Et si c’était déjà arrivé ?
Des clients reçoivent des emails suspects « de votre part », votre site redirige vers des pages bizarres, ou des connexions inconnues apparaissent sur vos comptes cloud ? Vous vous demandez comment savoir si entreprise piratée et quoi faire sans perdre de temps. Voici une méthode claire pour vérifier rapidement, confirmer l’incident et agir efficacement.
Réponse rapide :
Si vous avez un doute, procédez immédiatement :
- Indicateurs immédiats : emails de rebond (NDR) massifs, règles de transfert inconnues dans les boîtes, alertes EDR/antivirus, connexions depuis des pays inhabituels, création de nouveaux admins non prévue, site web modifié ou redirigé, pics de trafic sortant, demandes MFA répétées non sollicitées.
- Isoler sans tarder : déconnectez du réseau les postes/serveurs suspects (réseau et VPN), désactivez temporairement les comptes compromis, bloquez les sessions actives.
- Sécuriser l’accès : réinitialisez les mots de passe critiques, forcez la reconnexion et activez le MFA partout où c’est possible. Révoquez les jetons d’accès, clés API et applications tierces inconnues.
- Préserver les preuves : conservez les journaux, prenez des captures d’écran, évitez de redémarrer un serveur critique avant d’avoir extrait les logs utiles.
- Vérifier l’exposition : contrôlez si vos emails/domaines apparaissent dans des bases publiques d’incidents (ex. services de type « Have I Been Pwned » pour les domaines vérifiés) et vos alertes de sécurité cloud.
- Informer en interne : prévenez la DSI/dirigeant, enclenchez votre procédure d’incident. Si nécessaire, sollicitez un prestataire réponse à incident.
Les signes clairs d’un piratage, classés par périmètre
Comptes et emails
- Connexions depuis des localisations/ASN anormaux, heures inhabituelles, adresses IP inconnues.
- Règles de transfert/suppression automatiques nouvelles, boîtes partagées donnant des erreurs.
- Applications OAuth inconnues ayant accès à la messagerie ou au stockage.
- Multiples notifications MFA non sollicitées, resets de mots de passe inattendus.
Postes et serveurs
- Alertes EDR/antivirus, services inconnus qui démarrent, pics CPU/disque réseau sans raison.
- Fichiers récemment chiffrés/renommés, extensions étranges, notes de rançon.
- Comptes locaux/admin nouvellement créés ou membres de groupes à privilèges.
Réseau et cloud
- Transferts massifs sortants, connexions vers des destinations inhabituelles.
- Ouverture de ports/pare-feu non prévue, règles de sécurité cloud assouplies.
- Rôles/permissions élargis sur des comptes de service, clés API générées récemment.
Site web et référencement
- Défigurement, redirections vers des sites tiers, injections de liens ou de scripts.
- Avertissements de moteurs de recherche ou d’outils d’analyse de site, listes noires.
- Plugins/thèmes inconnus ou obsolètes, fichiers modifiés sans changement prévu.
Finance et relation client
- Factures frauduleuses ou modification des coordonnées bancaires envoyées à vos clients.
- Augmentation des remboursements/contestions, messages clients sur des emails suspects.
Vérifications concrètes pas à pas
1) Examiner les alertes et journaux
- Portails sécurité de votre messagerie/SSO : tentatives de connexion, MFA, échecs, nouveaux admins.
- Journaux VPN/pare-feu : IP sources, sessions prolongées, volumes de données sortants.
- EDR/antivirus : détections récentes, processus bloqués, quarantaines.
2) Contrôler l’exposition des identifiants
- Vérifiez si des emails de votre domaine figurent dans des bases publiques liées à des incidents connus via un service spécialisé pour domaines (validation requise).
- Si vous disposez d’un service de veille du « dark web », consultez les alertes associées à votre marque et vos domaines.
3) Auditer vos boîtes email et identités
- Par compte critique : règles de boîte de réception, transferts, délégations, filtres, répondeurs automatiques.
- Applications et jetons OAuth autorisés : supprimez ce qui est inconnu ou inutile.
- Réinitialisez les mots de passe à risque et forcez le MFA si absent.
4) Contrôler le site et l’hébergement
- Inventoriez les extensions/thèmes et versions du CMS ; retirez ce qui est obsolète ou suspect.
- Comparez les fichiers clés avec une version saine (intégrité), inspectez les tâches CRON et les téléchargements récents.
- Analysez les logs d’accès/erreur pour détections d’injections, envois massifs, POST suspects.
5) Scanner les postes/serveurs
- Lancez une analyse complète via votre EDR/antivirus sur les machines exposées.
- Recherchez logiciels installés récemment, services au démarrage, connexions persistantes.
6) Vérifier les privilèges et accès sensibles
- Listez tous les comptes admin et de service ; supprimez/neutralisez ceux qui ne doivent pas exister.
- Révoquez les clés API et tokens inutiles, régénérez les secrets critiques.
7) Sauvegardes et restauration
- Vérifiez que vous disposez de sauvegardes récentes, déconnectées et testées.
- Avant toute restauration, assurez-vous d’éliminer la cause et les accès persistants.
Que faire si vous trouvez des indices de compromission
- Confinement : isolez les systèmes affectés, désactivez les comptes compromis, bloquez les IP et sessions malveillantes.
- Eradication : supprimez malwares et portes dérobées, mettez à jour vos systèmes, changez les mots de passe, révoquez et régénérez les clés/tokens.
- Restauration : restaurez depuis une sauvegarde saine, réactivez progressivement en surveillant étroitement.
- Preuves et analyse : conservez et centralisez les journaux, consignez une chronologie des faits, identifiez le vecteur d’entrée pour éviter la récidive.
- Communication : alertez les parties concernées en interne, et si nécessaire vos partenaires/clients. Vérifiez vos obligations d’information auprès des autorités compétentes selon la réglementation applicable, avec l’appui d’un conseil juridique.
- Surveillance renforcée : pendant plusieurs semaines, suivez de près connexions, envois d’emails, changements de configuration et créations de comptes.
Prévenir la prochaine fois : les mesures à fort impact
- MFA partout : comptes email, VPN, SSO, administrateurs, outils critiques.
- Gestion des accès : moindres privilèges, revue régulière des droits, suppression des comptes inactifs.
- Hygiène des identités : SSO et gestionnaire de mots de passe, politique de rotation des secrets, désactivation des protocoles hérités.
- Mises à jour : correctifs de sécurité rapides sur OS, applicatifs, plugins et firmware.
- Sauvegardes 3-2-1 : dont une copie hors ligne, tests de restauration planifiés.
- Protection endpoints et réseau : EDR, filtrage DNS, segmentation, durcissement des configurations.
- Messagerie plus sûre : supervision anti-phishing et politiques d’authentification d’email (SPF, DKIM, DMARC) adaptées.
- Journalisation et alerting : conservez les logs clés et mettez en place des alertes sur les événements critiques (nouveaux admins, MFA désactivé, transfert d’email créé).
- Plan de réponse à incident : rôles clairs, scénarios types, listes de contrôle, exercices réguliers.
- Sensibilisation : formations courtes et régulières, simulations d’hameçonnage, procédures de validation pour les paiements et changements de RIB.
Checklist express à garder sous la main
- Connexions suspectes, règles email inconnues, nouveaux admins ? Vérifiez et neutralisez.
- Postes/serveurs alertés ou lents ? Isolez, scannez, corrigez.
- Site modifié/redirigé ? Coupez les accès, restaurez depuis une version saine, mettez à jour.
- Clés API/tokens : révoquez et régénérez si doute.
- Sauvegardes : testez une restauration avant reprise totale.
- Communication et obligations : organisez-vous, documentez, informez selon le cadre applicable.
Conclusion
Savoir rapidement si votre entreprise a été piratée repose sur des signaux concrets et des vérifications ciblées. En appliquant cette méthode—détecter, confirmer, contenir, éradiquer, restaurer et renforcer—vous réduisez l’impact et revenez à une posture de sécurité maîtrisée. Conservez cette checklist et intégrez-la à votre plan de réponse à incident pour réagir sans hésitation.
