollars. Cette année-là, la Recovery Asset Team américaine a engagé 3 900 procédures de Financial Fraud Kill Chain et a fait état du blocage de 58 % du montant total des tentatives de détournement signalées. Ces résultats ne peuvent être transposés automatiquement à l'Ukraine ni interprétés comme une garantie de récupération des fonds ; ils ne font que confirmer l'importance critique d'un contact immédiat avec la banque et d'une documentation complète de la transaction.
Précision essentielle. Aucune source fiable ne confirme l'existence d'une règle universelle selon laquelle les chances de récupération des fonds diminueraient automatiquement à un pourcentage donné après 24 ou 48 heures. Le résultat dépend du type de virement, des juridictions concernées, du délai de signalement, du solde restant et des procédures propres à chaque banque.
Chronologie indicative des premières 48 heures : 0–2 heures — isolement des systèmes touchés, enregistrement de l'heure de détection, activation du plan de réponse, contact avec la banque si les fonds ont déjà été transférés ; 2–6 heures — conservation des journaux, courriels et documents de paiement, blocage des sessions compromises, évaluation initiale de l'ampleur ; 6–24 heures — notification au CERT-UA et aux autorités répressives, vérification des délais réglementaires, contractuels et d'assurance ; 24–48 heures — analyse forensique approfondie, évaluation d'une éventuelle fuite de données personnelles, documentation des décisions et plan de reprise sécurisée.
Étape 1. Confiner l'incident sans perdre les preuves
L'appareil ou le segment de réseau touché doit être isolé, mais la décision d'éteindre, de nettoyer ou de réinstaller un système doit être coordonnée avec un spécialiste de la réponse aux incidents : de telles mesures peuvent détruire la mémoire vive, les journaux et d'autres artefacts volatils. Le CERT-UA recommande, avant toute restauration, de conserver des copies des disques, les journaux d'événements, les données réseau et les autres traces de l'incident.
Il convient notamment de : consigner la date et l'heure exactes de la découverte de l'incident, ainsi que le fuseau horaire ; conserver le courriel suspect original au format .eml ou .msg, avec ses en-têtes complets ; exporter les journaux de connexion, des modifications de règles de messagerie, des autorisations OAuth et des actions des administrateurs ; conserver les ordres de paiement, factures, coordonnées du bénéficiaire et la correspondance avec la banque ; travailler sur des copies, calculer si possible des valeurs de hachage de contrôle, et tenir un registre des personnes ayant eu accès aux documents.
L'objectif de ces mesures est d'assurer la reproductibilité et l'intégrité des éléments recueillis. Le hachage, à lui seul, ne rend pas un fichier admissible comme preuve, mais, associé à une origine documentée, à un mode d'extraction et de conservation appropriés, il aide à confirmer que les données n'ont pas été altérées. Un modèle général de réponse doit couvrir la détection, la réponse, la reprise et l'amélioration continue des procédures.
Étape 2. Reprendre le contrôle des comptes
Les modifications doivent être effectuées depuis un appareil de confiance, non utilisé pendant la compromission. Le simple changement d'un mot de passe peut être insuffisant si l'attaquant a créé des règles de transfert, connecté une application tierce ou conservé un jeton de session actif.
Il convient de : mettre fin de force aux sessions actives et révoquer les jetons d'accès ; modifier les mots de passe des comptes compromis et des comptes privilégiés liés ; activer l'authentification multifacteur, de préférence résistante au phishing ; vérifier les règles de transfert du courrier, les délégations de boîtes aux lettres, les filtres et les applications OAuth ; examiner les modifications apportées aux modèles de paiement, aux bénéficiaires de confiance et aux coordonnées de contact.
Étape 3. Contacter immédiatement la banque
Si le paiement a déjà été exécuté, la banque émettrice doit être avertie immédiatement par un canal officiel, avec une demande écrite d'engager un rappel de fonds ou toute autre procédure disponible pour bloquer les sommes. Communiquez les coordonnées complètes de l'opération, le montant, l'heure, le motif du paiement, les données du bénéficiaire et une explication de la méthode de fraude utilisée. Demandez que la démarche soit consignée et qu'un numéro de référence vous soit communiqué.
Il convient de distinguer l'opération non autorisée du paiement qu'une personne habilitée a elle-même confirmé sous l'effet d'une tromperie. Cette distinction peut modifier l'appréciation juridique, la procédure de contestation et la répartition de la responsabilité. Le simple fait de la fraude n'entraîne pas automatiquement l'obligation pour la banque de rembourser l'intégralité de la somme ; comptent la loi d'Ukraine « relative aux services de paiement », le contrat, la méthode d'authentification utilisée et l'enchaînement effectif des faits.
Vérifiez en parallèle les délais de notification auprès de l'assureur ainsi que les obligations découlant des contrats conclus avec les clients, fournisseurs ou partenaires de paiement. La notification doit être factuelle et mesurée : des conclusions prématurées sur la cause ou l'ampleur de l'incident peuvent compliquer le règlement ultérieur.
Étape 4. Informer le CERT-UA et les autorités répressives
Un cyberincident peut être signalé au CERT-UA à l'adresse incidents@cert.gov.ua ou via les coordonnées figurant sur son site officiel. Le CERT-UA est l'équipe nationale de réponse au sein du Service national des communications spéciales et de la protection de l'information : elle aide à examiner et à contenir un incident et fournit des recommandations, mais ne remplace pas l'autorité d'instruction préalable.
En présence d'indices d'appropriation de fonds ou d'intrusion non autorisée, une plainte doit être déposée auprès de la Police nationale ou de son unité de cyberpolice. La qualification dépend de la méthode d'attaque et de ses conséquences : selon les circonstances, l'art. 190 du Code pénal d'Ukraine (fraude) et l'art. 361 du Code pénal d'Ukraine (intrusion non autorisée) peuvent, entre autres, être retenus. La qualification définitive ne doit pas être déterminée automatiquement sur la seule base de la dénomination donnée à l'incident.
Des règles spécifiques de notification et de coopération s'appliquent à certains acteurs — opérateurs d'infrastructures critiques, banques, prestataires de services de paiement ou financiers. Ainsi, les banques notifient à la Banque nationale d'Ukraine les cyberincidents significatifs selon la procédure fixée par la résolution du conseil d'administration de la BNU n° 24. L'obligation de notification au Service national de suivi financier ne naît pas du seul fait d'une attaque de phishing : il convient d'apprécier séparément si l'opération financière est soumise à une obligation de déclaration en vertu de la législation relative au suivi financier.
En cas de compromission de données personnelles
Le RGPD ne s'applique pas simplement parce que des « résidents de l'UE » figurent parmi les personnes concernées. Il convient de vérifier le champ d'application territorial du règlement au titre de l'article 3. Lorsque le RGPD s'applique, le responsable du traitement notifie la violation à l'autorité de contrôle compétente dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf si la violation n'est pas susceptible d'engendrer un risque pour les droits et libertés des personnes physiques. En cas de risque élevé, les personnes concernées doivent être informées dans les meilleurs délais.
La loi d'Ukraine actuellement en vigueur « relative à la protection des données personnelles » ne prévoit pas de délai général de 72 heures comparable à l'article 33 du RGPD. Le projet de loi n° 8153 a été adopté en première lecture le 20 novembre 2024 et, à la date du présent document, est en préparation pour sa seconde lecture. Ses dispositions ne peuvent être présentées comme du droit en vigueur, bien qu'il soit opportun d'en tenir compte lors de l'élaboration des procédures internes.
Ce qu'il convient de conserver pour le travail juridique
Pour les besoins du travail juridique ultérieur, il convient de conserver : une chronologie des événements précisant l'heure exacte de chaque action et la personne qui l'a effectuée ; les courriels originaux, leurs en-têtes complets, ainsi que les données de domaine et DNS ; les journaux d'authentification, de VPN, des services cloud, de la passerelle de messagerie et des outils de sécurité ; les relevés bancaires, instructions de paiement, enregistrements d'appels téléphoniques et réponses de la banque ; les images de supports ou autres copies forensiques, les valeurs de hachage et le registre de transmission des documents ; les contrats conclus avec la banque, l'assureur, les prestataires informatiques et les cocontractants ; l'ensemble des notifications adressées au CERT-UA, à la police, aux régulateurs, aux personnes concernées et aux partenaires.
Conclusion
Après une attaque de phishing, la priorité n'est pas de rechercher un responsable au sein de l'entreprise, mais de maîtriser et de limiter le préjudice. Dans les premières heures, il faut simultanément isoler les systèmes compromis, préserver les traces numériques, reprendre le contrôle des comptes, contacter la banque et déterminer les destinataires obligatoires des notifications.
Il n'existe ni pourcentage universel de récupération des fonds ni algorithme unique applicable à tous les incidents. La solution dépend du contexte technique, du type de paiement, des juridictions concernées, du statut de l'entreprise touchée et de ses contrats. Le repère pratique des 48 heures doit donc être utilisé comme un délai de mobilisation de l'équipe, et non comme une promesse de résultat.
Avertissement. Ce document a un caractère exclusivement informatif, ne constitue pas un conseil juridique ou technique individuel et ne garantit pas la récupération des fonds. La marche à suivre dépend des circonstances de l'incident, des contrats, des juridictions concernées et des exigences réglementaires en vigueur au moment des faits.
Sources : Service national des communications spéciales — le CERT-UA a traité 5 927 cyberincidents en 2025 ; Verizon 2026 Data Breach Investigations Report ; FBI Internet Crime Complaint Center — 2025 IC3 Annual Report ; CERT-UA — comment restaurer l'activité d'une entreprise après une cyberattaque ; CERT-UA — quand et comment signaler un cyberincident ; loi d'Ukraine « relative aux principes fondamentaux de la cybersécurité de l'Ukraine » ; Code pénal d'Ukraine, art. 190 et 361 ; résolution du conseil d'administration de la BNU du 25.02.2025 n° 24 ; règlement (UE) 2016/679 (RGPD), art. 33 et 34 ; loi d'Ukraine « relative à la protection des données personnelles » ; fiche du projet de loi n° 8153 ; NIST SP 800-61 Rev. 3.