Assistance après une cyberattaque

Ce que vous faites maintenant, avant même de nous appeler

N'éteignez pas la machine touchée. L'extinction efface la mémoire vive, et c'est souvent là que se trouve ce qui permet de comprendre ce qui est arrivé. Débranchez simplement son câble réseau, et coupez son wifi.

Ne payez rien et ne répondez à personne. Une rançon payée ne garantit aucune restitution, et un faux support technique qui vous rappelle est le même attaquant.

Ne réinstallez pas, ne « nettoyez » pas, ne lancez pas d'outil trouvé en ligne. Chaque manipulation faite dans l’urgence détruit des traces et réduit les chances de récupérer les fichiers comme de retrouver le point d’entrée.

Débranchez aussi le disque de sauvegarde s'il est resté connecté. C'est la cible suivante, et c’est ce qui décide si l’entreprise repart ou non.

Puis appelez le 05 36 200 200. Nous prenons l’appel et nous vous disons quoi faire pendant que nous préparons l’intervention.

Notre intervention, étape par étape

Une réponse à incident ne se résume pas à passer un antivirus. Elle suit un ordre, et cet ordre existe pour que la remise en route ne se fasse pas dans un environnement encore ouvert à l’attaquant.

• La prise en charge immédiate, à distance. Dès l’appel, nous qualifions ce qui se passe et nous vous guidons sur les gestes conservatoires. Quand votre parc est déjà supervisé par nos soins, une partie du confinement se déclenche de chez nous sans attendre.
• Le confinement. Isoler les machines touchées, couper les accès distants, suspendre les comptes compromis, arrêter la propagation vers les serveurs et les sauvegardes. C’est la seule étape qui ne souffre aucun délai.
• L'intervention curative sur site, par déplacement. Nos techniciens se déplacent chez vous, dans vos locaux, avec le matériel nécessaire. Un incident de sécurité ne se traite pas entièrement par téléphone : il faut voir le réseau, les serveurs, les postes et ce qui est branché dessus.
• L’analyse et la recherche du point d’entrée. Journaux du pare-feu, de l’annuaire, de la messagerie et des postes. Tant que l’origine n’est pas identifiée, on ne restaure pas : on rouvrirait la même porte.
• La conservation des preuves. Nous collectons et conservons les éléments techniques dont vous aurez besoin pour déposer plainte, avec leur horodatage, avant toute remise en état qui les effacerait.
• La remédiation. Éradication des accès laissés par l’attaquant, remise à plat des comptes et des mots de passe, correction de la faille exploitée, reconstruction propre des machines qui doivent l’être.
• La remise en service. Restauration des données depuis une sauvegarde vérifiée, redémarrage par ordre de priorité métier, et contrôle que ce qui devait repartir est réellement reparti.
• Le rapport et les corrections durables. Un rapport écrit en français : ce qui s’est passé, ce qui a été fait, ce qui reste à décider, et les mesures qui empêchent la récidive.

Les situations que nous traitons

• Le rançongiciel. Les fichiers partagés deviennent illisibles, un message réclame un paiement, l’activité s’arrête. C’est le cas le plus fréquent et le plus urgent, parce que la sauvegarde est souvent visée dans la foulée.
• Le piratage de messagerie. Des messages partent en votre nom, ou vos échanges sont lus en silence. Changer le mot de passe ne suffit pas : il faut chercher les règles de transfert et les autorisations laissées derrière.
• La fraude au virement. Un échange de courriels est détourné pour faire changer un numéro de compte. L’urgence est alors double, technique et bancaire, et chaque heure compte auprès de la banque.
• L’arnaque au faux support technique. Un message alarmant, un numéro à rappeler, puis une prise en main de votre ordinateur. Nous coupons l’accès, vérifions ce qui a été installé et ce qui a été vu, et sécurisons les comptes atteints.
• L’intrusion sur le serveur ou le réseau. Un accès distant laissé ouvert, un mot de passe réutilisé, une faille non corrigée. Le travail consiste à mesurer jusqu’où l’attaquant est allé avant de remettre quoi que ce soit en service.
• La perte de données. Suppression, panne matérielle ou sauvegarde défaillante découverte le jour où elle devait servir. L’atelier prend le relais sur la récupération.

Où nous nous déplaçons

Nous intervenons physiquement sur site, dans vos locaux, à Puycasquier, Auch, Fleurance, Gimont, Mauvezin, Lectoure, Pavie, Preignan, Saint-Clar, Mirande et dans tout le département du Gers. Notre boutique et notre atelier sont au 73 Grand Rue à Puycasquier, entre Auch et Fleurance, ce qui met la plus grande partie du département à portée de déplacement.

Une partie de la prise en charge se fait à distance, parce que c'est ce qui va le plus vite pour confiner. Mais la remédiation d’un incident de sécurité se termine chez vous, sur le matériel, et c’est ainsi que nous travaillons depuis 2005.

Nous intervenons aussi bien chez des clients sous contrat de maintenance que chez des entreprises, des collectivités et des particuliers que nous ne connaissions pas avant leur appel. Être victime n’exige pas d’avoir été client.

Après l’incident : la plainte et les démarches

Une cyberattaque est une infraction pénale. L'accès ou le maintien frauduleux dans un système informatique, l’atteinte aux données et l’entrave à son fonctionnement sont réprimés par les articles 323-1 et suivants du code pénal ; une demande de rançon relève en outre de l’extorsion, et une fraude au virement de l’escroquerie.

Le dépôt de plainte se fait auprès de tout service de police ou de gendarmerie, qui ne peut pas le refuser, ou par courrier auprès du procureur de la République. Nous vous remettons les éléments techniques à joindre.

Si votre entreprise est assurée, sachez que l'indemnisation des pertes causées par une atteinte à un système informatique est subordonnée au dépôt d’une plainte dans un délai court après la découverte des faits, fixé par l’article L.12-10-1 du code des assurances. C’est une démarche à engager dès le premier jour, pas après la remise en service.

Lorsque des données personnelles ont été exposées, une notification à la CNIL peut être obligatoire, et les personnes concernées doivent parfois être prévenues. Nous vous indiquons ce que l’incident implique de ce point de vue.

Le dispositif public Cybermalveillance.gouv.fr recense les conduites à tenir par type d’attaque et oriente les victimes. Nous travaillons dans ce cadre.

Et ensuite, pour que cela ne recommence pas

Un incident révèle toujours un chemin : un accès distant publié sur internet, une sauvegarde jamais restaurée, un compte d’administration utilisé pour la bureautique, une messagerie sans double authentification. Le travail curatif se termine par la fermeture de ce chemin.

C'est là que notre activité de sécurisation prend le relais : pare-feu administré, séparation des réseaux, sauvegarde hors d’atteinte, protection des postes, supervision du parc et formation des utilisateurs. Elles sont détaillées sur nos pages cybersécurité, pare-feu, sauvegarde et reprise d’activité, et formation.

Sous contrat de maintenance, votre parc est supervisé et la plupart des incidents sont pris en charge à distance dans la foulée.