Face à une intrusion, le réflexe naturel — tout éteindre et tout réinstaller au plus vite — est souvent le plus coûteux. Il détruit les traces nécessaires pour comprendre le point d’entrée, et vous expose à une seconde compromission par la même faille. La bonne séquence est : isoler, constater, comprendre, puis seulement remettre en service.
Comment reconnaître cette menace
- Des comptes administrateurs inconnus apparaissent dans l'annuaire.
- Des connexions ont lieu en dehors des horaires de travail, depuis l'étranger.
- Les journaux de sécurité ont été effacés ou présentent des trous inexpliqués.
- Des outils d'administration à distance non prévus sont installés sur des serveurs.
- Le volume de trafic sortant augmente fortement et sans motif métier.
- Des fichiers sont créés, déplacés ou chiffrés en masse.
Que faire immédiatement
- Isolez les machines concernées du réseau sans les éteindre : la mémoire vive contient des preuves.
- Constituez une cellule de crise et désignez un responsable unique des décisions.
- Conservez les journaux et faites une copie des disques avant toute remédiation.
- Changez les mots de passe d'administration depuis un poste sain.
- Déposez plainte, et notifiez la CNIL sous 72 heures si des données personnelles sont touchées.
- Ne remettez en service qu'après avoir identifié et corrigé le point d'entrée.
Comment s'en protéger durablement
- Segmentez le réseau pour qu'une machine compromise n'ouvre pas tout le système.
- Appliquez le moindre privilège : personne ne travaille au quotidien en administrateur.
- Centralisez et conservez les journaux hors des machines qu'ils surveillent.
- Testez la restauration de vos sauvegardes, au moins une fois par an.
- Préparez et faites répéter un plan de réponse à incident, même simple.
Les ressources officielles sur ce sujet
Documents publiés par le dispositif national Cybermalveillance.gouv.fr.
- 📄 Fiche réflexe officielle
- ⬇ Fiche réflexe (PDF)
- ▶ Vidéo explicative
- ▶ Vidéo complémentaire
- ▶ Témoignage
Source : cybermalveillance.gouv.fr (GIP ACYMA) — liens fournis sous Licence Ouverte 2.0 (Etalab). Les documents restent hébergés par le dispositif, seul habilité à en garantir la version à jour.
Besoin d'aide ?
3WCONSEILS accompagne les particuliers, TPE-PME et collectivités de Lisieux, Bernay et de toute la Normandie : diagnostic, sécurisation, sauvegarde et intervention d’urgence après incident.