Offre · Réagir · Urgence : 07 60 87 03 97
Cyberattaque en cours : on confine, on enquête, vous reprenez la main.
Fichiers chiffrés, compte de messagerie piraté, serveur qui se comporte étrangement : chaque heure compte. Nos experts interviennent pour stopper l'attaque, comprendre ce qui s'est passé, restaurer vos systèmes et fixer les conditions d'une remise en service sûre. Vous n'êtes pas seul face à la crise.
Les premiers réflexes
N'éteignez pas tout.Isolez, puis appelez.
Débranchez du réseau les machines touchées, sans les éteindre : la mémoire contient souvent les traces de l'attaquant. Ne payez pas de rançon et ne contactez pas les attaquants. Ne restaurez rien avant d'avoir compris par où ils sont entrés, sinon ils reviendront. Changez les mots de passe depuis un poste sain, prévenez votre assureur, et appelez-nous : nous prenons le relais sur la technique et vous aidons à piloter le reste.
Ce que nous faisons
Quatre temps poursortir de la crise.
Nous menons l'intervention avec vos équipes et vos prestataires, en gardant votre direction informée à chaque étape.
-
Confiner
Isoler les machines et comptes touchés, couper les accès de l'attaquant, protéger ce qui est encore sain.
Objectif : arrêter la propagation.
-
Investiguer
Analyse des postes, serveurs, mémoire, journaux Microsoft 365, Entra ID, messagerie et cloud.
Objectif : savoir qui a fait quoi, quand et par où.
-
Éradiquer et restaurer
Supprimer les accès laissés par l'attaquant, restaurer depuis des sauvegardes saines, durcir.
Objectif : repartir sans laisser de porte ouverte.
-
Reprendre et tirer les leçons
Conditions de remise en service, surveillance renforcée, retour d'expérience et plan d'action.
Objectif : que l'attaque ne se reproduise pas.
Le déroulé
De l'appelà la reprise d'activité.
Un interlocuteur unique pilote l'intervention, coordonne les experts et rend compte à votre direction.
Appel
Premier diagnostic par téléphone et consignes immédiates de confinement.
Confinement
Isolement des systèmes touchés et coupure des accès de l'attaquant.
Investigation
Collecte des preuves, chronologie de l'attaque et périmètre touché.
Restauration
Éradication, restauration contrôlée et remise en service sécurisée.
Retour d'expérience
Rapport complet, plan d'action et surveillance renforcée.
Les preuves sont collectées selon des méthodes qui préservent leur valeur pour l'assurance, la plainte et les autorités.
Ce que vous recevez
Un rapport pour l'assureur,la justice et vous.
Vous recevez la chronologie de l'attaque, les preuves conservées, l'étendue des données touchées et le plan pour ne plus revivre la même crise.
- Chronologie détaillée de l'attaque
- Preuves collectées et conservées
- Éléments pour l'assurance, la plainte et la CNIL
- Plan d'action et durcissement
Connexion de l'attaquant via un accès VPN sans double authentification
L'attaquant s'est connecté avec un mot de passe réutilisé, a créé un compte d'administration discret, puis a désactivé la protection des postes avant de lancer le chiffrement.
Avant la prochaine crise
Préparez-vousà froid.
Les organisations qui s'en sortent le mieux sont celles qui ont préparé leur réponse avant d'en avoir besoin.
-
Plan de réponse
Qui fait quoi, qui appeler, quelles décisions à quel moment.
Vous gagnez : des heures précieuses le jour J.
-
Sauvegardes testées
Vérifier qu'elles sont isolées et qu'on sait vraiment restaurer.
Vous évitez : de découvrir trop tard qu'elles sont chiffrées.
-
Exercice de crise
Un scénario rançongiciel joué avec votre direction.
Vous entraînez : les réflexes avant l'urgence.
-
Supervision
Un SOC ou une surveillance qui détecte l'attaquant avant le chiffrement.
Vous intervenez : au jour 1 plutôt qu'au jour 11.
- Un interlocuteurqui pilote toute l'intervention
- Preuves préservéesméthodes reconnues pour l'assurance et la justice
- Confidentialitérien n'est communiqué sans votre accord
- Sans jugementon règle la crise, on ne cherche pas de coupable
Questions fréquentes
Vos questions,nos réponses.
Une question qui n'est pas ici ? Écrivez-nous à contact@soya-cyber.fr.
Que faire dans les premières minutes ?
Débranchez du réseau les machines touchées sans les éteindre, ne payez pas de rançon, ne restaurez rien tout de suite, prévenez votre assureur et appelez le 07 60 87 03 97.
Faut-il porter plainte et prévenir la CNIL ?
Une plainte est recommandée et souvent demandée par l'assureur. En cas de violation de données personnelles, la notification à la CNIL doit en principe intervenir dans les 72 heures. Nous vous fournissons les éléments techniques nécessaires.
Travaillez-vous avec notre assureur ?
Oui. Nos rapports et les preuves collectées sont conçus pour être utilisables par votre assureur. Vérifiez votre contrat : certains imposent un prestataire ou une déclaration rapide.
Intervenez-vous sur site ?
À distance dans un premier temps pour gagner du temps, puis sur site si la situation l'exige, partout en France.
Peut-on préparer la réponse à l'avance ?
Oui, et c'est fortement conseillé : plan de réponse, test des sauvegardes et exercice de crise avec votre direction.