Vol ou fuite de données : établir ce qui est réellement sorti
Départ de collaborateur, exfiltration, rançongiciel. Nous déterminons ce qui est sorti, quand, par quel canal — et nous documentons ce qui doit être notifié.
Les signes
Ce qui vous a alerté
Une fuite se constate rarement en direct. Elle se déduit de traces qui, prises isolément, ne prouvent rien — et qui, rapprochées, racontent une chronologie.
Un départ qui interroge
Copies massives vers une clé USB ou un cloud personnel dans les jours qui précèdent une démission, un licenciement ou la fin d'un contrat.
Des données réapparaissent ailleurs
Un concurrent connaît vos prix, votre fichier clients circule, un document interne est produit dans une procédure.
Une alerte technique
Connexion depuis un pays inhabituel, volume sortant anormal, règle de transfert créée dans une boîte mail, compte de service inconnu.
Une demande de rançon
Fichiers chiffrés, message d'extorsion, menace de publication sur un site de fuite.
Une précision utile : un chiffrement par rançongiciel ne dit pas si les données ont été copiées avant. C'est une question distincte, et c'est elle qui détermine vos obligations de notification.
L'analyse
Ce que nous cherchons, concrètement
Les supports sont copiés, puis analysés sur ces copies. Les systèmes en service restent disponibles pour votre activité — c'est ce qui rend les constatations vérifiables sans paralyser l'entreprise. La démarche complète est décrite sur notre page cyber-investigation.
01
Exfiltration
Branchements de périphériques USB, envois vers un cloud ou une messagerie personnelle, transferts volumineux, archives créées puis effacées.
02
Point d'entrée
Compte compromis, hameçonnage, accès distant exposé, vulnérabilité exploitée, maintien de l'accès par un compte ou une tâche planifiée.
03
Périmètre des données
Quels fichiers, quelles bases, combien de personnes concernées, et quelles catégories — la réponse conditionne la notification.
04
Chronologie
Journaux système, authentifications, historique cloud, horodatages : reconstitution ordonnée des faits, du premier accès au dernier.
05
Traces effacées
Journaux purgés, corbeilles vidées, fichiers supprimés ou antidatés, lorsque les supports permettent encore de les retrouver.
06
Le rapport
Constatations, méthode, empreintes SHA-256 et chaîne de garde. Rédigé pour être lu par un juge, un assureur ou l'Autorité de protection des données.
En attendant : préservez la preuve
À éviter absolument
- Réinstaller le poste ou le serveur concerné, ou le restaurer depuis une sauvegarde.
- Laisser expirer les journaux : beaucoup ne sont conservés que quelques jours.
- Supprimer le compte de la personne suspectée, ou réattribuer son matériel.
- Payer une rançon avant d'avoir établi ce qui est réellement sorti.
À faire
- Isoler du réseau sans éteindre : la mémoire vive contient des traces qui disparaissent à l'extinction.
- Geler les journaux et les sauvegardes existantes, et étendre leur durée de conservation.
- Consigner qui a fait quoi, et à quelle heure, depuis la découverte.
- Noter l'heure de la découverte : le délai de notification de 72 heures court à partir de là.
Déroulé
Comment se passe une investigation
-
1
Premier échange
Vous exposez les faits, nous posons les bonnes questions et nous disons ce qui peut encore être établi.
-
2
Gel des traces
Copie des supports et des journaux, empreintes SHA-256, procès-verbal de remise. Sur site ou au cabinet.
-
3
Analyse
Reconstitution de la chronologie et du périmètre, sur les copies. Vos systèmes restent en service.
-
4
Rapport et suites
Remise du rapport signé, appui pour la notification, la plainte, l'assureur ou la procédure.
Questions fréquentes
Questions fréquentes sur le vol de données
Dois-je notifier l'Autorité de protection des données ?
Si la fuite touche des données personnelles et présente un risque pour les personnes concernées, oui, dans les 72 heures suivant la prise de connaissance. Nos constatations documentent ce qui a fuité, ce qui est la pièce manquante de la plupart des notifications.
Peut-on prouver qu'un ancien salarié a copié des fichiers ?
Souvent, oui : branchements USB, envois, ouvertures de fichiers et horodatages laissent des traces durables. Encore faut-il que le poste n'ait pas été réattribué ni réinstallé.
Faut-il arrêter les serveurs ?
Non. Isoler du réseau suffit le plus souvent, et éteindre détruit la mémoire vive. Nous intervenons sur des copies pour que votre activité continue.
Et si les journaux ont déjà disparu ?
Il reste presque toujours autre chose : postes de travail, journaux cloud, sauvegardes, équipements réseau. Nous vous dirons franchement ce qui est encore établissable, et ce qui ne l'est plus.
Faites analyser l'incident
Premier échange gratuit et confidentiel. Nous vous dirons franchement ce qui peut encore être établi, et dans quel délai.
- Secret professionnel
- Devis avant intervention
- Inscrit au registre national belge des experts judiciaires