Que faire immédiatement après un piratage

Le doute est levé : un compte a bien été piraté, ou un appareil est infecté. Le stress monte, l'envie d'agir dans tous les sens aussi. Or, dans ces moments-là, l'ordre des gestes compte autant que les gestes eux-mêmes. Cette leçon vous donne une marche à suivre simple : stopper, sécuriser, prévenir, réparer, surveiller.

Les leçons précédentes vous ont appris à reconnaître les signes. Voici maintenant la procédure. Imprimez-la ou recopiez-la dans votre carnet : l'avoir sous la main évite d'improviser sous le stress, comme le fait un plan d'évacuation pour un incendie.

Principe général : calme, ordre, preuves

Quelques principes valent pour tous les cas :

• Ne paniquez pas. La plupart des incidents se maîtrisent s'ils sont traités vite et dans le bon ordre ;
• Agissez depuis un appareil sain, pas depuis l'appareil que vous soupçonnez infecté ;
• Conservez les preuves : captures d'écran, e-mails, messages, relevés, heures. Elles serviront pour la banque, l'assurance, la plainte ;
• Ne payez jamais de rançon, ne répondez pas aux menaces ni au chantage : payer n'apporte aucune garantie et encourage les attaquants ;
• Ne cherchez pas à « contre-attaquer » ni à retrouver l'attaquant : c'est illégal, inefficace et dangereux.

Étape 1 : stopper la propagation

Objectif : empêcher que l'incident ne s'étende.

• Si un appareil est infecté : déconnectez-le d'internet (mode avion, câble réseau, désactivation du Wi-Fi). Ne le jetez pas, ne le réinitialisez pas tout de suite : vous pourriez avoir besoin d'aide pour comprendre ce qui s'est passé ;
• Si un rançongiciel a chiffré vos fichiers : débranchez aussi les disques externes et sauvegardes connectées, pour ne pas les laisser chiffrer à leur tour (c'est pourquoi la règle 3-2-1 prévoit une copie hors ligne) ;
• Si un compte est piraté : l'étape suivante est de reprendre la main.

Étape 2 : reprendre la main sur les comptes

Depuis un appareil sain :

1. Changez le mot de passe du compte compromis, en choisissant une phrase de passe longue et unique (chapitre 2). Si vous ne pouvez plus vous connecter, utilisez la procédure de récupération du service ;
2. Déconnectez toutes les sessions et tous les appareils connectés : un attaquant déjà connecté peut rester actif même après le changement de mot de passe. La plupart des services offrent « se déconnecter de tous les appareils » ;
3. Vérifiez et corrigez les paramètres de récupération : adresse de secours, numéro de téléphone, questions de sécurité. Les attaquants les modifient pour garder l'accès ;
4. Activez ou renforcez la double authentification, de préférence avec une application ou une clé de sécurité plutôt que par SMS ;
5. Supprimez les règles de messagerie suspectes (redirection automatique vers une adresse inconnue, suppression de certains messages) et les applications tierces autorisées que vous ne reconnaissez pas ;
6. Changez les mots de passe des autres comptes où vous utilisiez le même mot de passe (c'est précisément pourquoi on utilise un mot de passe unique par compte), en commençant par les plus sensibles : messagerie principale, banque, achats, administrations.

Étape 3 : nettoyer ou remettre à neuf un appareil infecté

Pour un ordinateur ou un téléphone potentiellement infecté :

1. Lancez une analyse complète avec l'outil de sécurité du système, ou un outil reconnu, après mise à jour ;
2. Si le doute persiste, ou en cas de rançongiciel, la solution la plus fiable est de réinstaller le système à partir d'un support officiel, après avoir sauvegardé les fichiers personnels sains (en les analysant, car ils pourraient eux-mêmes être infectés) ;
3. Restaurez vos données depuis une sauvegarde saine (chapitre 3), en vérifiant qu'elle date d'avant l'infection ;
4. Réinstallez les applications depuis les sources officielles et mettez tout à jour avant de vous reconnecter à vos comptes ;
5. Changez les mots de passe après avoir nettoyé l'appareil, ou depuis un autre appareil, pour ne pas les exposer à nouveau.

Si vous n'êtes pas à l'aise, faites appel à un professionnel de confiance, ou au dispositif d'assistance (leçon suivante). Des outils de déchiffrement existent parfois pour certains rançongiciels, mais seuls des acteurs reconnus peuvent vous orienter vers des solutions fiables : méfiez-vous des offres de « récupération garantie ».

Étape 4 : prévenir

• Vos contacts : si un compte de messagerie ou de réseau social a diffusé des liens frauduleux, prévenez vos proches et collègues par un autre canal, en leur demandant de ne pas ouvrir les messages reçus ;
• Votre banque : en cas d'identifiants bancaires saisis sur un faux site, d'opération non autorisée ou de carte compromise, appelez immédiatement votre banque (numéro figurant au dos de la carte ou sur le site officiel) pour faire opposition et contester les opérations. Les délais de contestation sont limités : agissez sans attendre ;
• Le service concerné : signalez le piratage au support du réseau social ou de la plateforme, qui peut aider à récupérer le compte ;
• Votre employeur si l'incident touche un appareil ou des données professionnels (leçon 4 du chapitre 6) ;
• Les autorités et dispositifs d'aide : voir la leçon suivante.

Cas particuliers fréquents

Étape 5 : surveiller et consolider

Un incident ne s'arrête pas à la remise en état :

• Surveillez vos comptes pendant plusieurs semaines : connexions, relevés bancaires, alertes ;
• Soyez attentif aux tentatives d'hameçonnage qui exploitent ce qui a été volé ;
• Comprenez comment cela s'est produit : lien cliqué, mot de passe réutilisé, logiciel non mis à jour, fuite chez un tiers ? Notez la cause probable ;
• Corrigez la cause : activez la double authentification, adoptez un gestionnaire de mots de passe, mettez à jour, sauvegardez, etc. Un incident bien exploité renforce votre sécurité ;
• Sans culpabilité : les attaquants sont professionnels, motivés et ciblent des personnes ordinaires. Ce qui compte, c'est ce que vous en tirez.

Carnet de sécurité : page 7, ma procédure d'urgence

Rédigez, sur une page, votre propre fiche réflexe en cinq lignes, par exemple :

1. Je ne panique pas, j'utilise un appareil sain et je garde les preuves ;
2. Je coupe la connexion de l'appareil suspect ;
3. Je change le mot de passe de la messagerie, déconnecte toutes les sessions, active la double authentification ;
4. J'appelle ma banque si de l'argent ou une carte est concerné ;
5. Je préviens mes contacts, signale l'incident et surveille mes comptes.

Ajoutez-y les numéros utiles : opposition carte, banque, opérateur mobile, contact informatique professionnel.

À vous de jouer

Nora a saisi son mot de passe de messagerie sur une fausse page de connexion. Elle l'a changé aussitôt, mais elle remarque deux jours plus tard que ses mails sont toujours lus par quelqu'un. Qu'a-t-elle probablement oublié de faire ?

Reste une question : à qui s'adresser quand on se sent dépassé, ou quand le préjudice mérite une plainte ? C'est l'objet de la prochaine leçon.