Dans une intrusion documentée par CrowdStrike, le vol de données a commencé dans les quatre minutes suivant l’accès initial. L’attaquant n’attend pas que vous ayez compris l’alerte. Source : CrowdStrike, 24 février 2026.
Voici comment limiter les dégâts, conserver les preuves et remettre vos services en fonctionnement, avec le retour d’expérience Logiks sur un compte Instagram piraté.
Un incident est en cours ? Accédez directement aux premières décisions. La collecte des traces doit accompagner les mesures de protection, sans retarder une action indispensable.
1. Chiffres clés : 4 minutes, 29 minutes, 27 secondes et 72 heures
| Repère | Source, date et périmètre | Ce qu’il faut en retenir |
|---|---|---|
| Dans les 4 minutes | CrowdStrike, Global Threat Report 2026, publié le 24 février 2026 : début d’exfiltration dans une intrusion documentée. | Des données peuvent sortir avant le premier symptôme visible. Il s’agit d’un cas observé, pas d’une moyenne. |
| 29 minutes | Même rapport : délai moyen entre accès initial et mouvement vers un autre système pour l’eCrime observé en 2025. | Une compromission peut s’étendre rapidement au-delà du premier équipement. Ce délai ne mesure ni la détection ni la durée totale de l’attaque. |
| 27 secondes | Même corpus : mouvement latéral le plus rapide observé. | Un cas extrême illustre la vitesse possible ; il ne permet pas de prédire votre incident. |
| 72 heures | CNIL : délai de principe après connaissance d’une violation de données personnelles nécessitant notification à l’autorité compétente. | La décision se prépare pendant l’investigation ; le point de départ et les obligations sont précisés en section 6.3. |
Sources : CrowdStrike ; CNIL, règles de notification, consultées le 8 septembre 2026. Les observations de l’éditeur portent sur son corpus international, pas sur un échantillon représentatif de toutes les petites entreprises françaises.
Agir vite permet de couper un accès encore utilisé, de protéger une sauvegarde exposée ou de demander des journaux avant leur expiration. Le temps gagné vient de décisions ciblées : isoler, alerter et garder un historique exploitable. Aucun de ces chiffres ne fixe une durée garantie de résolution.
2. Reconnaître l’incident et mobiliser les bons interlocuteurs
Des fichiers devenus illisibles, une connexion inconnue, des messages envoyés à votre insu, un site redirigé, un outil métier inaccessible : ces symptômes méritent une qualification rapide. Un dysfonctionnement isolé ne prouve pas une attaque. Inversement, un poste qui fonctionne encore mérite examen lorsque des indices le relient à une compromission.
La réponse à incident regroupe les décisions et les opérations destinées à comprendre une atteinte à la sécurité, limiter ses effets, traiter ses causes et rétablir les services concernés. L’analyse forensique examine les traces numériques pour reconstruire les événements avec un niveau de confiance explicite.
La fiche du CERT-FR sur les premières heures recommande de qualifier les constats, évaluer le périmètre et mobiliser les responsables. À partir de ce principe, une petite structure dispose de cette répartition possible des décisions :
| Interlocuteur | Rôle à organiser dans votre dossier |
|---|---|
| Direction ou responsable de la collectivité | Autoriser les interruptions, fixer les priorités métier et nommer un décideur joignable. |
| Intervenant technique et administrateur habituel | Qualifier l’alerte, préciser les accès nécessaires et proposer les opérations. |
| Hébergeur, opérateur ou éditeur SaaS | Répondre aux demandes sur les services qu’il exploite et sur leurs traces disponibles. |
| DPO ou conseil juridique | Évaluer les conséquences sur les personnes et les obligations applicables. |
| Assureur | Vérifier rapidement les modalités d’assistance et de prise en charge prévues au contrat. |
| Police ou gendarmerie | Recevoir la plainte et orienter les éléments utiles à l’enquête. |
| 17Cyber, Cybermalveillance.gouv.fr, CSIRT territorial | Orienter vers une assistance adaptée, selon le territoire et le public pris en charge. |
| CERT-FR et prestataire qualifié PRIS | Examiner l’orientation d’un incident relevant de leurs périmètres, notamment lorsqu’il exige des moyens spécialisés. |
Une liste de contacts vaut surtout si elle reste accessible lorsque la messagerie habituelle ne l’est plus. Gardez une copie hors du système susceptible d’être compromis.
3. Méthode recommandée : les premières décisions
3.1. Pour la personne qui découvre l’alerte
Arrêtez d’utiliser l’équipement suspect et prévenez votre référent depuis un téléphone ou un appareil réputé sain. Notez l’heure de découverte, ce que vous étiez en train de faire et les messages observés. Une photographie de l’écran aide au signalement ; elle ne remplace pas les journaux techniques.
En cas de rançongiciel, Cybermalveillance.gouv.fr recommande de couper l’accès Internet du réseau attaqué, d’isoler les machines touchées et les sauvegardes connectées, puis d’alerter le service informatique. Conserver une machine allumée préserve des traces volatiles, mais ce choix a une exception : si le chiffrement continue, une extinction conservatoire est à envisager, en privilégiant la veille prolongée selon la fiche officielle. Cette exception vaut même après l’isolement réseau. Ne redémarrez pas les machines déjà éteintes et ne payez pas la rançon. Fiche officielle, section 3, mise à jour le 7 mai 2026.
La CISA décrit un autre cas : si la déconnexion est impossible, l’arrêt peut empêcher la propagation, au prix de traces en mémoire. Les deux situations doivent être distinguées. Faites adapter la décision par un intervenant compétent ; un équipement médical, industriel ou assurant une fonction critique impose ses procédures de sécurité. CISA et partenaires, guide StopRansomware, octobre 2023, p. 21.
3.2. Pour le responsable de la prise en charge
Ouvrez une fiche d’incident avec un identifiant unique. Consignez les personnes habilitées, le canal de coordination, les symptômes et les actions déjà réalisées. Choisissez un lieu de suivi qui ne dépende pas d’un compte potentiellement contrôlé par l’attaquant.
La première conversation doit permettre de répondre à des questions concrètes :
- Quel service est bloqué, et quelle activité exige une reprise prioritaire ?
- Quels appareils, comptes et applications sont concernés ou suspects ?
- Des privilèges d’administration ou des données sensibles sont-ils en jeu ?
- Les sauvegardes et leurs comptes d’accès semblent-ils exposés ?
- Qui est habilité à autoriser une coupure et qui connaît l’environnement ?
- Le prestataire dispose-t-il des compétences et de la disponibilité nécessaires ?
Un bilan initial incomplet reste utile. Il doit surtout distinguer ce qui est constaté, ce qui est supposé et ce qu’il faut vérifier avant d’agir.
Prenons un compte administrateur utilisé pour la messagerie, l’hébergement et les sauvegardes : même si l’alerte ne mentionne qu’un ordinateur, les droits de ce compte obligent à examiner plusieurs services, leurs journaux et les accès que l’attaquant aurait pu conserver. C’est le sens de la qualification.
3.3. Choisir une mesure adaptée au symptôme
La grille suivante sert au cadrage avec un intervenant. Elle ne remplace pas son diagnostic.
| Situation | Décision à examiner en priorité | Information à préserver |
|---|---|---|
| Chiffrement ou activité malveillante sur un poste | Isoler l’appareil et rechercher les autres systèmes concernés. | Écran, alerte, état de la machine, traces techniques accessibles. |
| Messagerie compromise | Depuis un accès sain, reprendre le contrôle et révoquer les sessions suspectes ; examiner aussi les règles et autorisations. | Connexions, messages originaux, modifications de règles et d’accès. |
| Site web détourné | Avec l’hébergeur, limiter l’exposition de la partie compromise et sécuriser l’administration. | Journaux web, versions, changements récents et copie pertinente de l’environnement. |
| Compte administrateur touché | Élargir immédiatement l’analyse aux ressources qu’il permet de contrôler. | Historique d’administration, droits, sessions, clés et changements de configuration. |
| Service essentiel ou conséquences dépassant les moyens disponibles | Faire intervenir un acteur adapté et transmettre un état de situation. | Chronologie et inventaire des mesures déjà prises. |
Une nouvelle connexion à distance ne doit pas obliger à reconnecter sans contrôle une machine isolée. Le choix du canal d’assistance fait partie du confinement.
4. Conserver les preuves et les pièces sans aggraver la situation
4.1. Distinguer signalement, collecte et analyse
Le signalement décrit ce que vous avez vu. La collecte conserve des données utiles. L’analyse confronte ces données pour répondre à une question. Ces opérations demandent des moyens différents : un utilisateur note le message observé ; une acquisition mémoire ou une image de disque relève d’un intervenant formé.
Le NIST SP 800-86 organise l’investigation autour de l’acquisition, de l’examen, de l’analyse et du compte rendu. Il insiste sur l’intégrité des données et sur l’effet des outils de collecte sur le système. Cette référence technique date de 2006 ; ses principes doivent être adaptés aux environnements actuels et aux exigences françaises.
4.2. Identifier ce qui risque de disparaître
La mémoire vive, les connexions actives et certains journaux à rétention courte peuvent disparaître rapidement. Lorsqu’aucune mesure initiale d’atténuation ne semble possible, le guide StopRansomware prévoit une image système et une acquisition mémoire sur un échantillon d’équipements affectés, ainsi que la conservation des éléments volatils ou à rétention limitée. Le spécialiste adapte cette collecte aux enjeux et aux possibilités techniques. CISA et partenaires, p. 25, étape 9.
Pour préparer cet échange, voici un inventaire pratique des pièces possibles :
| Pièce | Question examinée | Précaution de collecte |
|---|---|---|
| Courriel original avec en-têtes | Quel message a précédé l’alerte ? | Conserver le format original, pas seulement une capture ou un transfert. |
| Journaux d’identité et de messagerie | Quels comptes et sessions ont été utilisés ? | Noter la période exportée, le fuseau et les éventuelles limites de rétention. |
| Événements du poste et alertes de sécurité | Quelles détections et modifications sont visibles ? | Documenter la source et le mode d’export. |
| Journaux d’hébergement et d’administration | Quels accès ou déploiements ont précédé le détournement ? | Demander leur préservation au fournisseur avant expiration. |
| Image système ou disque, acquisition mémoire | Quels éléments techniques subsistent dans l’environnement ? | Faire définir l’acquisition par une personne compétente. |
| Notes métier et décisions | Quand le service a-t-il été interrompu et avec quelles conséquences ? | Séparer les observations des interprétations. |
La liste retenue doit répondre à l’incident. Exporter une boîte entière contenant des données sans rapport avec l’enquête n’est pas une mesure automatique.
4.3. Assurer la traçabilité des manipulations
Une pièce utile doit rester rattachée à sa source et aux personnes qui l’ont manipulée. La RFC 3227, publiée en 2002, fournit des principes de collecte et d’archivage : noter les opérations, préciser les horaires, limiter les modifications et retracer la garde des pièces. Elle constitue un repère technique, pas une garantie de recevabilité judiciaire.
Nous proposons ce modèle de registre, à adapter à la mission :
| Champ | Information attendue |
|---|---|
| Référence | Identifiant d’incident et numéro unique de pièce. |
| Origine | Appareil, compte ou service source ; propriétaire identifié. |
| Acquisition | Nom de l’opérateur, date, heure, fuseau, outil et version. |
| Couverture | Période concernée, sélection effectuée, erreurs ou éléments absents. |
| Intégrité | Empreinte SHA-256 du fichier acquis, moment du calcul et contrôles ultérieurs. |
| Conservation | Emplacement protégé, détenteur et personnes autorisées. |
| Transfert | Expéditeur, destinataire, date, finalité, canal et accusé de réception. |
| Sort final | Durée retenue, restitution ou suppression prévue, éventuelle conservation liée à une procédure. |
Le choix de SHA-256 dans ce modèle est une recommandation technique, pas une exigence de la RFC 3227. Cet algorithme est défini par le NIST FIPS 180-4, section 6.2. Une empreinte concordante permet de contrôler l’intégrité d’un fichier par rapport à une référence conservée de façon fiable. Elle ne prouve ni la véracité du contenu, ni son auteur, ni l’absence d’altération avant la collecte.
Ainsi, un export de journal doit rester accompagné de sa provenance, de sa période et de ses conditions d’acquisition. Son empreinte seule ne dit pas si l’export était complet. Ces précisions permettent à un autre intervenant de comprendre ce qu’il examine et de reproduire les vérifications possibles.
Les fichiers de référence acquis sont protégés et l’examen se fait sur des copies de travail. Pour les supports qui le permettent, un dispositif empêchant l’écriture contribue à limiter l’altération. Les acquisitions sur système actif demandent une autre approche et leurs effets doivent être consignés. NIST SP 800-86, annexe A.
4.4. Protéger les pièces elles-mêmes
Un dossier d’investigation est susceptible de contenir des secrets, des informations personnelles et des fichiers dangereux. Prévoyez un stockage chiffré, des droits limités et un canal de transmission convenu. Ne diffusez pas les pièces brutes dans un groupe de discussion ou un outil public d’analyse.
La version courante comporte, si nécessaire, des extraits minimisés ; les pièces complètes restent dans un espace à accès restreint. Aucun fichier suspect ne doit être exécuté sur un ordinateur de travail pour « voir ce qu’il fait ». Les analyses dynamiques exigent un environnement spécialisé.
5. Du diagnostic à la remise en service
La disparition d’une alerte ne suffit pas à déclarer la fin d’un incident. Il faut comprendre quels accès ont été utilisés, quelles ressources ont pu être atteintes et quelles conditions permettraient une récidive.
Le NIST SP 800-61 révision 3, avril 2025, p. 34 relie réponse, récupération et amélioration continue. Ses recommandations RC.RP-03 et RC.RP-05 portent sur l’intégrité des éléments de restauration, le traitement des causes et la vérification des systèmes rétablis avant leur retour en production.
5.1. Définir ce que l’investigation permet de conclure
L’analyse doit associer chaque conclusion à des traces : compte utilisé, événement, modification ou séquence temporelle. Une adresse IP inconnue, seule, ne permet pas d’identifier une personne. Des journaux incomplets ne permettent pas non plus de garantir qu’aucune donnée n’a quitté le système.
Un constat bien formulé serait : « Les journaux disponibles montrent une connexion inhabituelle suivie de la création d’une règle de transfert. » Il est plus utile qu’une attribution péremptoire ou qu’un « tout est sécurisé » impossible à vérifier.
5.2. Choisir entre correction et reconstruction
La décision dépend de la profondeur de l’atteinte et du niveau de confiance retrouvé dans l’environnement. Une modification localisée justifie parfois une correction ciblée. Une compromission étendue des privilèges rend parfois nécessaire une reconstruction depuis une base maîtrisée.
On examine alors les accès, les sessions, les autorisations persistantes, les composants exposés et les dépendances. Changer un mot de passe sans examiner les autres moyens d’accès risque de laisser une voie ouverte. Les sauvegardes retenues doivent être compatibles avec la chronologie connue et testées avant utilisation.
5.3. Fixer des critères de reprise
Cette grille constitue une proposition de recette pour la mission, à faire valider par le responsable technique et le client :
| Critère | Élément attendu avant validation |
|---|---|
| Périmètre | Inventaire des ressources examinées et mention explicite des exclusions. |
| Accès | Contrôle des comptes et autorisations concernés ; traitement des accès suspects. |
| Cause | Correction du point d’entrée identifié ou explication des incertitudes et mesures compensatoires. |
| Restauration | Vérifications de l’environnement restauré et tests des fonctions métier prioritaires. |
| Surveillance | Responsable identifié, alertes pertinentes et procédure si un nouveau signal apparaît. |
| Décision | Accord de reprise consigné, avec réserves et travaux restant à réaliser. |
La disponibilité revient parfois avant la clôture de l’investigation. Le dossier doit rendre cette différence visible : service opérationnel, investigations restantes, risque résiduel et prochaine décision.
6. Le rapport d’analyse forensique et les démarches auprès des autorités
6.1. Rendre les constatations compréhensibles et vérifiables
Ce document technique accompagne les démarches du client. Il ne se présente pas comme une expertise judiciaire ni comme une certification automatique des preuves.
Le format proposé pour un dossier Logiks comprend :
- Synthèse décisionnelle : situation, impact constaté, état de la reprise et questions ouvertes.
- Mandat et périmètre : demande reçue, autorisations, systèmes examinés et exclusions.
- Chronologie : événements, opérations et décisions, avec fuseaux horaires explicites.
- Pièces et méthode : inventaire, collecte, outils employés, contrôles d’intégrité et limites.
- Constatations : faits rattachés aux pièces, hypothèses et niveau de confiance.
- Remédiation : mesures prises, vérifications effectuées et réserves.
- Suite de mission : recommandations hiérarchisées, responsables et échéances proposées.
- Annexes restreintes : registre des pièces, extraits utiles et modalités de transmission.
Cette structure facilite une lecture à deux niveaux : la direction comprend les décisions ; un autre intervenant dispose des éléments nécessaires à l’examen technique. La qualité d’un rapport se mesure aussi à sa capacité à exposer ce qu’il ne sait pas.
6.2. Préparer la plainte et la transmission
Cybermalveillance.gouv.fr recommande de conserver les preuves et de déposer plainte en cas de rançongiciel. Rassemblez les messages reçus, la chronologie, les références des équipements et les éléments décrivant les dommages. Le professionnel accompagne, selon sa mission, la préparation de ces pièces. Recommandations officielles.
Convenez avec le destinataire des modalités de remise ; évitez l’envoi spontané d’archives sensibles à une adresse non vérifiée. Le rapport est remis au client pour appuyer ses échanges avec les autorités, selon ses instructions ou le cadre applicable.
6.3. Évaluer une éventuelle violation de données personnelles
Toute violation de données personnelles doit être documentée en interne. Lorsqu’elle présente un risque pour les droits et libertés des personnes, le responsable du traitement doit la notifier à l’autorité compétente, généralement la CNIL pour une organisation française, dans les meilleurs délais et, si possible, sous 72 heures après en avoir connaissance. Pour un traitement transfrontalier, l’autorité compétente peut être une autre autorité européenne.
La CNIL situe cette connaissance au moment où le responsable a une certitude raisonnable qu’un incident a touché des données personnelles. Il faut investiguer rapidement ; attendre le rapport final ne décale pas ce point de départ. En cas de risque élevé, l’information des personnes est également obligatoire, sous réserve des exceptions prévues par le RGPD. CNIL, règles à suivre.
Si des informations manquent, une notification initiale est suivie de compléments. Si les 72 heures sont dépassées, la notification reste nécessaire et son retard doit être motivé. CNIL, procédure de notification.
La préparation du rapport ne doit donc pas retarder une notification nécessaire. Ces démarches se coordonnent avec le DPO ou le conseil compétent ; elles ne se déduisent pas du seul nombre d’appareils touchés.
7. Étude de cas Logiks : compte Instagram piraté et dossier d’investigation
Source du cas : retour d’expérience publié par Logiks, consulté le 8 septembre 2026. Les résultats ci-dessous lui sont attribués ; le rapport original et ses annexes n’ont pas été examinés pour cet article.
7.1. Le contexte : un actif commercial devenu inaccessible
Une marque française, restée anonyme, a perdu l’accès à son compte Instagram professionnel après un courriel de fausse vérification Meta. Une demande de rançon a suivi.
Pour ce type d’incident, l’assistance doit organiser les pièces utiles au signalement, examiner les traces accessibles et préparer un dossier compréhensible par le client, son conseil et l’opérateur du service.
7.2. L’intervention : transformer les traces en dossier exploitable
Logiks rapporte 17 pages remises en 48 heures, avec des conclusions graduées par certitude, pour le client et son avocat. Ce délai décrit une mission ; il ne vaut pas engagement général.
La publication mentionne huit pistes de réquisition hiérarchisées et de nouvelles pièces : confirmations de changement d’adresse et traces de session. Préparer ces pistes reste distinct du pouvoir de réquisition, exercé par les autorités habilitées, notamment dans le cadre de l’article 60-1 du Code de procédure pénale pour les enquêtes de flagrance.
Des échanges avec l’attaquant figurent dans ce récit. Ce contexte particulier ne constitue pas une consigne de négociation : faites-vous accompagner avant tout échange de cette nature.
7.3. Les résultats rapportés et leur limite
| Résultat présenté dans la publication | Portée exacte |
|---|---|
| Aucune rançon versée | Absence de paiement rapportée ; ce résultat n’équivaut pas à une récupération du compte. |
| Démarches Instagram encore en cours | Récupération non acquise dans la version consultée. |
7.4. Ce que cette mission apporte au service d’assistance
Cette référence illustre le volet investigation et préparation documentaire du service. Sa portée reste celle d’un compte compromis : elle ne sert pas de justificatif à une restauration de parc ou à un déplacement sur site.
Pour une petite organisation, un seul compte critique peut justifier un accompagnement conséquent. La qualification doit donc examiner aussi les droits associés, les dépendances métier et les décisions qui appartiennent à un tiers, comme la réactivation par une plateforme.
8. Conseils Logiks : cadrer une intervention sur site ou à distance
Logiks propose une assistance et une intervention curative après incident de sécurité informatique : diagnostic, confinement, traitement de la compromission et remise en service. Nous intervenons sur 1 à 10 actifs impactés, après qualification des environnements, de la criticité et de notre disponibilité. Le nombre de machines ou appareils touchés ne résume pas le périmètre : comptes, services et dépendances doivent aussi être examinés.
Nous pouvons nous déplacer chez la victime, sur site dans ses locaux, notamment si le réseau est isolé, si des supports doivent être pris en charge physiquement ou si personne sur place ne peut réaliser les manipulations. L’assistance à distance est organisée avec l’accord du client, lorsque le canal et les accès permettent une intervention maîtrisée.
Une petite mairie entre dans ce périmètre si ses besoins restent compatibles avec les moyens engagés. Quelques appareils donnant accès à un service critique peuvent toutefois nécessiter une autre équipe. Les modalités, la disponibilité et le devis sont confirmés avant intervention.
Une mission se cadre autour de trois engagements pratiques : préciser ce qui sera examiné, tracer les opérations et remettre un compte rendu utilisable. Le rapport d’analyse forensique décrit les constatations et leurs limites pour appuyer, si nécessaire, les démarches auprès des autorités.
Si l’attaque dépasse les compétences, le périmètre ou la disponibilité de Logiks, nous privilégions une orientation rapide vers un acteur adapté et de confiance. Cette orientation correspond à une prise en charge distincte par cet acteur ; elle doit être expliquée au client avant toute transmission de pièces.
La prévention reste complémentaire : l’article consacré à la cybersécurité web traite les protections à intégrer aux sites et applications. Le dossier sur l’hébergement et la maintenance permet de cadrer leur exploitation après la reprise.
9. Les erreurs qui compliquent la reprise
- Multiplier les manipulations sans journal. L’analyse peine ensuite à distinguer les traces de l’attaque de celles de l’assistance.
- Déclarer tout le parc sain parce qu’un poste ne présente plus d’alerte. Une conclusion doit rester limitée au périmètre effectivement examiné.
- Restaurer avant d’avoir traité l’accès initial. Le service risque de redevenir accessible à l’attaquant.
- Confondre absence de trace et absence d’exfiltration. Une rétention insuffisante ou une source manquante limite les conclusions.
- Promettre une attribution ou une récupération intégrale. Les résultats dépendent des éléments disponibles et de l’état des systèmes.
- Accepter un incident sur le seul critère du nombre d’appareils. Les privilèges compromis, les données et les fonctions métier peuvent imposer d’autres moyens.
10. Plan d’action : pendant l’incident, puis à 30, 60 et 90 jours
Pendant l’incident, le rythme est fixé par les dommages possibles et les décisions à prendre. Prévoyez un point de situation régulier indiquant les nouveaux faits, les mesures exécutées, les difficultés et la prochaine échéance. Un compte rendu bref et fiable aide davantage qu’une accumulation d’alertes non qualifiées.
Après la reprise, nous proposons ce calendrier de travail, à adapter ; il ne constitue ni un délai réglementaire ni une durée garantie de remédiation :
| Horizon | Travail proposé | Livrable de suivi |
|---|---|---|
| À la reprise | Consigner les réserves, sécuriser les accès temporaires et organiser la surveillance. | Procès-verbal ou fiche de reprise avec responsables identifiés. |
| À 30 jours | Vérifier la tenue des corrections, revoir les droits et rejouer un test de restauration. | Liste des mesures vérifiées et écarts restants. |
| À 60 jours | Tester le circuit d’alerte et les décisions de coupure avec les personnes concernées. | Compte rendu d’exercice et contacts corrigés. |
| À 90 jours | Vérifier les actions restantes et le devenir des pièces conservées. | Revue de clôture et règles de conservation confirmées. |
Les mesures indispensables à une reprise maîtrisée sont réalisées avant celle-ci. Les échéances de suivi ne justifient pas de laisser un accès compromis ouvert pendant 30 jours.
11. FAQ
11.1. Faut-il attendre le professionnel avant d’isoler un poste infecté ?
Une mesure de confinement nécessaire ne doit pas attendre une investigation complète. Pour un rançongiciel, appliquez les consignes de déconnexion et de préservation publiées par Cybermalveillance.gouv.fr, puis faites-vous accompagner. Les systèmes critiques nécessitent des procédures adaptées.
11.2. Une assistance à distance est-elle suffisante ?
Cela dépend des accès, de la confiance dans le canal et des opérations à réaliser. Un équipement isolé ou un support à acquérir peut nécessiter une présence physique. La modalité est choisie après qualification.
11.3. Une capture d’écran constitue-t-elle une preuve ?
Elle documente un affichage et contribue à comprendre le signalement. Elle ne remplace pas l’original d’un message, les journaux ou les acquisitions techniques lorsque ceux-ci sont nécessaires. Sa provenance et son contexte doivent être conservés.
11.4. Un rapport forensique identifie-t-il forcément l’attaquant ?
Non. Établir une séquence, un accès utilisé ou une modification ne suffit pas à identifier la personne à l’origine de l’intrusion. Sa rédaction doit distinguer les faits, les hypothèses et ce qui reste indéterminé.
11.5. Le rapport garantit-il l’acceptation du dossier par une autorité ?
Non. Il sert à documenter les constatations et à faciliter les échanges. Il ne garantit ni une conclusion judiciaire, ni une indemnisation, ni un référencement professionnel.
11.6. Une mairie entre-t-elle dans le périmètre de Logiks ?
Une petite collectivité peut être accompagnée si l’incident concerne de 1 à 10 actifs impactés et reste compatible avec les compétences et moyens disponibles. La criticité et les dépendances sont examinées avant acceptation.
11.7. Quand peut-on considérer l’intervention terminée ?
Quand les critères convenus de reprise et de clôture ont été examinés, les réserves explicitées et les suites attribuées. Des investigations et corrections complémentaires restent parfois nécessaires après le rétablissement du service.
Pour préparer l’assistance, réunissez l’heure de découverte, les services touchés, les actions déjà effectuées et un contact joignable depuis un canal sain. Ces éléments permettent de qualifier le besoin et de choisir une prise en charge compatible avec l’incident.
12. Sources principales
Sources consultées le 8 septembre 2026. Les recommandations techniques sont adaptées au contexte de chaque intervention ; les sources américaines et historiques ne définissent pas les exigences judiciaires françaises.
- CrowdStrike — Global Threat Report 2026, 24 février 2026. Observations de vitesse dans le corpus de l’éditeur.
- Cybermalveillance.gouv.fr — Rançongiciel : que faire si votre organisation est victime ?, publié le 3 juin 2025, mis à jour le 7 mai 2026. Section 3 : isolement, exception d’extinction, conservation et plainte.
- CERT-FR — Les bons réflexes en cas d’intrusion sur un système d’information. Qualification et mobilisation des acteurs.
- CISA, FBI, NSA et MS-ISAC — StopRansomware Guide, version 3.0, octobre 2023. Copie du guide hébergée par le CDFI Fund, organisme fédéral américain. Pages 21 et 25 du PDF : arrêt si isolement impossible, collecte mémoire et système.
- NIST — SP 800-86, août 2006. Section 3 et annexe A : étapes de l’investigation, intégrité et précautions d’acquisition.
- RFC Editor — RFC 3227, février 2002. Sections 2 à 4 : collecte, horaires, traçabilité et archivage. Ne prescrit pas SHA-256.
- NIST — SP 800-61 révision 3, avril 2025. Page imprimée 34, page 42 du PDF : recommandations RC.RP-03, RC.RP-05 et RC.RP-06 sur la récupération et sa clôture.
- CNIL — Violations de données personnelles : les règles à suivre. Rubriques sur les risques, le point de départ du délai, les personnes concernées et les traitements transfrontaliers.
- CNIL — Notifier une violation de données personnelles, page datée du 24 mai 2018, consultée dans sa version accessible le 8 septembre 2026. Rubrique « Dans quel délai notifier ? » : notification initiale, motifs de retard et compléments.
- Logiks — Compte piraté, négociation orchestrée, rançon évitée, cas présenté comme une mission de 2026. Source déclarative de l’entreprise, utilisée pour le retour d’expérience uniquement.
- NIST — FIPS 180-4, Secure Hash Standard, août 2015. Section 6.2 : définition de SHA-256. Cette référence ne confère aucune qualification judiciaire au rapport.
- Légifrance — Code de procédure pénale, article 60-1, version en vigueur au 8 septembre 2026. Réquisitions dans les enquêtes de flagrance ; les pouvoirs applicables dépendent du cadre de l’enquête.