Face à un site ou un serveur compromis, la réponse suit un ordre : qualifier l’incident, le confiner, conserver les traces, remettre en service sur une base saine, corriger la faille, puis tenir vos obligations. Si des données personnelles sont touchées, la violation se notifie à la CNIL sous 72 heures. Le devis d’intervention est gratuit.
Un incident se reconnaît à des signes concrets : pages modifiées, redirections vers des sites étrangers, charge anormale du serveur, e-mails de spam sortants, fichiers inconnus, comptes administrateurs que personne n’a créés, alerte de l’hébergeur ou du navigateur. Les premières heures déterminent souvent la suite, car les gestes précipités effacent des preuves ou laissent l’attaquant en place.
Cette page décrit la méthode d’une réponse à incident pour une entreprise. Pour un cas précis, voyez aussi serveur piraté, que faire ou site WordPress piraté.
Ce que nous faisons
Qualification
Nous cherchons d’abord à comprendre ce qui est touché : un site, plusieurs sites sur le même serveur, la base de données, un compte d’hébergement, le serveur entier. Nous relevons la chronologie à partir des journaux d’accès, des dates de modification des fichiers et des connexions récentes. L’objectif est de savoir ce que l’attaquant a pu lire, modifier ou exécuter.
Confinement
Selon la situation, nous isolons le serveur, bloquons des adresses, désactivons les comptes suspects, coupons les services exposés ou plaçons le site derrière une page de maintenance. Le confinement protège vos visiteurs et évite que l’attaque se propage. Il est décidé avec vous, car il peut interrompre l’activité.
Conservation des traces
Avant tout nettoyage, nous préservons ce qui permet de comprendre et de prouver : copie des journaux, instantané du disque ou archive des répertoires du site, liste des processus et des connexions réseau. Ces éléments servent à retrouver la faille, et à étayer une plainte ou un dossier d’assurance.
Remise en service et correction de la faille
Un site nettoyé sans cause trouvée est souvent réinfecté. Nous identifions le point d’entrée : extension vulnérable, mot de passe faible, clé SSH volée, service exposé. Nous restaurons depuis une sauvegarde antérieure à la compromission, ou reconstruisons sur un système propre, puis nous renouvelons tous les secrets. Le nettoyage du code est décrit dans nettoyer un site infecté.
Obligations et plainte
Si l’incident a exposé des données personnelles, le responsable de traitement doit notifier la violation à la CNIL dans les 72 heures après en avoir pris connaissance, et informer les personnes concernées lorsque le risque pour elles est élevé. Une plainte peut être déposée auprès de la police ou de la gendarmerie, avec les traces conservées. Nous fournissons un rapport technique daté ; la qualification juridique reste de votre ressort ou de celui de votre conseil.
Décrire ce que vous observez
Vous nous indiquez les signes constatés, l’hébergeur, les dates et les changements récents. Si vous n’avez touché à rien, dites-le : cela nous aide à séparer l’attaque de vos propres manipulations.
Gestes à faire en attendant
Ne supprimez pas les fichiers suspects et ne réinstallez pas tout dans l’urgence. Notez l’heure à laquelle vous avez constaté l’incident, faites une copie des journaux si vous y avez accès, et changez les mots de passe depuis un poste que vous savez sain.
Une qualification sans modification
Nous vous indiquons l’accès nécessaire et nous vous guidons pour nous le donner, par téléphone si besoin, de préférence depuis l’hébergeur si le serveur est déjà compromis, car nous le traitons comme non fiable. Nous qualifions l’incident sans rien modifier. Tout ce que nous voyons reste strictement confidentiel.
Un devis écrit et gratuit
Établi après la qualification, le devis décrit le confinement et la remise en service. Tout est sur devis, y compris la nuit et le week-end, car l’ampleur de l’incident détermine le travail. Nous ne promettons pas de délai ; il dépend de la cause.
Intervention après règlement
Le devis accepté par écrit et réglé en totalité, nous intervenons, avec une sauvegarde avant toute modification.
Un rapport et des recommandations
À la fin, vous recevez un compte rendu : chronologie, cause probable, actions menées, secrets renouvelés, durcissements recommandés, puis les mots de passe à changer. Il peut accompagner votre déclaration à la CNIL ou votre plainte. Le travail est garanti 30 jours : un incident traité qui réapparaît dans ce délai est repris sans frais.
Questions fréquentes
Dois-je prévenir la CNIL après le piratage de mon site ?
Si des données personnelles ont été consultées, copiées, modifiées ou perdues, oui : la violation se notifie à la CNIL dans les 72 heures suivant sa découverte, via son téléservice. Si l’incident ne touche aucune donnée personnelle, elle se consigne simplement dans votre registre interne.
Faut-il porter plainte ?
C’est recommandé, surtout en cas de vol de données, d’extorsion ou de préjudice financier. La plainte se dépose auprès de la police ou de la gendarmerie, avec les journaux, captures et chronologie. Elle peut aussi être utile à votre assurance.
Peut-on remettre le site en ligne avant d’avoir trouvé la faille ?
C’est possible pour limiter la perte d’activité, sur une base saine et avec des accès renouvelés, mais le risque de réinfection reste élevé tant que la cause n’est pas corrigée. Nous vous disons ce qui est raisonnable selon le cas.
Que faire si mon serveur est chiffré par un rançongiciel ?
Isolez-le du réseau depuis la console de l’hébergeur et ne payez pas la rançon, comme le déconseillent les autorités. La démarche complète figure sur la page ransomware sur serveur, avec l’état des sauvegardes et la reconstruction sur un système propre.
Intervenez-vous la nuit pour un incident ?
Oui, sur devis, jour et nuit, week-end compris. Nous ne garantissons pas de délai de résolution, car il dépend de l’étendue de la compromission et de l’accès que votre hébergeur peut nous accorder.
Sources
- Notifier une violation de données personnelles — CNIL
- Les violations de données personnelles — CNIL
- Guide d’hygiène informatique — ANSSI