Rançongiciel, compromission de messagerie, fraude au président : le jour où l'attaque réussit, les heures comptent et les improvisations coûtent cher. Notre contrat d'astreinte garantit des délais d'intervention et une méthode éprouvée — détection, confinement, éradication, reprise — pour limiter l'arrêt d'activité.
La meilleure réponse à incident est celle qui part d'une détection précoce : découvrez notre SOC managé, détection et réponse 24/7.
Comment nous intervenons
Pour comprendre comment les rançongiciels pénètrent les PME et quelles protections changent vraiment le risque, lire notre article ransomware PME : les protections qui changent vraiment le risque.
Première heure décisive : qualifier l'incident (rançongiciel, compromission de messagerie, fraude au virement), évaluer l'étendue réelle et éviter les fausses manoeuvres qui détruisent les preuves ou accélèrent la propagation.
Isoler les postes et serveurs touchés, couper les accès de l'attaquant, éradiquer les portes dérobées, puis restaurer à partir de sauvegardes saines — dans un ordre qui ne donne pas à l'attaquant une seconde chance.
Conserver les traces utiles pour comprendre le chemin d'attaque et documenter l'incident (assureur, CNIL le cas échéant), et vous aider à annoncer — à vos équipes, vos clients, vos partenaires — sans céder à la panique ni à la dissimulation.
Un scénario typique
Voici comment se déroule une intervention type. Ce n'est pas le récit d'un client : c'est la trame que suivent la plupart des crises que nous traitons, et que vos équipes peuvent répéter en exercice.
H0 — Le déclic
Un scénario typique : lundi 6 h 30, un employé découvre des fichiers renommés et une note de rançon. Réflexe qui sauve : débrancher le poste du réseau, ne rien éteindre, appeler le numéro d'astreinte. La première heure conditionne tout le reste.
H+2 — Confinement
L'équipe d'intervention qualifie la souche, isole les segments touchés, gèle les comptes compromis et suspend les sauvegardes en ligne pour les protéger. La direction est tenue informée avec des faits, pas des hypothèses.
J1 à J3 — Éradication
Cartographie du chemin d'attaque, suppression des accès persistants, réinstallation des postes critiques, vérification que les sauvegardes retenues sont antérieures à la compromission. C'est aussi le moment des décisions de communication.
J+3 et au-delà — Reprise
Restauration priorisée des applications vitales, surveillance renforcée pour détecter un retour de l'attaquant, puis rapport post-incident : ce qui s'est passé, ce qui a fonctionné, ce qui doit changer.
Retour d'expérience vidéo — en préparation
Nous préparons un retour d'expérience vidéo qui reprend la chronologie ci-dessus — H0, confinement, éradication, reprise — avec les décisions qui comptent à chaque étape et les erreurs qui coûtent des jours. La vidéo sera publiée ici dès qu'elle sera prête : aucune date fictive, aucun teaser trompeur. En attendant, la trame écrite reste disponible dans la section chronologie ci-dessus.
Vidéo bientôt disponible
H0 : débrancher sans éteindre. H+2 : confiner et informer la direction. J1 à J3 : éradiquer les accès persistants. J+3 : restaurer par priorités, puis capitaliser.
Budget
Fourchette indicative pour un contrat d'astreinte de PME : le montant dépend de la taille du parc, des délais garantis et du volume d'intervention inclus. À mettre en regard du coût moyen d'une cyberattaque pour une PME — chiffres sourcés. Une attaque en cours ? Chaque heure compte : contactez-nous directement via la page contact.
Après la crise
Chronologie, mesures prises, origine de l'attaque : notre rapport post-incident fournit les éléments que réclament les assureurs. Pour préparer votre dossier avant qu'un incident ne survienne, découvrez notre accompagnement cyberassurance.
Questions fréquentes
Débrancher les postes touchés du réseau sans les éteindre, ne pas supprimer de fichiers, prévenir votre interlocuteur sécurité et réserver les décisions de communication. Chaque redémarrage ou nettoyage précipité détruit des preuves et peut relancer la propagation.
Deux modèles : l'astreinte contractualisée, à partir de 4 000 € HT par an selon périmètre, qui garantit les délais et les tarifs ; ou l'intervention non préparée, facturée en régie à des conditions moins favorables et sans délai garanti. La première option coûte presque toujours moins cher au bout du compte.
Les autorités françaises le déconseillent : rien ne garantit la restitution, et le paiement finance les prochaines attaques. La vraie protection est préparée en amont — sauvegardes testées, segmentation, plan de reprise — c'est précisément ce que le contrat d'astreinte met en place.
Le SOC managé surveille en continu pour détecter tôt ; la réponse à incident intervient quand l'attaque est avérée pour contenir, éradiquer et restaurer. Les deux se complètent : un incident détecté tôt par un SOC coûte beaucoup moins cher à traiter.
Une violation de données personnelles doit être notifiée à la CNIL sous 72 heures si elle présente un risque pour les personnes. Les entités assujetties à NIS2 ont aussi des obligations de signalement à l'ANSSI. Le rapport post-incident documente ces éléments pour vous.
Témoignages et résultats
Une réponse à incident efficace se prépare à froid : sauvegardes testées, numéro d'astreinte connu, exercices de crise joués. Le jour J, seule la méthode compte.
Bibliotheque interne: 9 temoignages anonymises et 9 cas resultats disponibles.
Le SOC n a pas été vendu comme une usine à gaz. Le périmètre a été ajusté à nos sites, aux journaux utiles et au niveau de réponse réaliste pour notre équipe interne.
Responsable IT
Retail multi-sites · 150 à 350 collaborateurs
SOC managé
Détection rationalisée, reporting utile, temps de réaction réduit
Cadre commercial
PME avec peu de ressources internes qui devait arbitrer entre audit ponctuel, accompagnement RSSI et besoin de détection.
Choix d un niveau d engagement cohérent avec la maturité, les contraintes et les objectifs de preuve.
Industrie
ETI industrielle avec télémaintenance, dépendances tierces fortes et besoin de clarifier les priorités entre production, DSI et sécurité.
Cartographie des actifs critiques, revue des accès prestataires et séquencement réaliste entre preuves, sauvegardes et segmentation.
Capacités d'intervention
La crédibilité ne vient pas d'un organigramme fictif. Elle vient de capacités utiles, de modes de restitution sérieux et d'une lecture cohérente des arbitrages à rendre.
Gouvernance, SOC, cloud et IAM: les sujets qui structurent vraiment une trajectoire cyber serieuse pour une PME ou une ETI.
Évaluations de posture, revues techniques, tests d'intrusion, audit cloud, IAM et restitutions exploitables.
Détection continue, supervision utile, durcissement cloud, investigation et amélioration de la posture opérationnelle.
Pilotage, arbitrage, feuille de route, comités, exigences clients et trajectoires réglementaires.
Réduction du risque humain par la sensibilisation, les campagnes de phishing simulé et la culture sécurité.