Que faire après une cyberattaque ?

La priorité absolue est d'empêcher l'attaque de se propager davantage. Mais attention : contenir ne signifie pas tout éteindre aveuglément. Certaines actions précipitées peuvent détruire des preuves essentielles à l'investigation.

Ce qu'il faut faire :

• Isoler les systèmes compromis en les déconnectant du réseau (débrancher le câble réseau, désactiver le Wi-Fi) SANS les éteindre. L'extinction supprime la mémoire vive qui contient des preuves précieuses pour l'investigation.
• Changer immédiatement les mots de passe des comptes administrateur et des comptes potentiellement compromis, en priorité ceux qui ont des privilèges élevés (Active Directory, accès cloud, VPN).
• Bloquer les accès distants (VPN, RDP, accès prestataires) jusqu'à ce que l'étendue de la compromission soit déterminée.
• Préserver les logs et toutes les traces de l'attaque (emails suspects, URLs, fichiers suspects). Ne supprimez rien, même si cela semble anodin.
• Documenter toutes les actions prises et les constats faits, avec horodatage. Ce journal sera essentiel pour l'investigation et les démarches juridiques.

Ce qu'il ne faut surtout PAS faire :

• Éteindre ou réinstaller les machines compromises (destruction de preuves)
• Communiquer via les canaux internes potentiellement compromis (email d'entreprise)
• Payer une rançon sans avoir consulté un expert (pas de garantie de récupération)
• Tenter de "réparer" vous-même si vous n'avez pas les compétences
• Minimiser l'incident ou le cacher à la direction

Une fois l'attaque contenue, il faut mobiliser rapidement les compétences nécessaires pour gérer la crise. Si vous ne disposez pas d'une équipe de sécurité interne (ce qui est le cas de la plupart des PME), faites appel à des experts externes.

En tant qu'entreprise, vous avez des obligations légales en cas de cyberattaque, particulièrement si des données personnelles sont concernées.

L'investigation forensique (ou analyse post-incident) vise à comprendre précisément ce qui s'est passé : comment l'attaquant est entré, quels systèmes ont été compromis, quelles données ont été accédées ou exfiltrées, et si l'attaquant a maintenu des accès persistants.

Cette phase est réalisée par des experts en forensique numérique qui analysent les logs, les images disque, la mémoire vive et les traces réseau. Les résultats de l'investigation sont essentiels pour : s'assurer que l'attaquant n'a plus d'accès, identifier l'étendue exacte de la compromission, alimenter le dossier juridique, et tirer les leçons pour éviter une récurrence.

Pour les PME, le coût d'une investigation forensique se situe généralement entre 5 000€ et 30 000€ selon la complexité. C'est un investissement qui peut sembler élevé en pleine crise, mais qui est indispensable pour garantir un retour à la normale sécurisé et pour alimenter les procédures d'assurance et juridiques.

Une fois l'investigation terminée et l'étendue de la compromission déterminée, vient la phase de restauration. L'objectif n'est pas simplement de revenir à l'état initial (qui était vulnérable) mais de reconstruire en intégrant les enseignements de l'incident.

• Restaurer les systèmes à partir de sauvegardes vérifiées saines (antérieures à la compromission). Réinstaller complètement les systèmes compromis plutôt que de tenter de les "nettoyer".
• Corriger les vulnérabilités exploitées par l'attaquant avant de remettre les systèmes en production. Appliquer les recommandations issues de l'investigation.
• Renforcer les défenses : déployer la MFA partout, durcir les configurations, segmenter le réseau, mettre en place une supervision de sécurité (SOC/SIEM).
• Changer tous les mots de passe et secrets (clés API, certificats) de l'environnement compromis.
• Tester la restauration avant de remettre en production : un pentest de validation peut être utile pour vérifier que les correctifs sont efficaces.

Une fois la crise passée, il est essentiel de mener un retour d'expérience (RETEX) approfondi pour tirer les leçons de l'incident. Ce RETEX doit impliquer toutes les parties prenantes (direction, IT, métiers, prestataires) et couvrir tant les aspects techniques qu'organisationnels.

Questions à se poser lors du RETEX : L'attaque aurait-elle pu être évitée ? Comment a-t-elle été détectée ? Le plan de réponse à incident a-t-il fonctionné ? Quelles actions de remédiation ont été les plus efficaces ? Quelles lacunes sont apparues dans nos processus ? Quels investissements sont nécessaires pour éviter une récurrence ?

Le RETEX doit déboucher sur un plan d'action concret et budgété pour renforcer la posture de sécurité. Paradoxalement, une cyberattaque bien gérée peut devenir un levier de transformation : elle crée une prise de conscience au niveau de la direction et débloque souvent les budgets nécessaires pour une vraie démarche de cybersécurité.