Vous êtes sous attaque ?
Appelez. Le reste de cette page peut attendre : elle est écrite pour être lue pendant que le téléphone sonne.
+225 07 07 79 14 49
Un ingénieur d’astreinte prend l’appel. Si la ligne est occupée, écrivez à [email protected] en mettant URGENCE en objet : la boîte est surveillée en continu.
Vous n’avez pas besoin d’être client pour appeler.
Ce qu’il faut faire tout de suite
L’ordre compte. Une organisation qui agit dans le désordre détruit les traces dont l’enquête aura besoin, et rouvre souvent la porte par laquelle l’attaquant est entré.
- Isolez, n’éteignez pas. Débranchez le câble réseau ou coupez le Wi-Fi des machines touchées. Une machine éteinte perd sa mémoire vive, où se trouvent souvent les clés de déchiffrement et la trace de l’intrusion.
- Coupez les accès distants — VPN, bureau à distance, comptes d’administration de prestataires — plutôt que de couper Internet en bloc.
- Prévenez votre direction. Une réponse à incident engage des décisions qui ne relèvent pas de la seule DSI.
- Ouvrez un canal de communication hors du réseau compromis : téléphones personnels, messagerie externe. Partez du principe que votre messagerie interne est lue.
- Notez l’heure de chaque action, même sur papier. Cette chronologie vaudra plus tard son pesant d’or.
Ce qu’il ne faut surtout pas faire
- Ne redémarrez pas et ne réinstallez pas les machines touchées : vous effaceriez les preuves avant de savoir par où l’attaquant est entré.
- Ne restaurez pas les sauvegardes avant d’avoir identifié la porte d’entrée. Une restauration prématurée se fait réinfecter en quelques heures.
- Ne payez pas la rançon sans avis. Le paiement ne garantit ni la restitution des données, ni leur non-publication, et il est encadré par la loi dans plusieurs juridictions.
- N’écrivez pas à l’attaquant depuis un compte de l’organisation.
- Ne communiquez pas publiquement avant d’avoir établi les faits.
Ce qu’il est utile d’avoir sous la main
Rien de tout cela n’est un préalable à l’appel. Mais si quelqu’un peut rassembler ces éléments pendant que vous nous parlez, l’intervention démarre plus vite.
- Ce qui a été constaté, et à quelle heure
- Le nombre de machines et de serveurs touchés
- La présence éventuelle d’une demande de rançon, et son texte
- L’état des sauvegardes : où elles sont, quand elles datent, si elles sont accessibles depuis le réseau touché
- Vos accès distants ouverts et vos prestataires connectés
- Le nom d’une personne habilitée à décider
Selon votre secteur et les données concernées, un incident peut devoir être déclaré à une autorité — régulateur sectoriel, autorité de protection des données — dans un délai contraint. Nous vous aidons à identifier ce qui s’applique et à documenter les faits en conséquence, mais la déclaration reste votre responsabilité.
Cela ne change rien à l’appel. Nous qualifions l’urgence d’abord, nous parlons du cadre contractuel ensuite. Une organisation en crise n’a pas à négocier avant d’être secourue.
Rien d’urgent aujourd’hui ?
C’est le meilleur moment pour préparer le jour où ça le sera. L’atelier de cadrage établit ce qui est couvert, ce qui ne l’est pas, et par quoi commencer.