Un jour, un client nous appelle, affolé. Son site semble avoir subi une intrusion, avec une possible fuite de données clients. On organise une visio en urgence.
Une dizaine de personnes connectées, de différents services. Tout le monde parle, les questions fusent, les propositions aussi. Certaines contradictoires. Le stress est palpable.
L'attaquant a peut-être eu besoin de quelques minutes. De notre côté, il fallait compter en semaines. Entre les deux, il y a tout ce qui avait été décidé avant, ou pas.
La première heure se joue sur la gouvernance
Ce jour-là, la faille était toujours ouverte, et dix personnes discutaient de ce qu'il fallait faire.
Chacun avait une bonne raison de parler. Le commerce pensait aux clients, la technique au serveur, la direction à la CNIL. Personne n'avait le mandat de trancher.
Au bout d'un moment, il a fallu le dire franchement : « Je vais devoir vous laisser. Il faut que je m'occupe des urgences. On fera le point après. »
Il fallait d'abord limiter les conséquences, investiguer, préserver les traces, lancer les analyses et vérifier les accès sensibles.
Ce n'était pas de l'impolitesse. Pendant qu'on débat, l'intrusion continue.
Une cellule de crise tient sur deux rôles attribués avant l'incident. Une personne qui décide, une personne qui parle. Sans cela, dix avis donnent zéro décision.
Couper les accès de l'intrus sans arrêter l'entreprise
La première décision utile consiste à fermer la porte. Elle est rarement simple.
Changer un mot de passe d'administration est facile. Renouveler les clés d'API, les identifiants de services, les accès aux serveurs et les comptes de connexion entre applications l'est beaucoup moins.
Dans beaucoup d'entreprises, personne ne sait exactement où ces identifiants sont recopiés. Un script de sauvegarde, un connecteur comptable, une intégration partenaire montée il y a trois ans.
Les renouveler en urgence casse alors des choses, en pleine crise, au pire moment.
Deux questions à poser à froid.
- Un compte compromis peut-il atteindre toute la base clients ?
- Sait-on révoquer ces accès et les renouveler sans provoquer de rupture de service ?
La première relève de ce qu'un intrus trouverait chez vous. Nous l'avons traitée dans une fuite de données peut vous coûter vos clients et vos nuits. La seconde se teste, comme une sauvegarde.
Vous n'enquêterez que sur les traces conservées à l'avance
Une fois l'incident contenu, une autre question arrive. Qu'est-ce qui s'est réellement passé ?
Y répondre suppose des journaux techniques, les logs, conservés assez longtemps. Beaucoup d'installations les gardent quelques jours seulement, par souci d'espace disque.
Une intrusion découverte trois semaines après son début devient alors illisible. Les traces de l'entrée ont disparu dans la rotation automatique des journaux.
Il y a ensuite la préservation. Le premier réflexe, nettoyer et réinstaller, détruit les preuves dont la plainte, l'assureur et l'autorité auront besoin.
Le guide de Cybermalveillance.gouv.fr destiné aux dirigeants insiste sur cet ordre. Préserver les preuves, réunir une cellule de crise, alerter l'assureur, porter plainte.
- Les journaux sont-ils conservés assez longtemps pour reconstituer plusieurs semaines ?
- Sait-on préserver les preuves avant qu'elles disparaissent ?
- Qui, nommément, conduit l'investigation et le confinement ?
Notifier est une décision, et elle a un propriétaire
Si des données personnelles sont concernées, la CNIL doit être notifiée dans les 72 heures. Le compte à rebours démarre avant que vous ayez toutes les réponses.
En pratique, ce délai se perd rarement en analyse technique. Il se perd à chercher qui a le droit de décider.
La même question se pose pour les personnes concernées. Faut-il les prévenir, quand, et avec quels mots ?
Une mauvaise gestion de crise aggrave l'incident. Un message tardif, un message contradictoire, ou un message qui minimise pendant que l'information circule déjà ailleurs.
Les entreprises qui s'en sortent le mieux ont souvent préparé ces textes à froid. Un modèle de notification, un message client, un circuit de validation, un porte-parole unique.
Ce travail prend une demi-journée, un jour sans incident. Il est introuvable un mardi soir de crise.
- Qui décide de la déclaration à la CNIL, et sur quels critères ?
- Qui évalue la nécessité d'informer les personnes concernées ?
- Les modèles de message et le circuit de validation sont-ils écrits ?
- Qui pilote la crise, et qui parle, pour éviter dix décisions contradictoires ?
Une sauvegarde se juge à sa restauration
Vient le moment de redémarrer. Deux pièges s'y trouvent.
Le premier : une sauvegarde accessible depuis le système compromis a souvent été chiffrée ou effacée en même temps que lui. L'isolation n'est pas un détail d'intendance.
Le second : remettre en service l'image d'avant remet aussi la faille d'avant. L'intrus connaît le chemin, et il le reprend.
Une sauvegarde jamais restaurée est une hypothèse, pas une garantie. La restauration se teste, à date fixe, sur un environnement séparé.
- La dernière restauration complète a été testée quand, et par qui ?
- Les sauvegardes sont-elles hors d'atteinte d'un compte compromis ?
- Sait-on remettre en service sans réintroduire la faille d'origine ?
Après la faille, c'est la confiance qui se répare le plus lentement
Même la faille corrigée, les conséquences continuent. Un nom, un téléphone, un historique d'achats suffisent souvent à un escroc pour gagner la confiance d'un client.
Avec l'appui de l'IA, ces tentatives se personnalisent et s'automatisent à grande échelle. L'attaquant automatise, l'entreprise mobilise des humains.
Le risque est commercial autant que technique. Des clients qui hésitent à commander à nouveau, qui partent chez un concurrent, qui racontent l'épisode autour d'eux.
La qualité de votre réponse compte donc autant que la solidité de votre défense. Le client ne voit pas votre pare-feu. Il voit comment vous l'avez prévenu.
Rien de tout cela ne supprime le risque. Une application connectée à Internet peut être attaquée, et aucune préparation ne change ce fait.
Ce qui change, c'est la durée. Entre l'entreprise qui découvre ces questions dans la panique et celle qui a déjà les réponses, l'écart ne se compte pas en sécurité. Il se compte en semaines.
Vous n'avez pas besoin d'un audit pour commencer. Posez ces questions à vos équipes au prochain point. Celles qui restent sans réponse vous diront par où commencer.
Une cyberattaque, c'est déjà suffisamment compliqué. Inutile d'y ajouter l'improvisation.