Les 24 premières heures après un hameçonnage : la fiche réflexe

Un clic n’est pas une raison de paniquer. C’est une raison de lancer une réponse maîtrisée.

Une personne peut cliquer sur un lien, répondre avec une information, saisir un mot de passe, approuver une connexion ou ouvrir un fichier avant de comprendre que le message était frauduleux. Le pire réflexe suivant est le silence. Le deuxième est de multiplier les « réparations » non coordonnées, au risque de détruire des preuves, de bloquer le véritable responsable ou d’alerter l’attaquant.

Utilisez cette fiche pour les dix premières minutes, la première heure et le reste de la journée. Elle s’adresse aux dirigeants, responsables de bureau et équipes qui ne disposent pas d’une fonction de sécurité informatique à temps plein.

Dix premières minutes : signaler, cesser, conserver

1. Prévenez le responsable interne. Contactez la personne indiquée dans le plan d’incident : direction, responsable de bureau, référent TIC ou conseiller de confiance. Ne laissez pas le signalement dans une conversation privée avec la personne qui a cliqué.
2. Cessez toute interaction. Ne cliquez pas à nouveau, ne répondez pas, ne téléchargez pas un autre fichier, n’appelez pas un numéro du message et n’approuvez pas une connexion inattendue.
3. Conservez les preuves. Gardez le message original, l’adresse de l’expéditeur, les liens, le nom de la pièce jointe, les captures d’écran si elles sont sûres et l’heure de chaque action. Ne diffusez pas un message dangereux dans tout le groupe.
4. Écrivez une chronologie neutre. Notez qui l’a reçu, ce qui s’est passé, le compte ou l’appareil concernés et si des identifiants, fonds, fichiers ou contacts peuvent être touchés.

Les conseils du NIST sur l’hameçonnage recommandent d’avertir les personnes compétentes selon le plan d’incident et de contacter immédiatement l’établissement financier lorsqu’un compte financier de l’organisation peut être compromis. L’ordre compte : impliquez le bon responsable avant que l’équipe n’improvise.

Première heure : contenir le compte et l’appareil

Traitez séparément les deux risques possibles : les identifiants volés et le logiciel malveillant. Une personne peut avoir saisi un mot de passe sans infecter l’ordinateur, ou avoir ouvert un fichier qui a peut-être exécuté du code sans fournir d’identifiant. Tant que les faits ne sont pas établis, prenez les deux possibilités au sérieux.

• Utilisez un appareil sain. Changez le mot de passe du compte concerné depuis un appareil que le responsable considère sûr. Remplacez aussi tout mot de passe réutilisé sur un autre compte, par des mots de passe distincts.
• Révoquez les accès actifs. Fermez les sessions, supprimez les appareils inconnus, révoquez les applications connectées et invalidez les jetons lorsque le service le permet.
• Protégez la récupération. Vérifiez les adresses e-mail et numéros de récupération, les méthodes MFA, les mots de passe d’application et les nouveaux appareils enregistrés.
• Contenez un appareil potentiellement infecté avec méthode. Si le plan d’incident ou un spécialiste le demande, déconnectez l’appareil du réseau. Ne l’effacez pas, n’installez pas un outil de « nettoyage » au hasard et ne poursuivez pas l’enquête depuis cet appareil avant de comprendre les preuves et le besoin opérationnel.
• Prévenez le responsable des données. Si des informations sur les donateurs, bénéficiaires, élèves, clients, salariés ou finances peuvent être exposées, faites intervenir leur responsable.

Les recommandations de la CISA prévoient de reconfigurer les comptes soupçonnés d’être compromis, de contrôler leurs accès après l’incident et d’isoler un poste lorsqu’un logiciel malveillant peut avoir été exécuté. Les intitulés des boutons changent selon les fournisseurs ; la séquence de réponse reste la même.

Avant la fin de la journée : vérifiez la propagation

Après le confinement immédiat, recherchez les signes indiquant que l’attaquant a utilisé le premier accès pour continuer. Travaillez depuis une session administrateur saine lorsque c’est possible et notez ce qui a été vérifié.

• Messagerie : examinez les règles de transfert, règles de boîte de réception, délégations, messages envoyés et supprimés, ainsi que les réponses automatiques inhabituelles.
• Connexions : recherchez les lieux, appareils, horaires, réinitialisations de mot de passe, changements de MFA et tentatives répétées qui ne correspondent pas à l’activité habituelle.
• Argent : vérifiez les instructions de paiement, coordonnées fournisseurs, administration du mobile money, virements en attente et nouveaux bénéficiaires.
• Fichiers et systèmes : cherchez les téléchargements inattendus, changements de partage, nouvelles applications, modifications administrateur, clés API ou jetons d’accès.
• Contacts : identifiez les personnes qui ont pu recevoir une réponse, facture, demande, lien ou message frauduleux depuis le compte compromis.

Gardez la chronologie ouverte. Ajoutez des faits, pas des théories : « règle de transfert ajoutée à 10 h 14 » est utile ; « l’attaquant a tout volé » peut être prématuré. Conservez les journaux et le message original selon les règles de conservation et de confidentialité de l’organisation.

Sachez quand appeler l’extérieur

Appuyez la décision sur les faits connus. Cette liste indique quand escalader ; elle ne constitue pas une conclusion juridique.

• Appelez immédiatement la banque ou le prestataire de paiement si des identifiants, instructions de paiement, bénéficiaires, coordonnées bancaires, accès mobile money ou virements peuvent être concernés. Utilisez un numéro connu ou un canal officiel. Les conseils du FBI sur la compromission de messagerie professionnelle insistent sur la rapidité lorsque des fonds frauduleux peuvent avoir été déplacés.
• Contactez le fournisseur de messagerie, cloud, hébergement ou sécurité lorsqu’un compte, appareil, boîte, site ou identifiant administrateur peut être compromis. Demandez les options de récupération, de révocation des sessions, de conservation des journaux et de préservation des preuves.
• Prévenez l’assureur selon la police cyber, fraude, responsabilité professionnelle ou activité, lorsqu’elle existe. Certaines polices demandent une notification précoce ou une gestion précise des preuves.
• Demandez l’aide d’un spécialiste en présence de rançongiciel, d’accès privilégiés, de plusieurs comptes, d’une perte financière, de données de donateurs ou de clients, ou d’un événement malveillant difficile à cerner.
• Vérifiez les obligations auprès de l’autorité compétente avec le conseil de l’organisation, la personne responsable de la confidentialité, le propriétaire du contrat ou l’autorité concernée. Elles dépendent du pays, du secteur, des données, des contrats et des faits confirmés.

Envoyez aux équipes un message qui facilite le signalement

Le message doit indiquer un seul canal de signalement et rester calme. Ne demandez pas aux équipes de publier le lien suspect dans un groupe. Si le compte a envoyé des messages à d’autres personnes, le responsable peut transmettre un avertissement séparé depuis un canal fiable.

Après la première journée : apprendre sans blâmer

Une fois le risque immédiat contenu, organisez une courte revue. Demandez ce qui a rendu le message crédible, quel contrôle a manqué ou échoué, si le plan était facile à trouver et quelles preuves ont été difficiles à obtenir. Mettez à jour le plan, les accès, la MFA, la vérification des paiements, les sauvegardes, les filtres ou les pratiques d’équipe selon les faits.

Ne transformez pas la revue en chasse à la personne qui a cliqué. Un bon dispositif rend le signalement plus facile que la dissimulation. Les 24 premières heures servent à protéger les personnes et les preuves ; la revue ultérieure sert à rendre le prochain signalement plus rapide, plus clair et plus sûr.