Guide approfondi · Sécurité

Plan d’urgence cyber : que faire en cas d’attaque contre le family office

Mise à jour: 14 novembre 2026 · Leutrim Miftaraj, FLIORE · Principes rédactionnels · Autres langues: Deutsch · English · Español

Réponse courte

Un plan d’urgence cyber fixe à l’avance qui décide lors d’une attaque, quelles étapes suivent dans la première heure, comment informer banques, famille et autorités et comment rétablir les systèmes en sécurité. Il suit les phases préparation, détection, confinement, éradication, rétablissement et retour d’expérience. Des obligations d’annonce des violations de données existent selon la LPD suisse et, dans les 72 heures, selon le RGPD.

Pourquoi les family offices sont une cible

Les family offices réunissent de grandes fortunes, des informations confidentielles et de petites équipes informatiques. Les attaquants le savent : ils tentent de détourner des paiements, de prendre le contrôle de messageries, de chiffrer des données ou de dérober des documents confidentiels. Une attaque ne peut pas être exclue totalement – l’essentiel est la rapidité et l’ordre de la réaction. Sans plan, un temps précieux se perd dans la première heure et des traces sont effacées.

Les phases d’un incident

Phases de traitement d’un incident (inspirées du NIST SP 800-61)
Phase	But	Mesures typiques
Préparation	Être capable d’agir avant que quelque chose arrive	Plan d’urgence, liste de contacts, sauvegardes, exercices, assurance
Détection et analyse	Confirmer l’incident et en évaluer l’ampleur	Rassembler les indices, déterminer les systèmes et comptes touchés
Confinement	Stopper la propagation	Bloquer des comptes, isoler des appareils, arrêter des paiements
Éradication et rétablissement	Éliminer l’attaquant, reprendre l’exploitation en sécurité	Renouveler les mots de passe, restaurer les systèmes à partir de sauvegardes saines
Retour d’expérience	Apprendre et s’améliorer	Analyse des causes, plan de mesures, documentation

La première heure

Informer les responsables de l’urgence et clarifier qui a le pouvoir de décision.
Bloquer les comptes touchés ou changer les mots de passe, déconnecter du réseau les appareils touchés – sans les éteindre, afin de préserver les traces.
En cas de possible fraude au paiement, appeler immédiatement toutes les banques et faire arrêter ou rappeler les paiements.
Faire appel au prestataire informatique ou à des spécialistes du traitement des incidents.
Commencer une chronologie : quoi, quand, qui a remarqué, quelles mesures.
Informer l’assureur cyber s’il y en a un – beaucoup de polices exigent une annonce immédiate.

Obligations d’annonce

En cas de violation de la sécurité des données entraînant vraisemblablement un risque élevé pour les personnes concernées, la loi fédérale sur la protection des données exige une annonce au Préposé fédéral à la protection des données et à la transparence dans les meilleurs délais (art. 24 LPD). Selon le RGPD, une violation de données à caractère personnel doit être notifiée à l’autorité de contrôle si possible dans les 72 heures lorsqu’elle est susceptible d’engendrer un risque (art. 33) ; en cas de risque élevé, les personnes concernées doivent aussi être informées (art. 34). En Suisse s’applique en outre depuis le 1er avril 2025 une obligation de signaler les cyberattaques à l’Office fédéral de la cybersécurité – mais seulement pour les exploitants d’infrastructures critiques, dont les family offices ne font en général pas partie. Une plainte pénale auprès de la police est indiquée en cas de fraude et d’extorsion.

Exemple pratique (simplifié)

Une collaboratrice remarque dans sa messagerie des règles de transfert qu’elle ne connaît pas. Selon le plan d’urgence, elle informe immédiatement la direction ; le compte est bloqué et le prestataire informatique contrôle les connexions et trouve un accès depuis l’étranger. Comme l’attaquant pouvait voir des factures avec des coordonnées bancaires, toutes les banques sont averties et les paiements de la semaine écoulée sont vérifiés – l’un d’eux vers un IBAN modifié peut encore être arrêté. Les données clients de la famille ayant été visibles, le family office examine l’obligation d’annonce et signale l’incident à l’autorité de protection des données compétente.

Une préparation qui paie

Connexion à deux facteurs pour tous les comptes, en particulier la messagerie et la banque en ligne.
Sauvegardes selon la règle 3-2-1 : trois copies, deux supports, une hors site et déconnectée du réseau ; tester régulièrement la restauration.
Une liste de contacts disponible hors ligne : banques, informatique, assurance, avocat, autorité de protection des données, police.
Un exercice annuel sur table avec un scénario réaliste.
Une règle claire : ne jamais exécuter de paiements ni de changements de compte sur la seule base d’une instruction par courriel.

La communication en cas d’urgence

Outre le traitement technique, la communication décide de l’ampleur du dommage. La famille doit être informée rapidement et honnêtement, sans spéculation ; les banques ont besoin d’instructions claires sur les paiements à arrêter ou à vérifier avec une attention particulière ; le personnel a besoin d’une règle sur ce qu’il peut dire à des tiers. Une seule personne est chargée des demandes des médias ou des partenaires d’affaires.

Les canaux doivent être sûrs : si des messageries sont compromises, les instructions ne doivent pas y transiter – des numéros de téléphone convenus à l’avance ou un canal séparé sont nécessaires. Après l’incident, un court rapport à la famille et aux organes s’impose : ce qui s’est passé, quelles données étaient concernées, quelles annonces ont été faites et quelles mesures empêchent une répétition. La transparence renforce davantage la confiance que toute formulation rassurante.

Dans FLIORE

FLIORE soutient la préparation avec une connexion à deux facteurs pouvant être imposée à toute l’organisation, des droits fondés sur les rôles, un stockage documentaire chiffré, des approbations à quatre yeux pour les paiements et une piste d’audit qui montre en cas d’urgence qui a consulté quelles données et quand.

En bref

Phases	Préparation, détection, confinement, éradication/rétablissement, retour d’expérience
Annonce en Suisse	PFPDT dans les meilleurs délais en cas de risque élevé vraisemblable (art. 24 LPD)
Annonce dans l’UE	Autorité de contrôle si possible dans les 72 heures (art. 33 RGPD)

Termes de cette page

Piste d’audit: Journal inaltérable qui enregistre qui a créé, modifié, approuvé ou supprimé quelles données, et quand.

Questions fréquentes

Tout incident cyber doit-il être annoncé ?

Non. Doivent être annoncées les violations de la sécurité des données entraînant vraisemblablement un risque élevé (Suisse) ou un risque pour les personnes concernées (UE). L’examen et son résultat devraient être documentés.

Faut-il éteindre les appareils touchés ?

Mieux vaut les déconnecter du réseau et les laisser allumés, afin de préserver les traces pour l’analyse – sauf avis contraire des spécialistes.

Faut-il payer une rançon ?

Les autorités le déconseillent, car cela encourage d’autres attaques et n’offre aucune certitude de récupération. Des sauvegardes saines et séparées sont décisives.

Qui devrait faire partie de l’équipe d’urgence ?

La direction du family office, le responsable informatique ou le prestataire, la conformité ou la protection des données et une personne chargée de la communication avec la famille et les banques.

À quelle fréquence faut-il s’exercer ?

Au moins une fois par an sur table avec un scénario réaliste, et en plus après des changements importants de l’informatique.

Une assurance cyber aide-t-elle ?

Elle peut couvrir les coûts des spécialistes, du rétablissement et de la responsabilité. Les conditions sont importantes, comme les délais d’annonce et les exigences minimales de sécurité.

Comment informer la famille ?

Rapidement, sobrement et par un canal sûr : ce que l’on sait, ce qui est entrepris et quand suivra la prochaine information. Il faut éviter de spéculer sur les causes ou les auteurs avant que l’analyse soit disponible.

Quels documents devraient être disponibles hors ligne ?

La liste des contacts d’urgence, le plan d’urgence lui-même, les données d’accès pour la restauration dans un coffre sécurisé et les principaux numéros de contrat, par exemple celui de l’assurance cyber.

Quel rôle joue le prestataire informatique ?

Il est en général le premier interlocuteur technique. Le contrat devrait régler sa rapidité d’intervention en cas d’urgence, l’accès aux journaux et le recours éventuel à des spécialistes du traitement des incidents. Ces questions se règlent avant l’urgence.

Sources

Cette page sert d’orientation et ne remplace pas un conseil juridique ou fiscal. Les sources juridiques citées font foi dans leur version applicable.

Plus sur Exploitation, sécurité et technologie

Tous les guides →

FLIORE dans votre family office

Découvrez structures, conformité et patrimoine consolidé avec vos propres questions – lors d’une démonstration personnelle.

Réserver une démo