5.1Réagir à un incident (compte piraté, rançongiciel)
L'essentiel en 30 secondes
- Isoler sans eteindre : reseau coupe (Wi-Fi off, cable debranche), machine allumee — l'extinction detruit les preuves.
- Alerter sans delai, ne plus toucher : IT/RSSI d'abord, on ne bricole jamais seul un incident.
- Ne jamais payer : aucune garantie, financement du crime — l'issue, c'est la sauvegarde hors ligne (3.1).
Mini-cas filé — Karim et le matin ou tout se fige
Karim, employe de bureau a Alger, ouvre un matin une piece jointe « facture » : son ecran se fige, des fichiers se renomment en extensions bizarres, un message reclame une rancon. Au lieu d'eteindre ou de payer, il coupe le Wi-Fi, laisse la machine allumee, appelle le referent IT et note l'heure, les symptomes et son dernier clic. Cette section raconte ses 10 premieres minutes — et le fil continue en 5.2, 5.3, 5.4 et 5.5.
Ce meme cas revient dans le cours, le schema, le script et le defi 48h — et continue en 5.2, 5.3, 5.4 et 5.5.
1. Les premieres minutes decisives
Compte pirate, poste au comportement anormal, rancongiciel, fraude : les premieres minutes decidant de l'ampleur des degats. Une bonne reaction limite ; une mauvaise (eteindre, payer, bidouiller) les multiplie. Karim a gagne parce que sa fiche reflexe etait prete avant le jour J.
Regle d'or : en situation de stress, on n'improvise pas, on execute la fiche. Le doute ne coute rien (un faux positif se verifie) ; le silence ou le bricolage coute cher.
2. Isoler sans eteindre, alerter, ne plus toucher
Isoler : couper le reseau du poste (Wi-Fi off, cable debranche) pour stopper la propagation — mais ne rien eteindre (la memoire vive contient des preuves utiles a l'analyse). Alerter sans delai l'IT/RSSI et la hierarchie ; ne plus toucher a la machine. Karim isole, appelle, puis s'ecarte du clavier.
Cas du compte pirate : mot de passe change depuis un autre appareil sain + deconnexion de toutes les sessions + verification des regles de transfert de la messagerie (l'attaquant y ajoute souvent une redirection discrete).
3. Ne jamais payer, preserver les preuves
On ne paie jamais la rancon : aucune garantie de recuperation, financement du crime, signal de « bon payeur » qui invite a la re-attaque. La vraie issue est la sauvegarde hors ligne (3.1) et les professionnels. Karim refuse de payer malgre la pression du compte a rebours affiche.
Preserver les preuves : captures d'ecran, e-mail d'origine conserve, horaires notes. Ce dossier servira a l'analyse, a la plainte et a l'assurance. Prevenir aussi les collegues si un message piege circule encore.
🔎 Exemple concret — Les 10 premieres minutes de Karim
Ce que Karim fait, minute par minute.
Minute 0-2 : ecran fige + fichiers renommes -> Wi-Fi OFF, cable debranche, machine LAISSEE allumee.
Minute 2-5 : appel au referent IT (contact note d'avance) : « poste suspect, isole, je ne touche plus ».
Minute 5-10 : note heure + symptomes + dernier clic, capture le message de rancon, previent 2 collegues exposes.
-> Compte : mot de passe change DEPUIS le telephone + sessions deconnectees + regles de transfert verifiees.Lecture : chaque minute a son geste, aucun bricolage.
Lecon : la fiche s'ecrit avant l'incident, pas pendant.
Vocabulaire de la section
- Incident de securite
- Tout evenement qui compromet (ou semble compromettre) la securite : compte pirate, poste anormal, rancongiciel, fraude.
Exemple simple : Karim voit ses fichiers renommes en extensions bizarres : il traite ca comme un incident.
Ce que ce n'est pas : « ce n'est qu'un bug, j'attends que ca passe ».
Réflexe : au doute, isoler et alerter — un faux positif ne coute rien.
- Isoler
- Couper le reseau de la machine touchee SANS l'eteindre : stopper la propagation en preservant les preuves.
Exemple simple : Karim coupe le Wi-Fi et debranche le cable, ecran laisse allume.
Ce que ce n'est pas : eteindre le poste ou continuer a travailler dessus.
Réflexe : reseau coupe d'abord, questions ensuite.
- Ne pas eteindre
- L'extinction detruit les preuves en memoire vive utiles a l'analyse.
Exemple simple : La machine de Karim reste allumee jusqu'a l'arrivee de l'IT.
Ce que ce n'est pas : appuyer sur le bouton d'alimentation « pour stopper le virus ».
Réflexe : sauf consigne IT, on n'eteint jamais un poste suspect.
- Ne jamais payer
- La rancon ne garantit rien, finance le crime et attire la re-attaque.
Exemple simple : Karim refuse de payer malgre le compte a rebours affiche.
Ce que ce n'est pas : payer vite « pour recuperer les fichiers vitaux ».
Réflexe : rancon = sauvegardes (3.1) + professionnels, jamais paiement.
- Preserver les preuves
- Captures, e-mail d'origine, horaires : le dossier de l'analyse, de la plainte et de l'assurance.
Exemple simple : Karim photographie le message et garde l'e-mail piege d'origine.
Ce que ce n'est pas : supprimer l'e-mail piege « pour nettoyer ».
Réflexe : noter heure, symptomes, dernier clic — tout de suite.
En pratique — Votre fiche réflexe personnelle (à préparer AVANT)
- Rédigez votre fiche en 5 lignes : 1) J'isole (réseau coupé, machine allumée) ; 2) J'alerte [contact IT : nom/numéro] ; 3) Je ne touche plus à la machine ; 4) Je note ce que j'ai vu (heure, symptômes, dernier clic) ; 5) Je préviens mes collègues si un message piégé circule.
- Remplissez le contact réel de votre IT/référent — maintenant, pas le jour J.
- Cas du compte piraté (perso ou pro joignable) : changement de mot de passe immédiat DEPUIS UN AUTRE APPAREIL + déconnexion de toutes les sessions + vérification des règles de transfert de la messagerie.
- Imprimez ou enregistrez la fiche là où vous la retrouverez en stress — c'est tout son intérêt.
Script prêt à dire — alerter l'IT en 1 min
« Bonjour, c'est Karim : poste suspect, je l'ai isole du reseau sans l'eteindre et je ne touche plus a rien. Symptomes : ecran fige et fichiers renommes depuis [heure], apres ouverture d'une piece jointe [objet de l'e-mail]. Je vous envoie les captures et je reste joignable sur mon telephone. »
A dire au telephone au referent IT/RSSI, puis envoyer captures + e-mail d'origine sans le transferer a d'autres collegues.
Modèle copier-coller — fiche réflexe incident
INCIDENT — FICHE REFLEXE (a completer AVANT)
1) J'ISOLE : Wi-Fi OFF + cable debranche, machine LAISSEE allumee.
2) J'ALERTE : IT/RSSI [nom + numero] : _______________ | Hierarchie : _______________
3) JE NE TOUCHE PLUS a la machine.
4) JE NOTE : heure ___ | symptomes ___ | dernier clic ___ | captures : OUI/NON
5) JE PREVIENS les collegues exposes (sans transferer le piege).
COMPTE PIRATE : mot de passe change DEPUIS un autre appareil + sessions deconnectees + regles de transfert verifiees.Solo / petit bureau
Karim seul sans IT interne : fiche avec contact du prestataire + hierarchie, poste isole et deplace a l'ecart en attendant l'intervention.
TPE / petit budget
Fiche affichee pres de chaque poste + contact IT ecrit au marqueur : pas d'outil couteux, juste le numero joignable et les 5 lignes.
PME Algérie
Karim note le referent interne et la hierarchie a prevenir a Alger : pas de numero d'urgence invente — le circuit interne prime, les plateformes officielles ensuite (5.2).
Équipe qui démarre
Chaque membre remplit sa fiche puis test a blanc de 5 minutes : qui appelle qui, avec quels mots, sans toucher la machine.
✓ Bonnes pratiques
- Isolez le poste du reseau sans l'eteindre.
- Preparez votre fiche reflexe (contact IT reel) AVANT l'incident.
- Pour un compte pirate, changez le mot de passe depuis un appareil sain.
✗ Pièges fréquents
- Eteindre la machine (destruction des preuves).
- Payer la rancon (aucune garantie, financement du crime).
- Bricoler seul au lieu d'alerter le RSSI/IT.
Points clés à retenir
- Isoler sans eteindre, alerter immediatement, ne plus toucher : le triptyque des premieres minutes.
- On ne paie JAMAIS la rancon : sauvegardes (3.1) et professionnels sont la voie de sortie.
- Un compte pirate : mot de passe change depuis un appareil sain + sessions deconnectees + regles de transfert verifiees.
- La fiche reflexe se prepare avant l'incident — en situation de stress, on ne reflechit plus, on execute.
Défi 48h — appliquez demain
Redigez votre fiche reflexe en 5 lignes avec le vrai contact IT/RSSI et affichez-la pres de votre poste : etes-vous capable d'alerter en moins de 5 minutes ?
- Je peux citer le triptyque : isoler, alerter, ne plus toucher.
- Ma fiche reflexe est ecrite avec le contact IT reel.
- Je sais pourquoi on n'eteint pas et on ne paie jamais.
Questions fréquentes
Comment savoir si mon poste est compromis ?
Signaux classiques : lenteur soudaine, fenetres/redirections anormales, mots de passe refuses, mails envoyes a votre insu, fichiers renommes en extensions bizarres (rancongiciel). Au doute : isoler et alerter — un faux positif ne coute rien.
Pourquoi ne pas payer, si les données sont vitales ?
Outre l'ethique : une victime sur plusieurs ne recupere jamais tout, le paiement invite a la re-attaque, et des sanctions visent certains paiements. La vraie assurance-vie est la sauvegarde hors ligne du 3.1 — c'est maintenant qu'elle se met en place.
Le poste de Karim affiche un message de rancon. Premier reflexe ?