Réponse à incident et investigation (forensic)
Un écran de rançon un lundi matin. Un client qui reçoit de fausses factures envoyées depuis votre propre boîte mail. Ou juste un doute : une connexion bizarre à 3 h du matin, un compte dont le mot de passe a changé tout seul. Dans tous ces cas, la question est la même. Que s’est-il passé, et est-ce que c’est terminé ?
Si c’est en cours, maintenant
- Débranchez du réseau les machines touchées (câble et Wi-Fi). Si vos sauvegardes sont connectées, débranchez-les aussi.
- N’éteignez pas les machines touchées : leur mémoire garde des traces utiles. Si le chiffrement est visiblement en cours, mettez-les en veille prolongée.
- Ne payez pas la rançon. Ne réinstallez rien pour l’instant.
- Notez tout, avec l’heure : qui a vu quoi, qui a fait quoi.
- Appelez-moi au +33 6 35 20 85 33, ou signalez l’attaque sur 17cyber.gouv.fr, le guichet national d’aide aux victimes, ouvert 24 h/24.
Ces consignes reprennent la fiche réflexe ransomware de cybermalveillance.gouv.fr.
Ce que je fais
- Premier appel
- On fait le point au téléphone : ce qui est touché, ce qui fonctionne encore, ce qu’il faut couper. Cette heure-là évite souvent l’erreur qui coûte cher, comme réinstaller un serveur avant de savoir par où l’attaquant est passé.
- Préservation des preuves
- Copie des journaux, de la mémoire et des disques des machines clés, avant toute remise en état. Ces éléments servent à l’enquête, à la plainte et à votre assureur.
- Investigation
- Retrouver le point d’entrée, le chemin suivi dans le réseau, les comptes utilisés et ce qui a pu sortir. L’Active Directory et Microsoft 365 sont presque toujours au centre de l’histoire ; je les attaque toute l’année en mission.
- Levée de doute
- Pas sûr d’avoir été attaqué ? Je cherche les traces d’une compromission sur vos postes, vos serveurs et vos comptes cloud. Parfois, il n’y a rien. Ça se documente aussi, et ça rassure un client ou un assureur.
- Nettoyage et remise en sécurité
- Fermer la porte d’entrée, réinitialiser les comptes compromis, vérifier que les sauvegardes restaurées sont saines, puis durcir ce qui doit l’être pour éviter que ça recommence.
- Rapport
- La chronologie de l’incident, ses causes, ce qui a été fait et ce qu’il reste à faire. Lisible par la direction, exploitable par votre assureur et pour vos déclarations.
Les démarches à ne pas oublier
Une cyberattaque, c’est aussi de la paperasse, et certaines échéances sont courtes. Portez plainte avant de réinstaller les machines touchées : les enquêteurs ont besoin des traces. Si des données personnelles ont pu fuiter, la CNIL doit être notifiée sous 72 heures. Prévenez votre assureur tôt, certains contrats imposent leurs propres prestataires. Et si votre entreprise entre dans le champ de NIS2, l’incident se signale aussi à l’ANSSI.
Je vous aide à rassembler les éléments techniques pour chacune de ces démarches. La décision et la signature restent les vôtres.
Pourquoi un pentester
Pour comprendre une intrusion, il faut savoir comment on la mène. C’est mon métier depuis 7 ans : obtenir un premier accès, rebondir de machine en machine, finir administrateur du domaine. Quand je lis les traces d’une attaque, je reconnais les étapes. Je les ai faites moi-même, en mission, avec l’accord des clients.
Mes limites, franchement
Je travaille seul. Je ne suis pas un prestataire qualifié PRIS par l’ANSSI et je n’assure pas d’astreinte 24 h/24. Pour une attaque massive qui paralyse plusieurs sites, ou si votre assureur exige un prestataire qualifié, je vous oriente vers une équipe plus grande, via 17Cyber ou Cyber’Occ, le centre régional de réponse aux incidents en Occitanie.
Je peux ensuite reprendre la main pour la remise en sécurité et les tests qui suivent.
Une fois la situation stabilisée
Un audit vérifie que les portes sont bien refermées. L’audit externe Découverte (1 jour, 500 € HT) contrôle ce qui reste exposé sur Internet. Un pentest interne vérifie qu’un nouvel attaquant n’irait pas aussi loin que le précédent.
Questions fréquentes
Faut-il payer la rançon ?
Non. L’ANSSI et cybermalveillance.gouv.fr le déconseillent : rien ne garantit que vous récupérerez vos données, et l’argent finance la prochaine attaque. La tentation est compréhensible quand tout est bloqué. C’est justement le moment de chercher une sauvegarde saine.
Vous intervenez sur place ?
À distance dans la plupart des cas, ce qui fait gagner du temps. Sur place autour de Montpellier quand c’est nécessaire.
On peut tout réinstaller tout de suite pour repartir ?
C’est le réflexe naturel, et le plus risqué. Sans savoir par où l’attaquant est entré, vous réinstallez avec la même porte ouverte. Et vous effacez les traces dont la plainte et l’assureur ont besoin.
Et si, finalement, il n’y a rien ?
Tant mieux. Vous repartez avec un rapport qui dit ce qui a été vérifié, et souvent quelques points à corriger trouvés en chemin.
Un audit à prévoir ?
Estimez votre audit en ligne en 2 minutes, ou réservez un échange. Vous repartez avec une fourchette de durée et de prix, sans engagement.
Faire un devis