Spécialités
Quelqu’un a eu accès à vos systèmes – vous l’avez remarqué aux conséquences.
Une attaque contre des systèmes informatiques est rarement un événement seulement technique. Elle touche aussi la situation probatoire, d’éventuelles obligations de notification et d’information, la responsabilité envers les clients et les cocontractants, ainsi que la question de savoir si des prétentions propres existent contre les intervenants ou les prestataires. L’ordre dans lequel ces points sont traités décide souvent de ce qui pourra encore être établi plus tard.
Situation
Clarifier le contexte
Preuves
Conserver les documents
Délais
Préciser l’urgence
Démarche
Discuter des prochaines étapes
Mesures immédiates
Ce qui compte dans les premières heures
Les démarches suivantes sont de nature technique et organisationnelle, non juridique. Elles ne remplacent pas l’examen du cas d’espèce, mais améliorent généralement la situation de départ – surtout parce qu’elles conservent des preuves qui, sinon, disparaissent en quelques jours.
Isoler les systèmes concernés, ne pas les éteindre
Retirez du réseau les ordinateurs et serveurs compromis, mais laissez-les allumés et ne réinstallez rien. Un arrêt efface les données volatiles de la mémoire de travail, qui sont souvent les plus parlantes pour la reconstruction ultérieure du chemin d’attaque.
Réinitialiser les identifiants depuis un environnement propre
Réinitialisez de façon centralisée les mots de passe et les sessions ouvertes, en particulier pour les comptes administratifs, les accès à distance et le système de messagerie – et faites-le depuis un appareil dont il est établi qu’il n’est pas concerné. Un changement effectué à l’intérieur de l’environnement compromis est lu en même temps.
Sécuriser les journaux avant de faire le ménage
Exportez et sécurisez les journaux du pare-feu, du service d’annuaire, du système de messagerie et des accès à distance, ainsi que des captures d’écran avec la date et l’heure et l’en-tête complet des messages suspects. De nombreux systèmes écrasent leurs journaux après quelques jours ; ensuite, le déroulement n’est plus démontrable.
Suspendre les circuits de paiement ouverts
Vérifiez les virements autorisés et programmés ainsi que les modifications des coordonnées bancaires enregistrées. Une boîte aux lettres compromise est souvent utilisée d’abord pour détourner des paiements – le préjudice financier naît alors séparément du préjudice technique et n’est remarqué que plus tard.
Ne pas réagir à une demande de rançon sans examen
Un paiement à des destinataires inconnus peut faire naître des risques juridiques propres, notamment au regard des sanctions et de la lutte contre le blanchiment, et il ne garantit ni le déchiffrement ni la suppression des données copiées. Sécurisez le courrier d’extorsion, n’y répondez pas spontanément et faites examiner le dossier.
Clarifier immédiatement les voies de notification et d’information
La nécessité d’une notification à une autorité de contrôle, d’une information des personnes concernées, d’une plainte pénale et d’une déclaration de sinistre à l’assureur dépend des faits. Les délais applicables peuvent être très courts et doivent donc être clarifiés immédiatement, et non seulement après l’achèvement de l’analyse technique.
Contact & rendez-vous
Suisse
Zürich
Royaume-Uni
London
Estonie
+372 6 288 2000
France
+33 2 04 26 81 82
Pays-Bas
+31 970 102 51606
Allemagne
+49 30 41733313
WhatsAppÉcrivez-nous directement
Envoyer un message WhatsAppVue d’ensemble
Ce qui se passe lors d’une attaque contre les systèmes d’entreprise
La cybercriminalité, au sens retenu ici, recouvre des faits très différents : l’accès non autorisé à des comptes et des réseaux, l’exfiltration de données clients, personnelles ou de conception, le chiffrement de systèmes entiers associé à une demande de rançon, et la manipulation silencieuse des circuits de paiement. L’accès n’est que rarement forcé par des moyens techniques. Plus souvent, il provient d’identifiants précédemment interceptés, d’un système non mis à jour accessible depuis Internet, ou du réseau d’un prestataire lui-même compromis.
Dans la pratique, des semaines s’écoulent souvent entre l’intrusion et le moment où quelqu’un la remarque. Ce temps est utilisé pour reconnaître l’environnement, obtenir d’autres privilèges et rendre les sauvegardes inutilisables, avant que la partie visible de l’attaque ne commence. Pour les personnes concernées, deux conséquences en découlent : au moment de la découverte, l’incident est généralement plus ancien qu’on ne le suppose, et les traces qui pourraient l’établir se trouvent dans des fichiers journaux qui s’écrasent d’eux-mêmes après un court délai.
Sur le plan juridique, un tel incident se déploie dans plusieurs directions à la fois. Il peut être pertinent au pénal ; il peut déclencher des obligations de notification et d’information envers les autorités de contrôle et les personnes concernées ; il peut fonder une responsabilité envers les clients et, en même temps, ouvrir des prétentions propres contre un prestataire dont les obligations contractuelles ont été violées. Ces niveaux ont des délais différents et des destinataires différents. Lesquels d’entre eux portent dans le cas d’espèce ne peut être jugé qu’après examen des contrats et du constat technique.
Reconnaître les signes
À quoi se reconnaît une attaque
Les observations suivantes nous reviennent régulièrement, avant que le préjudice proprement dit ne devienne visible. Isolément, chacune peut s’expliquer de façon inoffensive ; plusieurs ensemble sont une raison de faire examiner le fait sur le plan technique.
- Connexions à des comptes d’entreprise depuis des pays ou à des heures où personne dans l’entreprise ne travaille.
- Règles de messagerie nouvellement créées qui transfèrent automatiquement les messages entrants ou les déplacent vers des dossiers rarement ouverts.
- Comptes administratifs pour lesquels aucun mandat n’existe, ou comptes existants dont les droits ont été soudainement étendus.
- Tâches de sauvegarde qui ne s’exécutent plus sans message d’erreur, ou sauvegardes qui ne peuvent plus être restaurées.
- Logiciel de protection désactivé sur certains serveurs sans qu’une modification à cet effet soit documentée.
- Trafic de données sortant anormalement important la nuit ou le week-end.
- Des partenaires commerciaux qui répondent à des messages qui n’ont jamais été envoyés depuis votre maison.
Mesures envisageables
Mesures possibles
Laquelle de ces mesures porte dans le cas d’espèce résulte du constat technique et de vos contrats. Nous convenons chaque étape avec vous au préalable ; des frais ne naissent qu’après votre accord exprès.
Relevé des faits et priorisation
Nous ordonnons l’incident le long des délais : ce qui doit être sécurisé immédiatement, ce qui doit être notifié et ce qui peut attendre. Dans les premiers jours, cet ordre est plus important que l’exhaustivité du premier rapport.
Coordination avec la forensique informatique
L’enquête technique est menée par des prestataires spécialisés. Nous formulons les questions de telle sorte que leur résultat puisse plus tard aussi valoir comme moyen de preuve, et nous accompagnons la mission et le reporting.
Examen des obligations de notification et d’information
Selon les données concernées, une notification à l’autorité de contrôle et une information des personnes concernées peuvent être nécessaires. Nous examinons s’il existe une obligation et rédigeons les communications requises.
Prétentions contre les prestataires et les fournisseurs
Si un prestataire externe a été la porte d’entrée ou n’a pas fourni les mesures de protection contractuellement promises, des prétentions contractuelles peuvent entrer en ligne de compte. Cela suppose une analyse des descriptifs de prestations et du constat forensique.
Plainte pénale et coordination avec les autorités
Une plainte peut ouvrir des pouvoirs d’enquête dont vous ne disposez pas vous-même – par exemple envers les prestataires d’hébergement, de noms de domaine et de services de paiement. Si elle est pertinente dans le cas concret et où elle devrait être déposée, nous l’examinons avec vous.
Communication envers les clients et les assureurs
Ce que vous communiquez, à qui et à quel moment, a des conséquences immédiates en responsabilité. Nous accordons le libellé et le moment avec les procédures de notification et d’enquête en cours, afin que les niveaux ne se portent pas mutuellement préjudice.
Perspectives
Ce qui peut être atteint de façon réaliste
La possibilité d’élucider une attaque et de compenser un préjudice dépend surtout de l’endroit où sont parvenus les fonds et les données exfiltrés et de qui les détient encore. Si des paiements ont été détournés, le circuit de paiement décide des possibilités ; si des données ont été copiées, leur diffusion ne peut pratiquement plus être reprise. Nous ne pouvons donc pas promettre un résultat déterminé, et nous ne le faisons pas non plus sur demande.
Certains chemins se ferment rapidement. Les journaux sont écrasés, les comptes auprès des prestataires de paiement sont vidés, l’infrastructure est coupée, et les délais de notification comme de réclamation courent indépendamment de l’achèvement de l’enquête technique. D’autres chemins restent ouverts plus longtemps – notamment les prétentions contractuelles contre les prestataires et les prétentions de couverture envers un assureur, parce qu’il y a là un destinataire saisissable.
Ce qui est réaliste n’est donc généralement pas le rétablissement de l’état antérieur à l’attaque, mais une mise en ordre : preuves sécurisées, obligations accomplies, responsabilité limitée et une appréciation solide de quelles prétentions en valent la peine et lesquelles non. Les bases communes – conservation des preuves, suivi des paiements et rapport entre l’action civile et l’action pénale – sont exposées en détail dans le domaine Fraude & Scam.
Questions fréquentes
Questions fréquentes sur les dossiers de cybercriminalité
Les réponses décrivent le cadre général. Ce qui vaut dans votre affaire dépend du constat technique, des données concernées et de vos contrats.
Spécialités connexes
Des schémas qui se recoupent
Une fraude suit rarement un seul schéma. Si votre situation ne correspond qu’en partie, les spécialités connexes peuvent éclairer les liens.
Hameçonnage
Messages bancaires et administratifs falsifiés qui captent les identifiants – et ce qu’il faut faire après une validation.
En savoir plusVol d’identité
Usage abusif de données personnelles pour des contrats et des comptes – défense contre les créances, demandes de renseignements et régularisation des inscriptions.
En savoir plusFausse facture
Factures manipulées et coordonnées bancaires modifiées dans le cycle de paiement – récupération, questions de responsabilité et sécurisation des processus.
En savoir plus
Pour en savoir plus
Pour en savoir plus
- Fraudes et escroqueriesEn cas de soupçon de fraude, le circuit des paiements, les échanges et la chronologie sont des points de départ essentiels.
- Reconnaître les signaux de fraudeUrgence, secret et paiements supplémentaires avant un retrait promis sont des signaux récurrents. Un seul indice ne remplace pas l’examen des faits.
- Panorama des mécanismes de fraudeFactures falsifiées, relations fictives et plateformes d’investissement manipulées suivent des mécanismes différents. Retrouvez leurs caractéristiques et les démarches possibles.
- Nous contacterPrésentez votre situation en quelques phrases, en vous limitant aux informations nécessaires au premier contact. Les pièces pourront être demandées ensuite par un canal adapté.
Contact
Présenter votre situation
L’envoi d’une demande ne crée pas de mandat et n’entraîne aucune prise en charge du suivi des délais. Si un délai court, ne vous fiez pas uniquement à ce formulaire.
- Informations générales. L’appréciation juridique dépend des circonstances propres à chaque dossier.