Cyberattaque : les 24 premières heures

Tout redémarrer. Le premier réflexe est de réinstaller pour reprendre le travail. Il détruit les traces, donc la possibilité de savoir par où l'attaquant est entré. Sans cette réponse, vous le laissez rentrer une seconde fois par la même porte.

Payer avant d'avoir qualifié. Le paiement ne garantit ni la restitution complète des données, ni l'absence de publication. C'est une décision de direction générale, prise après qualification, avec l'assureur et le conseil juridique, jamais dans l'heure qui suit la découverte.

Communiquer au hasard. Un message interne mal calibré finit chez un client ou dans la presse en quelques heures. Un silence total pendant deux jours produit exactement le même effet, en pire.

Isolez le réseau plutôt que les machines : coupez les liaisons entre sites, l'accès distant et les connexions vers l'extérieur. Laissez les postes compromis allumés si vous le pouvez, la mémoire vive contient une part de la preuve.

Coupez immédiatement l'accès des sauvegardes au reste du réseau. C'est la cible suivante dans la quasi-totalité des attaques par rançongiciel, et c'est aussi votre seul chemin de retour.

Ouvrez un canal de communication de secours, hors du système d'information touché : messagerie mobile, liste de numéros imprimée. Les annuaires internes sont souvent indisponibles au moment précis où il faut appeler tout le monde.

Qualifier. Quel périmètre est touché, depuis quand, quelles données, quelles sauvegardes sont intactes. Tant que ces quatre réponses ne sont pas écrites, aucune décision de remise en service n'est fiable.

Déposer plainte sous 72 heures. Depuis la loi d'orientation et de programmation du ministère de l'Intérieur de janvier 2023, l'indemnisation d'une cyber-rançon par une assurance est conditionnée au dépôt de plainte dans les 72 heures suivant la connaissance de l'infraction. Cette horloge démarre sans vous attendre.

Notifier la CNIL sous 72 heures si des données personnelles sont concernées, au titre de l'article 33 du règlement général sur la protection des données. Une notification initiale incomplète, complétée ensuite, vaut mieux qu'une notification tardive.

Prévenir votre assureur le jour même : la plupart des contrats imposent l'accord préalable de l'assureur pour engager des frais de réponse à incident.

La remise en service se fait sur des machines reconstruites, pas nettoyées. Restaurer un système compromis sur lui-même revient à réinstaller l'attaquant avec les données.

Réinitialisez les identifiants avant la reconnexion, en commençant par les comptes à privilèges et les comptes de service. Un rançongiciel se déclenche presque toujours après plusieurs semaines de présence discrète, avec des identifiants encore valides le lendemain de la crise.

Rouvrez par vagues, avec un point de contrôle entre chaque, et surveillez le retour de l'attaquant pendant les semaines qui suivent. Les réinfections se produisent le plus souvent dans le mois.

Une liste de contacts imprimée, à jour, avec l'assureur, le conseil juridique, le prestataire de réponse à incident et les référents métiers. Une crise se gère avec le téléphone du samedi matin, pas avec l'annuaire de l'intranet.

Des sauvegardes dont la restauration a été testée en vrai, sur du matériel neuf, chronomètre en main. Une sauvegarde jamais restaurée est une hypothèse, pas un plan.

Un exercice de crise par an, deux heures, comité de direction inclus. C'est la seule façon de découvrir avant l'attaque que personne ne sait qui a le pouvoir d'arrêter la production.

Ce sujet correspond à notre offre Cybersécurité et résilience, ou parlez-en directement au fondateur.