Ordinateur ou compte piraté : que faire ?

En bref

• -Ne pas paniquer, ne rien supprimer, et ne pas éteindre brutalement un équipement critique sans avis.
• -Un poste suspect se déconnecte du réseau (Wi-Fi et câble). Un mot de passe se change depuis un appareil sain.
• -TRINEXTA répond du lundi au vendredi, de 8 h 30 à 19 h. En dehors de ces horaires, suivez les consignes officielles de cybermalveillance.gouv.fr.
• -Ne payez pas de rançon sans avis spécialisé.

Les signes

• -Lenteur inhabituelle, programmes inconnus, fenêtres ou messages étranges.
• -Antivirus ou protection désactivés sans votre action.
• -Souris qui bouge seule, activité réseau anormale.

Les gestes

1. 1.Déconnectez l'ordinateur du réseau : coupez le Wi-Fi et débranchez le câble réseau.
2. 2.Arrêtez de l'utiliser, mais ne l'éteignez pas brutalement et ne supprimez aucun fichier : ces traces servent à comprendre ce qui s'est passé.
3. 3.Notez ce que vous avez constaté et l'heure.
4. 4.Depuis un autre appareil sain, changez les mots de passe utilisés sur ce poste (messagerie en priorité).
5. 5.Appelez-nous, ou votre responsable informatique.

Les signes

• -E-mails envoyés depuis votre adresse sans que vous les ayez écrits.
• -Alertes de connexion inhabituelles, connexions depuis l'étranger.
• -Règles de transfert ou de suppression automatique que vous n'avez pas créées.

Les gestes

1. 1.Depuis un appareil sain, changez le mot de passe du compte.
2. 2.Activez la double authentification si elle ne l'est pas.
3. 3.Faites déconnecter toutes les sessions ouvertes : c'est l'administrateur Microsoft 365 de l'entreprise qui le fait (ou nous, si nous gérons votre environnement).
4. 4.Vérifiez et supprimez les règles de messagerie suspectes (transferts automatiques notamment).
5. 5.Vérifiez les applications autorisées à accéder au compte.
6. 6.Prévenez vos contacts si des e-mails frauduleux sont partis de votre adresse.

Les signes

• -Fichiers impossibles à ouvrir, extensions modifiées.
• -Message demandant une rançon pour récupérer vos données.

Les gestes

1. 1.Isolez les postes touchés du réseau (Wi-Fi et câble).
2. 2.Ne coupez pas un serveur ou un NAS sans avis : selon le cas, il faut le déconnecter du réseau ou le laisser en l'état pour analyse.
3. 3.Ne supprimez pas les fichiers chiffrés et ne tentez pas de les « réparer ».
4. 4.Repérez vos sauvegardes et ne les branchez pas sur un équipement touché.
5. 5.Ne payez pas la rançon sans avis spécialisé : le paiement n'assure pas la récupération des données.
6. 6.Appelez-nous. Vous pouvez aussi porter plainte et suivre les consignes de cybermalveillance.gouv.fr.

Avant de cliquer

• -Vérifiez l'adresse réelle de l'expéditeur, pas seulement le nom affiché.
• -Survolez les liens sans cliquer pour voir leur destination.
• -Méfiez-vous des demandes urgentes, inhabituelles ou qui touchent à l'argent (changement de RIB, virement).
• -Ne communiquez jamais vos identifiants par e-mail.

Si vous avez cliqué ou saisi un mot de passe

1. 1.Changez immédiatement ce mot de passe depuis un appareil sain, et partout où vous l'utilisiez.
2. 2.Si une pièce jointe a été ouverte, appliquez les gestes « Mon ordinateur a été piraté ».
3. 3.Prévenez-nous, ou votre responsable informatique.

1. 1.Nous qualifions la situation et sa priorité.
2. 2.Nous vous indiquons les gestes à faire tout de suite.
3. 3.Nous intervenons à distance, ou sur site si nécessaire, selon notre plan de réponse aux incidents.

• -Double authentification sur tous les comptes, en priorité la messagerie.
• -Sauvegardes régulières, dont une copie hors ligne, et restaurations testées.
• -Mises à jour automatiques des systèmes et logiciels.
• -Protection EDR sur les postes : elle analyse les comportements suspects et peut bloquer ou isoler un poste selon sa configuration ; elle complète les autres mesures.
• -Comptes administrateurs réservés à l'administration.
• -Sensibilisation des collaborateurs à l'hameçonnage.