On a subi une attaque ransomware — je vous détaille le déroulé et les leçons tirées

On a vécu le même incident il y a deux ans. À une différence près : nos sauvegardes n'étaient pas propres.

La production a été à l'arrêt pendant trois jours. Maintenant, la copie de sauvegarde est séparée et immuable. Ça nous a coûté cher comme leçon.

J'aimerais ajouter quelques points sur l'aspect managérial de la gestion d'incident, car ce volet détermine autant la suite que l'intervention technique.

D'abord, il faut définir à l'avance qui prend les décisions. Si personne ne sait qui doit répondre à "est-ce qu'on arrête le système" au moment de l'incident, on perd des heures.

Ensuite, le plan de communication. Ce qu'on dit aux employés, quand on informe les clients, et comment on respecte les obligations légales de notification si nécessaire, tout ça doit être écrit à l'avance. Si des données personnelles sont touchées, consultez la réglementation et votre service juridique pour les délais et la procédure ; ces délais sont courts.

Enfin, la décision de payer la rançon. Je tiens à souligner que ce n'est pas une décision technique, mais une décision de la direction et du juridique. Payer ne garantit pas la récupération des données et peut engendrer des risques juridiques distincts.

Enfin, le rapport post-incident. Une fois la pression retombée, tout le monde revient à la normale et les leçons ne sont pas écrites. Un rapport d'incident qui n'est pas rédigé dans la semaine n'est jamais rédigé.

Je veux revenir sur un point : vous dites qu'il n'y avait "aucune vulnérabilité". Comment l'avez-vous vérifié ?

Ma question n'est pas malveillante. Dans la plupart des cas, le premier vecteur d'attaque trouvé est considéré comme le bon et l'investigation s'arrête là. Or, les attaquants laissent généralement plusieurs méthodes de persistance.

Question concrète : après la session de l'utilisateur entré avec un mot de passe compromis, avez-vous vérifié si d'autres comptes avaient été créés, des tâches planifiées ajoutées ou des outils d'accès à distance installés ? Il y a pas mal de cas où un système cru nettoyé est ré-infiltré trois semaines plus tard.

Question légitime, je réponds.

C'a été vérifié. Une équipe indépendante a analysé le système pendant deux semaines. Deux tâches planifiées et un compte administrateur local créé après coup ont été trouvés. Les deux avaient échappé au premier nettoyage.

C'est pourquoi j'ajouterais ceci : la décision de nettoyage ne devrait pas être prise par l'équipe qui a vécu l'incident. Une équipe fatiguée et prise dans le feu de l'action a tendance à vouloir confirmer ses propres conclusions. Si possible, faites intervenir un regard extérieur.

Au final, on a réinstallé les machines affectées depuis zéro. C'était plus lent mais plus sûr.

Côté infra, je propose une config concrète pour les backups, car "les garder séparés" reste un peu abstrait.

La config courante et efficace, c'est : au moins trois copies des données, stockées sur au moins deux supports différents, avec au moins une copie totalement isolée. En plus, le fait que cette copie isolée soit immuable après écriture est déterminant dans un scénario de ransomware.

Mesurez aussi le temps de restauration. "On a des backups" vaut moins que "on est opérationnels en huit heures". Si vous ne connaissez pas ce dernier chiffre, testez un samedi.

Je suis une petite entreprise laissez-moi expliquer de mon point de vue. La plupart des pertes de temps s'accumulent sur les tâches en attente de validation.

Un rapport de scan automatique n'est pas la même chose qu'un test d'intrusion. C'est confirmé par l'expérience.

Merci d'avoir écrit cela, c'est exactement ça. Si c'est une première, commencez petit, l'échelle viendra plus tard.

Corrigez-moi si je me trompe.

Vous avez raison. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Bien sûr, cela change si votre situation est différente.

Comment avez-vous résolu ce point ? Une sauvegarde non testée n'est pas une sauvegarde.

Je suis aussi curieux de savoir si d'autres font autrement.

Ce sujet est archivé.

Exact.

Merci de partager le résultat.

Mon regard a changé après avoir vécu cela... Une modification des coordonnées bancaires n'est jamais confirmée par le canal d'origine.

Voilà désolé si je me suis étendu.

Je suis passé par là, laissez-moi vous raconter. Quand on décide sans mesurer, on revient toujours au même point.

Si vous avez des questions, écrivez-moi, je répondrai au mieux.

J'ai été soulagé en lisant cette réponse, donc ce n'est pas seulement mon cas. Tout va bien les trois premiers mois, les problèmes arrivent au quatrième.

Corrigez-moi si je me trompe.

je suis une petite entreprise, laissez-moi expliquer de mon point de vue et franchement tout va bien les trois premiers mois les problèmes arrrivent au quatrième.

la réponse varie beaucoup selon le secteur, il n'y a pas de règle générale.

Je me permets une petite mise en garde. Si l'autorisation et le périmètre ne sont pas écrits, ne lancez pas ce test.

Ne comptez pas sur une seule mesure de sécurité ; allez par couches. Si vous avez des questions écrivez-moi, je répondrai au mieux.