Découvrir qu'un compte ou un appareil a été piraté provoque deux réflexes, tous deux mauvais : tout effacer pour « nettoyer », ou ne rien faire en espérant que cela passe. Le premier détruit les preuves, le second laisse l'attaquant en place.
Voici l'ordre dans lequel procéder.
Première heure : reprendre le contrôle
1. Commencez par votre messagerie principale
C'est contre-intuitif quand c'est votre compte bancaire qui est touché, mais c'est la bonne priorité. Votre adresse e-mail permet de réinitialiser le mot de passe de tous vos autres services. Tant qu'un attaquant la contrôle, sécuriser le reste ne sert à rien : il reprendra la main dans la foulée.
Changez le mot de passe depuis un autre appareil que celui dont vous soupçonnez la compromission, puis activez la double authentification.
2. Chassez les accès résiduels
Changer le mot de passe ne suffit pas. Un attaquant méthodique laisse des portes ouvertes. Dans les paramètres de votre compte, vérifiez et supprimez :
- les sessions actives sur d'autres appareils — déconnectez-les toutes ;
- les règles de transfert et de redirection d'e-mails : une redirection discrète permet de continuer à lire votre courrier sans jamais se reconnecter ;
- les adresses de récupération et numéros de téléphone que vous ne reconnaissez pas ;
- les applications tierces autorisées à accéder au compte ;
- les clés d'application ou mots de passe spécifiques générés à votre insu.
Cette étape est celle qu'on oublie le plus souvent, et c'est celle qui explique la plupart des « repiratages » deux semaines plus tard.
3. Prévenez les personnes exposées
Un compte piraté sert presque toujours à atteindre vos contacts. Prévenez votre entourage professionnel et personnel qu'ils peuvent recevoir des messages frauduleux en votre nom. Si des données de clients sont concernées, l'information relève d'une obligation, pas d'un simple geste commercial.
Si un appareil est compromis
Ordinateur qui ralentit anormalement, fenêtres qui s'ouvrent seules, fichiers renommés, antivirus désactivé sans intervention de votre part :
- Déconnectez-le du réseau — câble débranché, Wi-Fi coupé — pour stopper l'exfiltration et la propagation.
- Ne l'éteignez pas. L'extinction efface la mémoire vive, où se trouvent souvent les traces les plus révélatrices : processus actifs, connexions en cours, clés de chiffrement.
- Ne le réinstallez pas avant analyse. Le formatage résout parfois le problème, mais il supprime définitivement toute possibilité de comprendre ce qui s'est passé et de le prouver.
- N'utilisez plus cet appareil pour changer vos mots de passe : s'il enregistre vos frappes, vous livrez les nouveaux.
Cas particulier : le rançongiciel
Vos fichiers sont chiffrés et un message réclame un paiement. Trois règles :
- Ne payez pas. Rien ne garantit la restitution, une partie des victimes ne reçoit jamais de clé de déchiffrement fonctionnelle, et le paiement vous désigne comme cible solvable pour une prochaine fois.
- Isolez sans éteindre les machines touchées, et débranchez immédiatement les sauvegardes connectées au réseau : elles sont la cible suivante.
- Faites analyser avant de restaurer. Restaurer sur un système encore compromis relance le chiffrement quelques jours plus tard.
Ce qu'il ne faut surtout pas faire
- Supprimer les messages de l'attaquant. Ils sont votre principale preuve, aussi désagréables soient-ils à conserver.
- Répondre ou négocier sans conseil. Toute réponse confirme que le compte est actif et surveillé.
- Payer un « hacker » qui promet de récupérer votre compte. Ces annonces sont elles-mêmes des escroqueries, qui visent les personnes déjà vulnérables.
- Attendre. Les journaux de connexion des hébergeurs ne sont conservés que quelques semaines. Passé ce délai, l'information qui aurait permis de remonter à l'auteur n'existe plus.
Constituer le dossier
En parallèle des mesures techniques, rassemblez dès maintenant :
- la date et l'heure auxquelles vous avez constaté les faits ;
- les e-mails d'alerte de connexion reçus, sans les supprimer ;
- les captures d'écran des messages, profils et transactions concernés ;
- la liste des comptes et appareils touchés ;
- les éventuels relevés bancaires correspondants.
Ces éléments servent au dépôt de plainte, et déterminent ce qu'une analyse technique pourra ensuite établir.
Un piratage se traite comme une scène : on sécurise d'abord, on préserve ensuite, on analyse enfin. Inverser cet ordre coûte presque toujours la possibilité de comprendre.
Si vous êtes concerné, nous intervenons pour reprendre le contrôle des accès, déterminer le point d'entrée et l'étendue réelle de la compromission, et documenter les faits de façon exploitable devant les autorités.