Les erreurs fréquentes après une cyberattaque

Un incident mal traité se prolonge en crise. Les erreurs qui suivent reviennent régulièrement, non par négligence, mais parce qu'elles paraissent raisonnables sur le moment. Les connaître à l'avance suffit souvent à les éviter.

Effacer avant de comprendre

Le réflexe naturel est de supprimer les fichiers suspects et de nettoyer. C'est le meilleur moyen de perdre la trace de ce qui s'est passé, donc de ne jamais savoir par où l'attaquant est entré. Les journaux de connexion s'effacent d'eux-mêmes après quelques jours : copiez-les hors des systèmes touchés avant toute autre action. Conservez également les messages frauduleux avec leurs en-têtes techniques et les fichiers devenus illisibles.

Autre variante : réinstaller le serveur dans la nuit pour que tout reparte au matin. L'activité redémarre, la cause reste inconnue, et la plainte se retrouve sans élément à l'appui, comme l'explique notre article sur un site piraté.

Redémarrer sans avoir fermé la porte

• Restaurer une sauvegarde trop récente : l'intrusion précède souvent de plusieurs semaines sa découverte. Datez-la avant de choisir le point de restauration, selon les principes de la sauvegarde 3-2-1.
• Reconnecter le poste isolé pour récupérer un document urgent, et relancer la propagation.
• Remettre en ligne un service dont la faille n'a pas été corrigée : l'attaquant revient par le même chemin.
• Rouvrir les accès distants avant d'avoir mis en place une surveillance.

Oublier une partie des accès

Communiquer trop tard, ou trop peu

• Attendre d'avoir tout compris pour prévenir : les personnes concernées doivent pouvoir se protéger pendant ce temps.
• Minimiser, puis devoir corriger : la rectification abîme davantage la confiance que l'annonce initiale.
• Utiliser la messagerie compromise pour organiser la crise, donc informer l'attaquant de vos décisions.
• Oublier les partenaires connectés à vos systèmes, qui doivent vérifier leurs propres accès.
• Laisser chacun répondre au téléphone comme il l'entend, faute de quelques phrases communes.

Agir seul et dans le désordre

Deux erreurs se répondent. Vouloir tout traiter en interne par crainte du regard extérieur, alors qu'un accompagnement existe et que l'assurance l'exige parfois. Et à l'inverse, laisser chacun agir de son côté sans décision centrale : un poste réinstallé ici, un mot de passe changé là, sans que personne n'ait une vue d'ensemble. Désignez une personne qui décide, et tenez un journal horodaté des actions menées.

Ne cédez pas non plus à la tentation de négocier seul avec les attaquants : les autorités publiques recommandent de ne pas payer de rançon, et toute discussion doit se mener avec un accompagnement professionnel.

Croire que l'incident est clos

1. Un accès de secours laissé par l'attaquant peut rester inactif plusieurs semaines.
2. Les données copiées peuvent servir bien plus tard à un message frauduleux très crédible.
3. Une organisation ayant déjà été visée est souvent sollicitée de nouveau.
4. Sans compte rendu écrit, les mêmes causes reviennent après quelques mois.
5. Sans actions datées et vérifiées, les corrections promises pendant la crise restent lettre morte.

La dernière erreur consiste à ne rien changer une fois le calme revenu. NexSecure assure ce suivi après incident, des corrections à la surveillance, dans le cadre d'un contrat d'infogérance.