Notre compte e-mail s'est fait hacker, ils disent qu'une enquête sur l'incident est obligatoire : qui fait ça et qu'est-ce qu'on enregistre ?

En redémarrant le serveur, vous avez probablement déjà effacé les sockets réseau actifs en RAM et les traces de session temporaires de l'attaquant. Les premières interventions paniquées des admins système détruisent souvent les preuves dont les analystes légaux ont le plus besoin. À partir de maintenant, n'installez et ne supprimez plus rien sur le système ; faites directement une image du disque existant.

Regardez absolument les règles de redirection dans la boîte mail. Souvent, les attaquants créent des règles qui redirigent discrètement vers une adresse externe les e-mails contenant les mots facture, paiement, reçu, ou qui déplacent les réponses directement dans le dossier des éléments supprimés. Archivez aussi immédiatement les logs d'audit administrateur depuis la console de gestion e-mail.

Ce qu'il faut faire tout de suite : exécuter la commande "déconnexion de tous les appareils" depuis le panneau de gestion e-mail et rendre la double authentification obligatoire pour tous les employés sans exception. Même si le mot de passe change, les jetons de session restés ouverts peuvent permettre à l'attaquant de rester à l'intérieur.

L'année dernière, on a eu exactement le même cas de facture modifiée dans notre bureau logistique de Moscou. On a payé 450 000 RUB à une société de cybersécurité locale pour l'enquête. L'analyse a révélé que l'attaquant avait surveillé discrètement les échanges pendant 43 jours via un e-mail de phishing sur l'ordinateur de la comptable.

la banque qui se réveille au dernier moment c'est vraiment un coup de chance incroyable, 3,8 millions de roubles c'est pas rien. bref mais le consultant a raison les mecs ont probablement pas seulement piraté ce compte mais peut-être aussi une autre machine du réseau. moi je dis repoussez pas l'enquête.

Conformément à la législation de la Fédération de Russie, vous avez des responsabilités légales concernant la protection des données personnelles ou des secrets commerciaux. Si l'incident a des ramifications hors de l'entreprise et qu'une plainte est déposée auprès des autorités judiciaires, le rapport d'un expert agréé attestant que la chaîne de preuves n'a pas été compromise sera votre seul élément recevable devant le tribunal.

Ce genre d'arnaques à la facture ne se fait pas au hasard. L'attaquant connaissait à l'avance votre flux comptable, votre façon de communiquer avec le fournisseur et les dates de facturation. Ça montre qu'ils ont observé à l'intérieur pendant des jours, voire des semaines. Votre équipe interne ne fait qu'éteindre le feu visible ; pour l'analyse des causes profondes, il faut absolument un regard expert externe.

Je suis une petite entreprise, laissez-moi expliquer de mon point de vue... Si l'autorisation et le périmètre ne sont pas écrits ne lancez pas ce test.

Bon courage.

C'est noté, merci.

Je vais raconter ce qui m'est arrivé, ça pourrait vous servir. Quand on essaie de tout changer en même temps, rien ne prend.

C'est mon avis, je ne l'écris pas comme une vérité absolue.

Il y a un point qui m'interpelle. Les décisions hâtives finissent par être corrigées six mois plus tard.

À votre place, j'irais par cette voie.

Il faut faire une distinction ici. Prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir.

Prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir.

Je trouve difficile d'être aussi catégorique côté enquête sur l'incident. Prendre une mesure sans faire d'inventaire, c'est laisser une porte ouverte sans le savoir.

Je le note au cas où.

Merci, c'était exactement la réponse que je cherchais. L'erreur commise du côté de enquête sur l'incident est généralement réversible, mais coûteuse.

À votre place, j'irais par cette voie.

Résumé rapide pour les nouveaux : Le temps que vous mettez à détecter un problème détermine directement son coût.

Corrigez-moi si je me trompe.

Pourriez-vous préciser un peu ? Si le chemin de notification est long, la notification n'arrive pas ; une notification manquante signifie un événement détecté tardivement.

La plupart des pertes de temps s'accumulent sur les tâches en attente de validation. Corrigez-moi si je me trompe.

Je vais raconter ce qui m'est arrivé, ça pourrait vous servir. Le fait que la sauvegarde soit accessible sur le même réseau et avec la même identité en fait une cible potentielle.

C'est confirmé par l'expérience.

C'est globalement vrai, mais il manque un point. Tous ceux qui se pressent sur enquête sur l'incident se heurtent au même obstacle.