5.1 J'ai cliqué : les 5 minutes pour agir et limiter la casse

Le rapport annuel Cost of a Data Breach d'IBM chiffre l'enjeu du délai : en 2025, le coût moyen mondial d'une compromission de données s'établit à 4,44 millions de dollars, en baisse de 9 % sur un an. Le rapport attribue explicitement cette baisse à l'accélération de la détection et de l'endiguement, dont la durée moyenne cumulée est tombée à 241 jours — 181 jours pour détecter, 60 pour contenir — son niveau le plus bas depuis près de dix ans. Autrement dit : ce n'est pas l'attaque qui coûte cher, c'est le temps qu'elle passe sans être vue.

Cycle typique d'un ransomware après clic :

• T+0 minutes : clic → téléchargement du dropper
• T+1 à 5 minutes : exécution → installation du loader, prise de persistance
• T+30 à 60 minutes : reconnaissance interne, escalade de privilèges, désactivation EDR
• T+1 à 24 heures : mouvement latéral, identification des serveurs critiques, exfiltration des données
• T+24 à 72 heures : déploiement du payload de chiffrement, démarrage du ransomware

La fenêtre des premières minutes est la fenêtre d'or pour bloquer toute la chaîne. Une déconnexion réseau immédiate empêche la communication avec le serveur de contrôle (C2) et arrête souvent l'attaque avant qu'elle ne s'établisse. Un signalement à la DSI dans les 5 minutes permet de bloquer les comptes compromis avant qu'ils ne soient utilisés ailleurs.

Statistiquement, la première cause d'aggravation d'un incident n'est pas le clic initial — c'est le silence du salarié qui a cliqué. Par honte, par peur d'une sanction, par espoir que « ça va passer », beaucoup de victimes attendent des heures voire des jours avant de signaler. Pendant ce temps, l'attaque progresse.

Quelques chiffres :

• Un incident signalé dans les minutes se traite par un blocage de compte et une réinitialisation. Le même incident découvert plusieurs jours plus tard, par ses conséquences, se traite en cellule de crise.
• Le délai n'est presque jamais technique : il est humain. Ce n'est pas l'attaquant qui gagne du temps, c'est la victime qui hésite à parler.
• Aucune sanction disciplinaire n'a jamais réduit le nombre de clics. En revanche, la crainte d'une sanction réduit très efficacement le nombre de signalements — exactement l'inverse de l'effet recherché.

Côté management, le message à faire passer doit être limpide et martelé : « Signaler immédiatement un clic accidentel ne sera JAMAIS sanctionné. Cacher un incident, en revanche, sera sanctionné. » Cette politique « no blame » est explicitement recommandée par l'ANSSI, le NIST et toutes les normes modernes (ISO 27001:2022).

La déconnexion réseau immédiate est la mesure n°1 à appliquer. Pourquoi ?

• Coupe la communication avec le C2 (serveur de commande et contrôle) — la plupart des malwares ont besoin de cette communication pour télécharger leur charge utile et exfiltrer
• Empêche le mouvement latéral vers d'autres machines du réseau interne
• Stoppe l'exfiltration de fichiers déjà compromis
• Préserve la machine pour analyse forensique (à condition de ne pas éteindre)

Méthode pratique :

• Ethernet : débrancher physiquement le câble
• Wi-Fi : désactiver le Wi-Fi via le bouton physique (touche F12 sur la plupart des laptops) ou les paramètres réseau. Le simple fait de « se déconnecter du réseau » suffit, pas besoin d'oublier le réseau.
• Téléphone / mobile : activer le mode avion immédiatement
• Ne pas éteindre la machine : éteindre détruit la mémoire vive (RAM) qui contient des indices forensiques précieux (clés de chiffrement, processus en cours, connexions actives)

Si vous avez saisi des identifiants sur le faux site (ou s'il y a doute), la priorité est de changer immédiatement le mot de passe du service concerné — depuis un autre appareil, pas celui qui a été potentiellement compromis (la machine compromise peut contenir un keylogger).

Méthode :

1. Identifier le service concerné (ex : votre email Microsoft 365, votre banque, votre cloud)
2. Depuis un autre appareil sain (téléphone perso, autre ordinateur familial), vous connecter au service
3. Changer le mot de passe immédiatement (utiliser le gestionnaire pour générer un nouveau mot de passe fort)
4. Vérifier le MFA : si vous avez configuré une 2FA, vérifier qu'elle est toujours bien configurée et que vous en avez le contrôle. Si possible, regénérer les codes de secours.
5. Examiner les activités récentes : Microsoft 365 / Google Workspace / iCloud permettent de voir les sessions actives. Déconnecter toutes les sessions inconnues.
6. Changer également tous les autres comptes utilisant le même mot de passe (raison pour laquelle on ne réutilise jamais ses mots de passe)

Si vous aviez activé un MFA solide (TOTP, FIDO2, Passkey), même un mot de passe compromis ne suffit pas à l'attaquant — vous gagnez du temps pour réagir. C'est la preuve de la valeur du MFA en conditions réelles.

Pendant que la DSI prend en charge la suite, votre rôle est de documenter tout ce dont vous vous souvenez, sans tarder (la mémoire faiblit vite). Le plus utile :

• Heure exacte du clic / de l'ouverture / de la saisie
• Capture d'écran du mail / SMS / message reçu (si encore accessible)
• URL exacte du faux site, si vous vous en souvenez (lisible dans l'historique du navigateur)
• Données saisies : identifiant, mot de passe (vous n'avez pas à le redire mais préciser quel compte), informations bancaires, autres
• Actions déjà effectuées : déconnexion, changement de mot de passe (heure)
• Témoins éventuels : collègues qui ont vu votre écran, qui ont reçu le même mail
• État de la machine : comportement bizarre (lenteur, fenêtres pop-up, ralentissement) qui pourrait indiquer un malware actif

Cette documentation, transmise à la DSI, permet à l'équipe SOC de :

• Évaluer rapidement l'ampleur (1 personne touchée ou campagne large)
• Bloquer les autres comptes potentiellement compromis
• Alerter les autres salariés sur la campagne en cours
• Préparer, le cas échéant, les éléments de la notification à la CNIL

Si votre écran affiche un message de demande de rançon (chiffrement de fichiers, fond d'écran modifié, alertes pop-up insistantes), vous êtes face à un ransomware déjà déclenché. Conduite :

1. Photographier l'écran avec un téléphone (ne pas faire de capture sur la machine compromise)
2. Débrancher Ethernet, désactiver Wi-Fi immédiatement — même si l'attaque semble déjà avancée, cela limite la propagation aux autres machines
3. Ne pas éteindre la machine (préservation forensique de la RAM)
4. Alerter la DSI / RSSI par téléphone — c'est une urgence majeure, ne pas attendre une réponse email
5. Alerter les collègues immédiatement à proximité pour qu'ils déconnectent leurs machines si suspicion de propagation
6. Ne pas payer la rançon, ne pas tenter de négocier — c'est la décision de la direction et de la cellule de crise, pas du salarié