Cyberattaque : porter plainte et garder les preuves

Après une attaque, la priorité est de redémarrer. C'est précisément ce qui fait disparaître les preuves : on réinstalle, on efface, on remet en service. Quelques gestes simples, faits dès les premières heures, préservent ce qui permettra d'expliquer ce qui s'est passé et d'appuyer une plainte.

Pourquoi déposer plainte

• Parce que les faits sont des infractions : l'accès et le maintien frauduleux dans un système, l'entrave à son fonctionnement, l'extorsion et l'escroquerie sont réprimés par la loi.
• Parce que l'assurance l'exige souvent : les contrats couvrant les cyberattaques demandent généralement un dépôt de plainte.
• Parce que les enquêtes se regroupent : un même mode opératoire frappe de nombreuses victimes, et les plaintes se recoupent.
• Parce que cela crédibilise votre démarche auprès des clients, des partenaires et de l'autorité de protection des données.

Les preuves à conserver, tout de suite

1. Les journaux : ces fichiers qui enregistrent les connexions et les actions sur les serveurs, la messagerie, le site et les équipements réseau. Copiez-les hors des systèmes touchés avant qu'ils ne soient écrasés par les enregistrements suivants.
2. Les messages : conservez le courrier frauduleux entier, avec ses en-têtes techniques, qui contiennent le chemin réellement suivi. Un message transféré perd ces informations : exportez-le plutôt.
3. Les captures d'écran : message de rançon, page modifiée, alerte affichée, avec l'heure visible.
4. Les fichiers touchés : ne renommez pas et ne supprimez pas les fichiers chiffrés, même illisibles.
5. Une copie des systèmes : avant réinstallation, faites une copie complète des disques concernés.
6. Vos notes : qui a constaté quoi, à quelle heure, quelles actions ont été menées ensuite. Ce journal manuscrit vaut beaucoup.

Ce qu'il ne faut pas faire

Sur le cas particulier du paiement d'une rançon, les autorités publiques, dont cybermalveillance.gouv.fr et l'ANSSI, recommandent de ne pas payer. Les raisons et les conséquences sont détaillées dans notre article sur les réflexes face à un rançongiciel.

Comment déposer plainte

1. La plainte est déposée par le représentant légal de l'organisation, ou par une personne munie d'un mandat écrit.
2. Rendez-vous dans un commissariat de police ou une brigade de gendarmerie. Un dépôt préalable en ligne existe pour certaines infractions et facilite le passage.
3. Apportez un dossier ordonné : description chronologique des faits, supports contenant les copies, captures, liste des systèmes touchés, coordonnées d'un contact technique.
4. Décrivez les conséquences : indisponibilité, données exposées, clients concernés, sans chiffrer ce que vous ne savez pas encore.
5. Demandez le récépissé et conservez-le : il vous sera réclamé par l'assureur et parfois par des partenaires.

Après le dépôt

Poursuivez les démarches en parallèle : notification à l'autorité de protection des données si des données personnelles sont concernées, déclaration à l'assureur selon les conditions du contrat, information des clients lorsque le risque le justifie. Faites-vous accompagner : le dispositif public d'assistance présenté dans notre article sur cybermalveillance.gouv.fr oriente vers des professionnels référencés.

Conservez enfin l'ensemble du dossier dans un endroit sûr et accessible, indépendant des systèmes touchés, avec les copies faites au moment de l'incident.

NexSecure recueille et met en forme ces éléments techniques lors de l'analyse consécutive à l'incident, dans le cadre d'un audit de sécurité.