Attaque suspecte sur notre système informatique d'entreprise — concrètement, que faire dans les 24 premières heures ?

Ne faites surtout pas l'erreur de redémarrer le serveur. Les processus actifs en mémoire RAM constituent la zone la plus critique pour identifier la source de l'attaque. Si possible, réalisez une extraction de la mémoire vive (memory dump) et copiez immédiatement les journaux de connexion du pare-feu sur un disque externe en lecture seule.

Où étaient stockées exactement vos sauvegardes ? Si elles se trouvent sur un stockage en réseau (NAS), il y a de fortes chances qu'elles soient également compromises. Disposez-vous de sauvegardes physiquement déconnectées du réseau (air-gapped) ou immuables (immutable) sur un compte cloud séparé ?

Dès maintenant, depuis un ordinateur sain en dehors de l'entreprise, réinitialisez les mots de passe de toutes les messageries professionnelles, des comptes administrateurs de domaine et des consoles cloud en imposant la double authentification. N'utilisez sous aucun prétexte les machines infectées de l'entreprise pour changer vos identifiants.

L'année dernière, nous avons subi une attaque similaire par ransomware dans notre entrepôt de Stuttgart. L'équipe d'intervention d'urgence a facturé 4 800 euros pour les premières 48 heures, et l'ensemble de l'expertise a atteint 11 000 euros. Grâce à notre cyber-assurance, la totalité des frais a été remboursée ; si vous avez un contrat, ne perdez pas une minute.

Consultez impérativement votre avocat spécialisé avant de contacter la police. Si, sous le coup de la panique, vous déclarez formellement aux autorités ou aux clients que « vos données ont été volées » et que l'enquête prouve le contraire par la suite, vous subirez une perte d'image inutile et engagerez votre responsabilité juridique.

note : j'ai écrit cela d'après mon expérience, cela ne s'applique peut-être pas à tout le monde.

Pour le premier jour de crise, gérez la communication interne selon ces consignes : 1) Ne recourez en aucun cas à la messagerie de l'entreprise ni aux outils de discussion du réseau local. 2) Informez vos collaborateurs par téléphone personnel ou via un groupe de messagerie externe sécurisé. 3) Donnez pour instruction aux employés de ne cliquer sur aucun message suspect et de ne plus toucher à leurs postes.

bon courage c'est tout à fait normal de stresser dans ce genre de situation. le plus important est de garder son calme et de ne répondre à aucun lien ni adresse e-mail laissés par les pirates en promettant de payer puis ne négociez jamais sans l'aide de professionnels.

Débranchez seulement les câbles réseau, pas la prise de courant, et ne formatez aucun disque avant l'examen par un expert forensique.

il faut faire une distinction ici. bon plus il est difficile de revenir sur une décision, plus il faut la prendre lentement.

c'est confirmé par l'expérience.

La discussion part dans tous les sens, je recentre. Si vous grondez les fausses alertes, plus personne ne signalera rien.

Lors de la prise de décision, écrivez aussi le pire scénario, pas seulement le meilleur. Si vous avez des questions, écrivez-moi, je répondrai au mieux.

La réponse ci-dessus va droit au but. bon si c'est une première, commencez petit l'échelle viendra plus tard.

C'est mon avis je ne l'écris pas comme une vérité absolue.

Merci pour votre retour.

Je vais raconter ce qui m'est arrivé, ça pourrait vous servir. Si la double authentification est activée un mot de passe volé seul ne suffit pas.

À votre place, j'irais par cette voie.

J'ai été soulagé en lisant cette réponse donc ce n'est pas seulement mon cas. Une sauvegarde non testée n'est pas une sauvegarde.

Je le note au cas où.

Il y a un piège ici, je ne pouvais pas ne pas le mentionner. Les environnements de test oubliés sont plus souvent des portes d'entrée que les systèmes de production.

Bien sûr, cela change si votre situation est différente.

Absolument. Si j'ajoute quelque chose : Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

J'espère que cela vous sera utile.

Mon regard a changé après avoir vécu cela. Prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir.

C'est mon avis je ne l'écris pas comme une vérité absolue.

Vous avez raison. Aucun processus sans suivi ne s'améliore, car vous ne savez pas quoi corriger.

C'est confirmé par l'expérience.