Il est 3 h du matin, vos fichiers sont chiffrés : qui appelez-vous ?

Il est 3 h du matin. L'astreinte vous appelle : les serveurs ne répondent plus, les fichiers sont renommés, une note de rançon s'affiche sur les écrans. Qui appelez-vous ?

Si la réponse prend plus de dix secondes, vous avez déjà perdu du temps. Dans une crise cyber, les premières heures décident de tout : ce que l'attaquant garde, ce que vous récupérez, et ce que vous devrez expliquer à vos clients, à votre assureur et au régulateur.

Pourquoi les premières heures comptent autant

Quand le chiffrement se déclenche, l'attaquant est généralement présent dans le système d'information depuis un moment. Il a eu le temps d'obtenir des droits élevés, de repérer les sauvegardes et, souvent, d'exfiltrer des données. Le chiffrement n'est que la partie visible de l'attaque.

Dans ces conditions, chaque décision prise à chaud a des conséquences :

Éteindre ou isoler ? Couper brutalement peut détruire des traces utiles à l'enquête. Laisser tourner peut étendre le chiffrement.
Restaurer tout de suite ? Restaurer sans savoir par où l'attaquant est entré, c'est souvent le laisser revenir.
Qui prévenir, et quand ? Direction, assureur, autorités, clients : les obligations de notification ont des délais, notamment au titre du RGPD.

Sans préparation, ces arbitrages se font dans l'urgence, avec des équipes épuisées et des informations partielles.

Les quatre chantiers d'une réponse à incident

Notre métier « Réagir » mobilise une équipe d'experts seniors, en France et à l'international, autour de quatre chantiers menés en parallèle :

Contenir l'attaque. Isoler les systèmes touchés, couper les accès de l'attaquant, protéger ce qui ne l'est pas encore, en particulier les sauvegardes et les comptes à privilèges.
Piloter la cellule de crise. Aux côtés de la direction : prioriser les décisions, coordonner les équipes internes et les prestataires, préparer une communication claire.
Investiguer. Reconstituer l'attaque : par où l'attaquant est entré, ce qu'il a touché, ce qu'il a pu emporter. Les preuves sont collectées et conservées pour l'assurance, le dépôt de plainte ou la notification aux autorités.
Remettre en service proprement. Reconstruire sur des bases saines, sans réinfecter le système d'information, et corriger la faille initiale avant de rouvrir.

Penser comme l'attaquant pour le déloger

Notre particularité : nous passons notre vie à attaquer des systèmes, avec l'autorisation de nos clients. Nous savons où un attaquant se cache, parce que c'est là que nous nous cacherions : comptes de service oubliés, tâches planifiées, accès distants, outils d'administration détournés.

Nos missions sont dirigées par une équipe qui cumule 16 ans d'expérience en sécurité offensive, dans la banque, le nucléaire, le spatial et la défense. Cette expérience change la manière de mener une investigation : on ne cherche pas seulement ce qui a été chiffré, on cherche tout ce que l'attaquant a pu laisser derrière lui.

Préparer la nuit de l'incident, dès maintenant

La meilleure réponse à incident se prépare à froid. Quelques questions à vous poser dès aujourd'hui :

Savez-vous qui appeler, en interne et en externe, à toute heure ?
Vos sauvegardes sont-elles isolées du réseau et régulièrement testées en restauration ?
Disposez-vous d'un plan de réponse écrit, connu de la direction, avec les rôles de chacun ?
Avez-vous déjà joué un exercice de crise cyber ?
Connaissez-vous les conditions de votre contrat d'assurance cyber, et les délais de déclaration ?

Si l'une de ces réponses est incertaine, c'est le moment d'agir, pas la nuit de l'incident. Réservez un échange de 30 minutes avec notre équipe via le formulaire de contact : nous préparons ensemble votre plan de réponse, avant d'en avoir besoin.