Cyber-investigation : établir ce qui s'est réellement passé
Compromission d'un poste ou d'un compte, accès non autorisé, fraude numérique : nous collectons et préservons les éléments, reconstituons la chronologie et remettons un rapport documenté.
L'essentiel. Une cyber-investigation répond à trois questions : que s'est-il passé, quand, et par quel moyen. Elle repose sur la collecte et la préservation des traces numériques — journaux, fichiers, comptes, messageries — puis sur leur analyse sur des copies, afin que chaque constatation puisse être vérifiée par un tiers.
Quand faire appel à une investigation numérique
La plupart des dossiers commencent par un doute : un compte qui se connecte depuis un pays inconnu, un virement qu'une personne affirme ne pas avoir validé, un collaborateur parti avec des fichiers, une règle de transfert découverte dans une boîte mail. L'investigation transforme ce doute en une chronologie établie, ou constate qu'aucune trace ne le confirme.
- Compromission d'un ordinateur, d'un serveur ou d'un compte en ligne
- Accès non autorisé à une messagerie, à un espace cloud ou à Microsoft 365
- Fraude numérique : faux fournisseur, fraude au président, détournement de paiement
- Départ d'un collaborateur et soupçon de copie de données
- Incident de rançongiciel, pour établir ce qui a pu être copié avant le chiffrement
Ce que nous examinons
Ordinateurs et serveurs
Systèmes de fichiers, journaux d'événements, historique d'exécution, périphériques USB branchés, navigateurs, tâches planifiées et comptes créés : ce sont les traces qui permettent de dater une action et d'en identifier l'origine.
Cloud et Microsoft 365
Journaux d'audit et de connexion, règles de boîte aux lettres, partages, applications autorisées, appareils enregistrés. Leur durée de conservation est limitée et dépend de l'abonnement : c'est souvent le premier élément à geler.
Messageries et e-mails
En-têtes complets, domaines imités, adresses de réponse détournées, contrôles SPF, DKIM et DMARC, pour distinguer une simple usurpation d'adresse d'une intrusion réelle dans une boîte.
Traces effacées
Fichiers supprimés, corbeilles vidées, journaux purgés ou éléments antidatés, lorsque les supports permettent encore de les retrouver. Ce n'est jamais garanti, et le rapport le dit.
Collecte et préservation des éléments
Les supports sont copiés, et chaque copie reçoit une empreinte cryptographique SHA-256. L'analyse porte ensuite sur ces copies : l'original reste intact, et quiconque peut recalculer l'empreinte pour vérifier que rien n'a été modifié. Chaque opération est consignée — qui, quand, comment — dans une chaîne de conservation.
Pour les systèmes en service, l'objectif est de préserver sans paralyser l'activité : isoler du réseau plutôt qu'éteindre, geler les journaux avant qu'ils n'expirent, étendre leur durée de conservation. Notre guide sur la préservation de la preuve numérique détaille ces précautions.
Le rapport
Le rapport sépare les constatations de leur interprétation. Il décrit la méthode, les supports examinés, les empreintes, la chronologie reconstituée et les limites de l'analyse : ce qui a pu être établi, et ce qui ne l'a pas été. Il est rédigé pour être lu par une direction, un assureur, un avocat ou, le cas échéant, une juridiction. L'appréciation de la valeur probante des éléments appartient à cette dernière.
Déroulé
Comment se passe une investigation
-
1
Premier échange
Vous exposez les faits ; nous disons ce qui peut encore être établi et ce qu'il faut geler immédiatement.
-
2
Gel des traces
Copie des supports et des journaux, empreintes SHA-256, procès-verbal de remise. Sur site ou au cabinet.
-
3
Analyse
Reconstitution de la chronologie et du périmètre, sur les copies. Vos systèmes restent en service.
-
4
Rapport et restitution
Rapport signé, explication orale et appui pour les suites : assureur, notification, avocat.
Questions fréquentes
Faut-il éteindre l'ordinateur concerné ?
En général, non. L'isoler du réseau suffit le plus souvent, alors que l'extinction efface la mémoire vive, qui contient des traces utiles. En cas de doute, appelez-nous avant toute manipulation.
Pouvez-vous identifier l'auteur d'une intrusion ?
Les traces permettent parfois d'identifier un compte, une adresse technique ou un appareil. Nous écrivons ce qu'elles établissent et ce qu'elles n'établissent pas ; l'identification nominative d'une personne relève le plus souvent d'une enquête judiciaire.
Intervenez-vous pour les entreprises comme pour les particuliers ?
Oui. Les situations les plus fréquentes chez les particuliers sont présentées sur notre page particuliers ; pour les entreprises, voyez aussi vol ou fuite de données.
Un incident à éclaircir ?
Premier échange gratuit et confidentiel. Nous vous dirons ce qui peut encore être établi, et ce qu'il faut préserver dès maintenant.