En bref : vous êtes concerné ? Appelez-nous. Nous vous aidons. Après une cyberattaque sur votre entreprise, vous avez avant tout besoin, en tant que direction, d'un interlocuteur qui prenne en charge la partie technique pour que vous puissiez décider. Nous travaillons à distance, sécurisons les traces, fermons la porte d'entrée, nettoyons et documentons, jusqu'à la clôture de l'incident.
Ne supprimez rien et ne réinstallez rien pour l'instant. Demandez aussi à votre service informatique et à votre hébergeur de ne rien modifier pour le moment. Ranger dans la précipitation détruit des preuves dont vous avez besoin pour l'assurance, la protection des données et la police. Signaler une urgence : nous prenons le relais dès le premier message.
Êtes-vous concerné ? Comment la direction remarque une attaque
Une cyberattaque commence rarement par un message du service informatique. Le premier indice vient souvent de l'extérieur :
- Un client ou un partenaire commercial signale un e-mail étrange, une redirection ou un avertissement dans le navigateur.
- L'hébergeur bloque le site web ou écrit que du code malveillant a été trouvé.
- Le site web affiche des contenus étrangers, du spam ou se comporte autrement que d'habitude.
- Votre service informatique signale des fichiers, des comptes ou des processus inconnus sur le serveur web.
- Il y a un chantage, une offre de données sur Internet ou un message d'autorités.
Une attaque peut aussi exister sans signe univoque. Depuis la publication des failles PHP2Shell, le BSI (l'office fédéral allemand de la sécurité des technologies de l'information) met en garde avec le niveau d'alerte 3 / orange ; selon Cloudflare et Patchstack, des tentatives d'attaque ont été observées. Nous clarifions volontiers si votre entreprise est concernée, sans que vous ayez à étayer le soupçon. Les signes techniques figurent sous Suis-je déjà compromis ?.
Ce que vous faites tout de suite
- Désigner un décideur. Une personne peut décider pour l'entreprise des arrêts, des redémarrages et des changements de mot de passe, et elle est joignable.
- Ne rien laisser modifier. Aucune suppression, aucune réinstallation, aucune restauration de sauvegarde avant la préservation des traces.
- Noter brièvement la situation. Qu'est-ce qui a été remarqué, quand et par qui ? Quels systèmes et quelles données peuvent être concernés ?
- Informer le délégué à la protection des données. Si des données personnelles sont touchées, un délai court peut-être. Lisez à ce sujet l'obligation de notification RGPD.
- Vérifier l'assureur. S'il existe une cyberassurance, elle précise souvent quand et comment vous devez déclarer le sinistre. Cyberassurance en cas de sinistre explique ce qui compte.
- Se concerter vers l'extérieur. Qui parle aux clients, à la presse et aux collaborateurs ? La page Communication de crise après une attaque peut vous y aider.
- Contactez-nous maintenant. Appelez-nous ou écrivez-nous sur WhatsApp.
Ce que la direction doit clarifier et ce que nous prenons en charge
Une cyberattaque est à la fois un événement technique et un événement d'entreprise. Les décisions restent les vôtres ; nous pouvons porter le travail technique.
| Question | Responsable |
|---|---|
| Le site web ou la boutique est-il temporairement mis hors ligne ? | Vous décidez, nous montrons les conséquences et les alternatives |
| Des données ont-elles fui, et lesquelles ? | Nous fournissons les faits techniques tirés des journaux et des fichiers |
| Existe-t-il une obligation de notification ? | Le délégué à la protection des données ou l'avocat, avec notre rapport |
| Une plainte est-elle déposée ? | Vous décidez, nous sécurisons les preuves au préalable |
| Comment les clients sont-ils informés ? | Vous, avec des spécialistes de la communication ; nous fournissons les faits |
| Comment le serveur revient-il à un état sain ? | Nous, en accord avec votre service informatique |
Nous ne fournissons pas de conseil juridique sur la responsabilité de la direction en cas de failles de sécurité ; des informations générales figurent sous Responsabilité de la direction. La page consacrée aux points de contact centraux pour la cybercriminalité (ZAC), les services spécialisés de la police allemande, facilite la décision concernant une plainte pénale.
Penser ensemble l'activité et l'incident
Outre la technique, la question urgente des premières heures est de savoir comment l'activité continue. Si des commandes, des prises de rendez-vous ou des ventes dépendent du site web, l'exploitation a besoin d'une solution transitoire : une page de maintenance avec un numéro de téléphone, un formulaire sur un système sain ou le traitement par téléphone et par e-mail. Selon des articles de presse, des autorités ont retiré leurs sites du réseau par précaution dans le contexte de PHP2Shell et sont restées joignables par téléphone et par e-mail ; cela montre que l'arrêt et la joignabilité peuvent aller ensemble.
Parlez aussi à vos collaborateurs. Qui connaît l'incident ne tombera pas dans les e-mails d'hameçonnage qui sont souvent envoyés à ce moment-là, et ne donnera pas vers l'extérieur d'informations qui paraîtraient contradictoires par la suite. Gardez les déclarations sur l'incident brèves et étayées. Les suppositions n'ont pas leur place dans un e-mail aux clients ; ce que nous savons avec certitude, ce que nous supposons et ce qui reste ouvert, nous le séparons expressément dans notre rapport.
Comment PHP SOS aide-t-il concrètement ?
- Faire le point : lors d'un premier échange, nous clarifions ce qui est connu, quels systèmes peuvent être concernés et ce qu'ils contiennent. Vous recevez une courte évaluation avec les prochaines étapes.
- Sécuriser et fermer : les fichiers, la base de données et les journaux sont sécurisés avant toute modification. Ensuite, nous contenons l'attaque et fermons le point d'entrée, pour PHP2Shell avec le correctif et le redémarrage de tous les processus.
- Examiner et nettoyer : nous recherchons les portes dérobées, les accès étrangers et les fichiers manipulés, et nous remettons de l'ordre. Si nécessaire, nous reconstruisons à partir de sources fiables.
- Durcir et rendre compte : vous recevez un rapport lisible pour la protection des données, l'assureur et les partenaires commerciaux, ainsi que des recommandations pour la suite.
Si l'incident dépasse un seul serveur, nous passons à une réponse aux incidents structurée. Si une élucidation recevable devant un tribunal est nécessaire, nous faisons appel à des partenaires spécialisés en forensique informatique.
Ce que vous devriez nous envoyer
- le nom et les coordonnées de la personne décisionnaire dans l'entreprise
- une courte description : qu'est-ce qui a été remarqué, quand, par qui ?
- des indications sur le système concerné et sur l'hébergeur ou le prestataire
- des indications sur une cyberassurance existante et sur le service de protection des données compétent
- l'accès au serveur ou l'autorisation de parler directement avec votre hébergeur
Pourquoi PHP SOS
Nous travaillons Made in Germany et, avec notre réseau de partenaires de professionnels de la cybersécurité, nous sommes spécialisés depuis plus de 25 ans dans la sécurité informatique. Vous avez un interlocuteur plutôt qu'une file d'attente. Nous travaillons à distance, sans déplacement, partout en Allemagne et en Europe. Chaque étape est documentée, notamment pour que vous puissiez justifier ce qui s'est passé auprès de l'assureur, de la protection des données et des partenaires commerciaux. Nous vous disons ouvertement ce qui est établi et ce qui est seulement probable, et nous ne promettons rien que personne ne puisse tenir. Ce qu'un incident peut coûter est décrit sur la page Postes de coûts d'un piratage.
Vous êtes concerné ? Appelez-nous. Nous vous aidons.
Plus tôt les traces sont sécurisées, plus il sera possible d'établir par la suite. Nous prenons le relais dès le premier message et restons à vos côtés jusqu'à ce que l'incident soit clos et documenté. Signaler une urgence maintenant.
Questions fréquentes
Cyberattaque sur l'entreprise : que doit faire la direction en premier ?
Désigner une personne comme décideur et interlocuteur, ne rien supprimer ni réinstaller, et chercher une aide technique. En parallèle, le délégué à la protection des données et, s'il en existe un, le cyberassureur doivent être informés. La situation technique, nous la clarifions avec vous.
Quand une cyberattaque doit-elle être déclarée ?
Si des données personnelles sont touchées, une notification à l'autorité de protection des données dans un délai de 72 heures peut être nécessaire. Il revient aux délégués à la protection des données ou aux avocats de juger si l'obligation s'applique. Nous fournissons les faits techniques pour cela.
Dois-je porter plainte après une cyberattaque ?
Beaucoup d'entreprises le font, notamment parce que les assureurs ou les partenaires commerciaux l'attendent. La police allemande dispose pour cela de points de contact centraux pour la cybercriminalité (ZAC). Pour que les preuves restent exploitables, les traces doivent être sécurisées au préalable.
Avons-nous besoin d'un prestataire en tant qu'entreprise si nous avons notre propre service informatique ?
Souvent oui. Un service informatique interne connaît le fonctionnement normal, mais plus rarement la préservation des traces et le nettoyage après une intrusion. Nous travaillons avec votre service informatique et prenons en charge la partie pour laquelle l'expérience ou le temps manquent en interne.
Combien une cyberattaque coûte-t-elle à l'entreprise ?
Cela dépend de la durée, des données concernées et de l'interruption d'activité. Les postes de coûts typiques figurent sur notre page consacrée au coût d'un piratage. Nous ne donnons pas de chiffre sans connaître votre situation.