Cyberincident : les 60 premières minutes sans aggraver la situation

Un écran affiche un message inhabituel. Des fichiers ne s’ouvrent plus. Un compte administrateur se connecte depuis un emplacement inconnu. Dans les premières minutes, la tentation est forte de redémarrer, supprimer des fichiers ou demander à toute l’équipe de « vérifier si cela fonctionne encore ».

Ces réactions sont compréhensibles, mais elles peuvent effacer des traces, propager l’incident ou rendre la récupération plus difficile. L’objectif de la première heure n’est pas de tout réparer. Il est de limiter les dégâts, préserver les informations utiles et organiser une réponse.

D’abord, qualifier ce qui est réellement observé

Notez le premier signal avec une heure précise :

• quel appareil ou service est concerné ;
• qui a observé le problème ;
• ce qui s’est affiché ou a cessé de fonctionner ;
• les dernières actions normales effectuées ;
• les personnes déjà prévenues.

Évitez de conclure immédiatement à un ransomware, une fuite ou une attaque ciblée. Une panne et une cyberattaque peuvent produire des symptômes proches. Décrire les faits permet au prestataire ou à l’équipe technique de décider plus vite.

Isoler sans détruire les traces

Si un ordinateur semble activement compromis, déconnectez-le du réseau câblé et du Wi-Fi. N’éteignez pas automatiquement l’appareil. La mémoire, les connexions actives et d’autres traces peuvent être utiles à l’analyse.

Cette règle connaît des exceptions. Un équipement qui présente un danger physique, chauffe anormalement ou contrôle un processus sensible doit être traité selon les procédures de sécurité du site. La sécurité des personnes passe avant la conservation des preuves.

Ne branchez pas de clé USB pour « sauver rapidement » des documents. Ne connectez pas un disque de sauvegarde à un système potentiellement compromis. Vous risqueriez d’étendre l’incident aux copies encore saines.

Désigner une personne qui coordonne

Une petite structure n’a pas besoin d’un comité complexe. Elle a besoin d’une personne qui tient la chronologie et d’une autre qui conserve la capacité de décider.

Répartissez les rôles :

• coordination générale ;
• contact avec le prestataire ou l’équipe IT ;
• décisions sur les services à interrompre ;
• communication avec les collaborateurs et partenaires ;
• conservation des preuves et références.

Les mêmes personnes peuvent cumuler plusieurs rôles. L’important est que deux appels contradictoires ne soient pas passés au même fournisseur et que personne ne rétablisse un service pendant qu’un autre tente de le contenir.

Les dix premières minutes

Concentrez-vous sur quatre actions :

1. notez l’heure et les symptômes ;
2. isolez les équipements clairement touchés ;
3. contactez le responsable et le prestataire prévu ;
4. interdisez les manipulations improvisées sur les appareils concernés.

Si la messagerie habituelle semble compromise, utilisez un autre canal pour coordonner la réponse. Évitez cependant de transférer des données sensibles vers des comptes personnels sans cadre.

Entre dix et trente minutes

Cherchez l’étendue du problème sans multiplier les connexions :

• un seul poste ou plusieurs ;
• un compte ou plusieurs ;
• un service local ou un fournisseur cloud ;
• des sauvegardes accessibles ou potentiellement exposées ;
• une activité encore en cours ou un événement déjà terminé.

Demandez au prestataire de préserver les journaux, sessions, adresses IP et événements d’authentification. Prenez des photos des écrans si une capture normale n’est pas possible. Conservez les courriels originaux plutôt que de simples copies du texte.

Si un paiement, une fraude bancaire ou une modification de coordonnées est concerné, contactez immédiatement la banque par son canal officiel. La capacité de bloquer une opération diminue avec le temps.

Entre trente et soixante minutes

La structure doit maintenant décider ce qui reste ouvert et ce qui doit être interrompu. Basez cette décision sur l’impact réel :

• service essentiel aux citoyens ou clients ;
• risque de propagation ;
• exposition de données personnelles ;
• dépendance à un fournisseur ;
• disponibilité d’une solution de continuité.

Préparez un premier message interne factuel. Indiquez ce qui est observé, ce que les utilisateurs doivent faire, les canaux à éviter et l’heure de la prochaine mise à jour.

Ne désignez pas un coupable et n’annoncez pas une fuite avant confirmation. Une communication prudente peut être transparente sans présenter une hypothèse comme un fait.

Signaler et demander de l’aide

Les organisations peuvent signaler un cyberincident au Centre pour la Cybersécurité Belgique. Les entités soumises à NIS2 disposent d’obligations et de délais spécifiques. Elles doivent utiliser le canal prévu par le CCB et ne pas attendre la fin de l’enquête interne.

Une plainte à la police peut également être nécessaire, notamment en cas de fraude, extorsion, vol de données ou atteinte à un système.

La notification n’est pas une preuve d’échec. Elle permet de recevoir une orientation, de relier des incidents similaires et de documenter correctement les faits.

Ne restaurez pas trop tôt

La pression pour remettre le service en ligne est forte. Pourtant, restaurer une sauvegarde sur un environnement encore compromis peut réintroduire l’attaquant ou contaminer la copie.

Avant la reprise :

• identifiez le point d’entrée lorsque cela est possible ;
• changez les secrets et mots de passe exposés depuis un appareil sain ;
• corrigez la vulnérabilité ou la mauvaise configuration ;
• vérifiez l’intégrité des sauvegardes ;
• reconnectez progressivement ;
• surveillez les nouveaux signaux.

Une sauvegarde ne constitue pas un plan de reprise si personne n’a testé sa restauration.

La page de crise à préparer aujourd’hui

Imprimez une seule page contenant :

• le nom du coordinateur et son remplaçant ;
• les numéros du prestataire, de l’hébergeur, de la banque et de l’assureur ;
• le canal de signalement du CCB ;
• les services à restaurer en premier ;
• l’emplacement des sauvegardes ;
• les premières consignes d’isolement et de conservation.

Cette page doit rester accessible lorsque la messagerie, le stockage partagé ou le gestionnaire de mots de passe ne le sont plus.

Sources officielles

• CCB - Premiers secours en cas de cyberattaque
• CCB - Signaler un incident
• CCB - Guide de gestion des incidents de cybersécurité
• CCB - Communication de crise en cas de cyberattaque