Pôle
Réponse à incident : reprendre la main après une cyberattaque
Rappel sous 4 h ouvrées, lun.-ven. 9 h-18 h. Appel de cadrage gratuit et sans engagement.
- 1 900 € HT
- Intervenant nommé dans la proposition, CV joint
- Aucune licence revendue
- Rappel sous 4 h ouvrées
Réponse à incident · 01
Qu'est-ce que la réponse à incident ?
La réponse à incident consiste à reprendre le contrôle d'un système d'information compromis : confirmer l'attaque, la contenir, en établir la portée exacte, éliminer la présence de l'attaquant et rétablir une activité sur des bases saines. Elle demande d'agir vite sans détruire les traces dont dépendront l'enquête, l'assureur et, le cas échéant, la plainte.
Nous suivons une méthode écrite, alignée sur le NIST SP 800-61 (révision 3, 2025) et le guide de gestion de crise cyber de l'ANSSI. Chaque prélèvement est documenté (empreintes, horodatage, scellés) pour préserver la chaîne de conservation des preuves.
Réponse à incident · 02
Nos horaires, sans détour
Nous intervenons du lundi au vendredi, de 9 h à 18 h, avec un rappel sous 4 h ouvrées. En dehors de ces horaires, laissez un message ou remplissez le formulaire d'incident : nous vous rappelons dès la reprise. En attendant, appliquez les premiers gestes et contactez 17Cyber (17cyber.gouv.fr).
La nuit et le week-end, nous intervenons si un intervenant est disponible, sans garantie de délai, avec une majoration (nuit et week-end +50 %). Le contrat de réponse à incident, qui ouvrira en juillet 2027, fixera un délai de prise en charge dans le contrat.
Réponse à incident · 03
Les étapes de notre réponse
Chaque étape conditionne la suivante : un confinement précipité peut effacer des traces, une éradication incomplète laisse une porte ouverte.
Qualification : confirmer l'incident, en cerner la nature (rançongiciel, vol de données, messagerie compromise) et le périmètre initial.
Confinement : isoler les systèmes touchés et couper les accès de l'attaquant, sans effacer les preuves.
Investigation : collecter et analyser journaux, images disque et mémoire vive pour reconstituer la chronologie et trouver le point d'entrée.
Éradication : supprimer les implants, les comptes créés par l'attaquant et ses points de persistance sur tout le parc.
Reprise : restaurer ou reconstruire sur des sauvegardes vérifiées, et durcir ce qui a été exploité.
Retour d'expérience : corriger les causes et renforcer la détection.
Réponse à incident · 04
Rançongiciel : les premières décisions
Le rançongiciel reste l'attaque la plus destructrice pour une PME : serveurs chiffrés, données volées avant le chiffrement, activité à l'arrêt. Selon le Panorama de la cybermenace 2025 de l'ANSSI (publié en mars 2026), 48 % des compromissions par rançongiciel traitées par l'agence touchaient des TPE, PME ou ETI, et 11 % des collectivités.
Les premières décisions pèsent lourd : quoi isoler, faut-il couper Internet, quand restaurer. Avant toute restauration, il faut vérifier l'intégrité des sauvegardes et mesurer ce qui a été volé, sinon on réinstalle l'attaquant avec les données. Nous vous aidons à ne pas transformer un incident maîtrisable en sinistre complet.
Réponse à incident · 05
Après l'incident : ce que vous recevez
Un rapport d'incident : chronologie, point d'entrée, périmètre touché, données concernées, indicateurs de compromission et actions menées. Il sert à vos obligations : notification à la CNIL dans les 72 heures en cas de violation de données personnelles, déclaration à votre assureur, dépôt de plainte.
Le retour d'expérience débouche sur un plan de remédiation priorisé. La suite peut passer par un audit, un test d'intrusion ou un RSSI à temps partagé pour que le scénario ne se reproduise pas.
Réponse à incident · 06
Combien coûte une réponse à incident ?
Prix hors taxes, lus dans notre grille tarifaire publique.
Voir tous nos tarifsL'intervention démarre par un forfait de mobilisation de 1 900 € HT, qui couvre la première journée et le cadrage, puis 1 500 € HT par jour aux heures ouvrées (nuit et week-end +50 %). Une intervention d'urgence dure en général 3 à 10 jours selon l'étendue.
Les autres prestations : levée de doute forensic à partir de 4 500 € HT, investigation complète à 950 € HT par jour, remédiation et reconstruction à partir de 850 € HT par jour, gestion de crise à partir de 1 500 € HT par jour. Le contrat de réponse à incident démarrera à 3 600 € HT par an.
Déroulé
Comment se passe une mission
Durée type : 3 à 10 jours pour une intervention d'urgence. Les dates exactes figurent dans la proposition, avec le nom de l'intervenant.
- 01
Appel
Appel au 02 43 25 99 59, lun.-ven. 9 h-18 h : qualification de l'incident et premiers gestes à faire.
- 02
Mobilisation
Bon de commande court, puis intervention à distance ou sur site : confinement sans détruire les preuves.
- 03
Investigation
Collecte et analyse des traces pour établir le point d'entrée, la chronologie et le périmètre touché.
- 04
Éradication et reprise
Suppression des accès de l'attaquant, restauration sur des bases saines, durcissement.
- 05
Retour d'expérience
Rapport d'incident, indicateurs de compromission, plan pour éviter que cela recommence.
Les prestations de ce pôle et leurs prix
Chaque prestation peut se commander seule. Les prix sont hors taxes.
Nos guides sur le sujet
Questions fréquentes
Vous êtes attaqué en ce moment : que faire ?
Ne payez rien, n'éteignez pas brutalement vos machines et ne restaurez rien dans la précipitation. Débranchez du réseau ce qui est manifestement touché, notez l'heure des premiers symptômes, puis appelez-nous au 02 43 25 99 59 (lun.-ven. 9 h-18 h). En dehors de ces horaires, contactez 17Cyber (17cyber.gouv.fr) et remplissez notre formulaire d'incident : nous vous rappelons dès la reprise.
Faut-il payer la rançon ?
Nous ne le recommandons pas : le paiement finance les attaquants, ne garantit pas la récupération des données et vous expose à un nouveau chantage. Notre priorité est de redémarrer à partir de sauvegardes saines. La décision vous appartient, prise en connaissant ce qui a réellement été chiffré et volé.
Intervenez-vous la nuit et le week-end ?
Nos horaires garantis sont du lundi au vendredi, de 9 h à 18 h. La nuit et le week-end, nous intervenons si un intervenant est disponible, sans garantie de délai, avec une majoration (nuit et week-end +50 %). Le contrat de réponse à incident, qui ouvrira en juillet 2027, fixera un délai de prise en charge.
Combien de temps dure une réponse à incident ?
Le confinement se joue dans les premières heures. L'investigation et l'éradication prennent de quelques jours à quelques semaines selon l'étendue. La reconstruction d'un annuaire lourdement compromis peut demander davantage. Nous vous donnons une estimation dès la qualification.
Peut-on retrouver l'auteur et récupérer les données volées ?
L'investigation établit le mode opératoire et rassemble des éléments utiles à l'enquête, mais l'attribution relève des autorités. Les données volées ne se récupèrent pas : il faut en mesurer précisément la nature pour notifier et limiter les conséquences.
Doit-on préparer la réponse à incident avant d'être attaqué ?
Oui. Un plan de réponse testé, des sauvegardes hors ligne vérifiées et un annuaire de crise à jour changent l'issue d'une attaque. Un exercice de crise et un plan de continuité se préparent dès aujourd'hui.
Un appel de 20 minutes suffit pour cadrer votre besoin
Nous rappelons sous 4 h ouvrées, du lundi au vendredi, de 9 h à 18 h. La proposition écrite suit sous 48 h ouvrées : périmètre, prix, dates, nom et CV de l'intervenant.