Réponse à un incident informatique : la procédure simple pour limiter les dégâts

Un compte compromis, un site WordPress inaccessible ou un fichier professionnel chiffré provoquent souvent la même réaction : agir dans l’urgence. Pourtant, les premières décisions peuvent préserver les preuves, limiter la propagation et accélérer la reprise. Une procédure de réponse à un incident n’a pas besoin d’être complexe pour être utile. Elle doit surtout indiquer qui fait quoi, dans quel ordre et avec quelles informations.

Ce guide s’adresse aux indépendants, petites entreprises et responsables de sites qui ne disposent pas forcément d’une équipe de sécurité dédiée. Il propose une méthode défensive pour qualifier l’incident, contenir le problème, rétablir les services et tirer des enseignements exploitables.

Reconnaître un incident avant de chercher à le résoudre

Un incident de sécurité correspond à un événement susceptible de compromettre la confidentialité, l’intégrité ou la disponibilité d’un système ou de données. Il ne s’agit pas uniquement d’un piratage confirmé. Un comportement inhabituel doit être traité comme un signal à vérifier, surtout lorsqu’il concerne un compte administrateur ou un service critique.

Parmi les signes qui justifient l’ouverture d’un incident, on peut relever :

• une connexion depuis un lieu ou un appareil inconnu sur un compte sensible ;
• des modifications non réalisées sur un site, une boîte mail ou un espace de stockage ;
• des messages envoyés à partir d’une adresse professionnelle sans l’accord de son propriétaire ;
• une augmentation inhabituelle de l’activité, des redirections ou des téléchargements ;
• la perte soudaine d’accès à un compte ou à un service ;
• des fichiers renommés, chiffrés ou rendus inaccessibles ;
• une alerte provenant d’un fournisseur, d’un client ou d’un outil de surveillance.

À ce stade, il n’est pas nécessaire de connaître l’origine exacte du problème. Notez simplement ce qui a été observé, quand, par qui et sur quel système. Une alerte mal interprétée vaut mieux qu’une compromission ignorée pendant plusieurs heures.

Les 30 premières minutes : stabiliser sans détruire les indices

La priorité initiale n’est pas de nettoyer immédiatement la machine ou de modifier tous les réglages. Elle consiste à empêcher l’incident de s’étendre tout en conservant les informations qui permettront de comprendre ce qui s’est passé.

1. Nommer un responsable et ouvrir une fiche d’incident

Une seule personne doit centraliser les décisions et les échanges. Elle peut être le dirigeant, le responsable informatique ou le prestataire qui administre le site. Créez une fiche horodatée, même dans un document local ou sur papier si les outils habituels sont suspects.

Inscrivez au minimum :

• la date et l’heure de détection ;
• la personne qui a signalé le problème ;
• les services touchés ;
• les actions déjà effectuées ;
• les personnes et prestataires à prévenir ;
• les décisions prises et leur justification.

2. Isoler ce qui semble compromis

Si un ordinateur affiche un comportement suspect, déconnectez-le du réseau en coupant le Wi-Fi ou le câble Ethernet. Ne le réinitialisez pas immédiatement. Si un compte semble compromis, utilisez un appareil sain pour changer son mot de passe et révoquer les sessions actives, lorsque le service le permet.

Pour un site web, placez temporairement une page de maintenance ou limitez l’accès à l’administration si cette action est maîtrisée. Évitez de supprimer précipitamment des comptes, des fichiers ou des journaux : ces éléments peuvent aider à déterminer l’étendue de l’incident.

3. Protéger les comptes qui peuvent aggraver la situation

Commencez par les comptes disposant des droits les plus élevés : messagerie principale, hébergement, registrar du nom de domaine, gestionnaire de mots de passe, plateforme de paiement et outils de sauvegarde. Modifiez les mots de passe depuis un appareil de confiance et activez l’authentification multifacteur si elle n’est pas déjà en place.

Ne réutilisez pas un mot de passe déjà employé ailleurs. Si une adresse mail est compromise, elle peut servir à réinitialiser d’autres accès. Dans ce cas, la messagerie doit être traitée avant les comptes qui en dépendent.

Qualifier l’incident avec une grille de décision

Une qualification rapide aide à choisir le niveau de réaction. Elle ne remplace pas l’analyse d’un spécialiste, mais évite de traiter de la même manière une fausse alerte et une compromission d’un compte administrateur.

La gravité dépend de la combinaison de trois éléments : l’étendue de l’incident, la sensibilité des données concernées et la capacité à maintenir l’activité. Un compte de réseau social isolé et un accès à la messagerie contenant des factures ou des données clients ne présentent pas le même risque.

Contenir l’incident sans improviser une réparation

La contention vise à empêcher la situation de s’aggraver. Elle peut consister à désactiver un compte compromis, suspendre une clé d’API, bloquer un accès distant ou isoler un poste. Chaque action doit être notée avec son heure et la personne qui l’a réalisée.

Évitez les réactions qui rendent l’analyse plus difficile :

• réinstaller immédiatement tous les appareils sans conserver d’éléments utiles ;
• effacer les journaux parce qu’ils contiennent des erreurs ou des alertes ;
• répondre aux attaquants ou négocier sans conseil spécialisé ;
• publier une explication détaillée avant d’avoir vérifié les faits ;
• restaurer une sauvegarde sans s’assurer qu’elle est antérieure à l’intrusion.

Si vous ne savez pas si une action est réversible, demandez d’abord conseil à l’hébergeur, à l’administrateur système ou à un prestataire de réponse à incident. Une intervention professionnelle est particulièrement pertinente lorsque l’activité est bloquée, que des données sensibles sont concernées ou que l’attaquant semble encore présent.

Communiquer avec les bonnes personnes et au bon moment

Une communication utile distingue les faits vérifiés, les hypothèses et les actions en cours. Informez les personnes qui doivent agir : direction, équipe informatique, hébergeur, fournisseur de messagerie, banque ou prestataire concerné. Chaque interlocuteur doit recevoir uniquement les informations nécessaires à sa mission.

Si des données personnelles peuvent avoir été compromises, ne concluez pas seul qu’aucune démarche n’est nécessaire. Les obligations dépendent de la nature des données, du risque pour les personnes et du contexte de l’incident. Faites évaluer la situation par la personne compétente dans votre organisation ou par un conseil spécialisé.

Pour les clients ou partenaires, privilégiez un message factuel : service affecté, mesures prises, éventuelles actions demandées et prochain point d’information. Une promesse trop précise ou une minimisation prématurée peut compliquer la relation si l’analyse évolue.

Rétablir les services selon un ordre de priorité

Le retour à la normale ne consiste pas à rallumer tous les systèmes en même temps. Classez les services selon leur importance pour l’activité et leurs dépendances. Une messagerie compromise, par exemple, peut rendre dangereuse la réinitialisation d’autres comptes.

1. Confirmer que l’accès malveillant est bloqué : comptes, sessions, clés, règles de transfert et appareils concernés.
2. Corriger la cause connue : logiciel obsolète, mot de passe réutilisé, extension vulnérable ou configuration trop permissive.
3. Restaurer depuis une source fiable et vérifier que les données restaurées ne contiennent pas le problème.
4. Réactiver progressivement les services en surveillant les connexions, erreurs et modifications inhabituelles.
5. Prévenir les utilisateurs des nouvelles règles : changement de mot de passe, appareil à reconnecter ou message frauduleux à ignorer.

Après la reprise, maintenez une surveillance renforcée pendant plusieurs jours ou selon les recommandations du prestataire. La disparition du symptôme initial ne prouve pas que tous les accès indésirables ont été supprimés.

Transformer l’incident en plan d’amélioration

Une fois l’activité stabilisée, organisez un retour d’expérience sans chercher un responsable à blâmer. Le but est de réduire le temps de détection et de rendre les prochaines décisions plus simples.

Analysez notamment :

• le premier signal observable et le délai avant sa prise en compte ;
• les comptes, appareils et données réellement concernés ;
• les sauvegardes disponibles et le temps nécessaire à la restauration ;
• les informations qui ont manqué au moment de décider ;
• les actions qui ont ralenti ou compliqué la réponse ;
• les mesures à mettre en place avec un responsable et une échéance.

La procédure finale peut tenir sur deux pages : coordonnées des contacts, étapes d’urgence, ordre de priorité des services, emplacement des sauvegardes et modèle de journal. Testez-la périodiquement avec un scénario simple. Une procédure connue et répétée est beaucoup plus efficace qu’un document détaillé que personne ne consulte.

La bonne réaction n’est pas de tout modifier dans la panique. Il faut d’abord isoler, documenter, protéger les accès critiques, demander de l’aide lorsque le périmètre est incertain, puis restaurer progressivement. Cette séquence donne à une petite structure un cadre solide pour limiter les dégâts et reprendre son activité avec davantage de contrôle.