Urgence · Poste ou serveur infecté
Poste ou serveur infecté : isolez-le sans l’éteindre, voici les gestes à faire.
Poste isolé : vérification 490 € HT. Serveur : intervention dès 1 500 € HT la première journée.
Malware repéré, ralentissements inexpliqués, connexions suspectes : nous vous guidons par écrit pour isoler la machine, puis nous trouvons la porte d’entrée et assainissons, par un nettoyage ou une reconstruction selon le cas.
Premier retour écrit le jour ouvré même. Nous ne tenons pas de permanence téléphonique ni d’astreinte 24 h sur 24 : nous répondons vite, par écrit.
- Prestataire référencé sur Cybermalveillance.gouv.fr
- Offreur de solutions référencé en cybersécurité par Grand Est Développement
- Prix publics
Les gestes
À faire tout de suite,dans cet ordre.
Un ordinateur ou un serveur n’est plus digne de confiance. Je veux savoir ce qui s’est passé, et repartir sur du sain.
Dans cet ordre : couper la communication avec l’attaquant, garder les preuves, changer les mots de passe depuis un appareil sain, puis nous écrire.
Comprendre
Poste ou serveur :deux enjeux différents.
Une infection ne s’annonce pas toujours par un message. Le plus souvent, ce sont des signaux indirects. Le premier travail est de savoir s’il s’agit d’un poste ou d’un serveur, car la réponse n’est pas la même.
- Un poste ou un serveur qui ralentit brutalement, un processus inconnu qui consomme beaucoup de mémoire ou de processeur.
- Des connexions sortantes régulières vers une adresse inconnue : la machine est peut-être pilotée à distance.
- Un antivirus signalé comme désactivé, arrêté ou qui ne se relance pas.
- Un compte utilisateur ou une tâche planifiée inconnus, qui se déclenche à intervalle régulier.
Un signe isolé ne prouve rien : nous n’affirmons un piratage qu’avec des preuves. Si le serveur héberge aussi votre site, notre offre Secours Site traite le site en complément.
Poste de travail infecté
Le poste d’un salarié est rarement la cible finale. C’est souvent une tête de pont : l’attaquant s’en sert pour voler des identifiants ou rebondir vers le reste du réseau. L’urgence est de couper son accès au réseau. Un nettoyage ciblé suffit souvent.
Serveur de production infecté
Un serveur touche potentiellement tout le système d’information : bases de données, applications métier, sauvegardes accessibles. La question centrale : la machine peut-elle être nettoyée en confiance, ou doit-elle être reconstruite depuis une image saine ? Sur un serveur compromis en profondeur, la reconstruction est plus fiable, et nous ne promettons jamais une garantie absolue.
Ce que fait M-KIS
Comment nous intervenons,en 4 étapes.
- 1
Isoler
Consignes écrites le jour ouvré même ; machine coupée du réseau sans extinction, pour stopper la propagation et garder les preuves.
- 2
Comprendre
Copie de l’état de la machine, journaux, identification du malware et de la porte d’entrée, avec le degré de certitude que nous précisons.
- 3
Nettoyer ou reconstruire
Poste : nettoyage ciblé et identifiants changés. Serveur compromis en profondeur : reconstruction depuis une image saine, données restaurées depuis une sauvegarde saine.
- 4
Fermer la porte
Mises à jour, double authentification, accès revus, journalisation renforcée, rapport écrit pour l’assureur et la CNIL.
Ce que vous obtenez
Ce que vous obtenez,et ce que nous ne promettons pas.
Ce que vous obtenez
- Des consignes écrites d’isolement, le jour ouvré même.
- Un plan d’action daté après accord sur le périmètre.
- La distinction claire entre nettoyage et reconstruction, justifiée par écrit.
- Un rapport écrit : constats, ce qui est établi et ce qui ne l’est pas.
- La porte d’entrée identifiée et refermée.
Garde-fous
Ce que nous faisons : devis écrit avant d’agir, sans surfacturation en cours de route ; preuves conservées ; aucune restauration avant d’avoir trouvé la porte d’entrée.
- Une garantie absolue d’absence de trace résiduelle sur un système visité par un attaquant.
- Un délai de remise en service avant l’analyse.
- Nous ne tenons pas de permanence téléphonique ni d’astreinte 24 h sur 24 : nous répondons vite, par écrit.
Où : à distance en priorité, par des accès tracés ; déplacement planifié autour de Maxéville (Nancy, Metz, Grand Est).
Prix publics
Un prix écrit,annoncé avant d’agir.
Vérification
Un poste isolé : diagnostic, consignes écrites, rapport court.
forfait
- Diagnostic du poste
- Consignes écrites
- Rapport court
Intervention incident
RecommandéIsolement, analyse, nettoyage ou reconstruction d’un serveur ou de plusieurs postes.
première journée
- Machines isolées
- Malware et porte d’entrée
- Nettoyage ou reconstruction
- Rapport pour l’assureur et la plainte
Parc entier ou plusieurs serveurs
Plusieurs serveurs, plusieurs sites, reconstruction complète.
première journée
- Tout « Intervention incident »
- Reconstruction depuis images saines
- Remise en service par priorités
Prix HT. Le devis fixe le périmètre avant toute intervention. Le montant de l’intervention est déduit de vos factures d’infogérance si vous signez un contrat dans les 3 mois.
Vos obligations
Plainte, signalement,CNIL, suivi.
Déposer plainte
Auprès de la police ou de la gendarmerie, avec la chronologie et la liste des machines concernées. Beaucoup d’assureurs l’exigent. Notre rapport écrit peut y être joint.
Signaler
Sur cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes, ou auprès du 17Cyber.
Prévenir la CNIL
Si des données personnelles sont concernées. L’article 33 du RGPD prévoit une notification à la CNIL dans les 72 heures après en avoir pris connaissance, lorsque le risque pour les personnes est réel. Une notification initiale, même incomplète, vaut mieux qu’un délai dépassé.
Après l’incident
Pour repérer un retour de l’attaquant, notre SOC managé propose une surveillance automatique continue, alertes analysées par l’équipe M-KIS aux heures ouvrées.
Questions fréquentes
Les questions qu’on nous pose.
Faut-il éteindre un poste ou un serveur infecté ?
Non, sauf avis contraire d’un professionnel. Éteindre la machine détruit des preuves présentes en mémoire vive, parfois décisives pour identifier le malware. Le bon geste : couper l’accès réseau (câble débranché, Wi-Fi désactivé) et laisser la machine allumée en attendant l’analyse.
Comment savoir d’où vient l’infection ?
Trois pistes reviennent le plus souvent : une pièce jointe ou un lien piégé ouvert par un utilisateur, un service exposé sur Internet à la suite d’une erreur de configuration, ou un logiciel dont une dépendance a été compromise. Trouver la porte d’entrée fait partie de notre méthode : elle conditionne ce qui est corrigé ensuite. Nous n’affirmons une cause qu’avec des preuves.
Faut-il nettoyer la machine ou la réinstaller complètement ?
Cela dépend de la profondeur de la compromission. Sur un poste de travail, un nettoyage ciblé suffit souvent (malware retiré, persistance supprimée, identifiants changés). Sur un serveur compromis en profondeur, la reconstruction depuis une image saine est plus fiable qu’un nettoyage. Aucune garantie absolue n’existe sur un système visité par un attaquant.
Sommes-nous obligés de prévenir la CNIL ?
Si des données personnelles (clients, salariés, prospects) étaient accessibles depuis la machine infectée, l’article 33 du RGPD prévoit une notification à la CNIL dans les 72 heures après en avoir pris connaissance, lorsque le risque pour les personnes est réel. Le délai court dès que vous en avez connaissance, pas depuis la fin de l’incident. Nous vous aidons à qualifier ce point dès l’analyse.
Le serveur infecté héberge aussi notre site web : que faire ?
Si le serveur héberge un site (WordPress, PrestaShop, autre), notre offre Secours Site prend en charge le diagnostic et le nettoyage du site, en complément de l’assainissement du serveur lui-même.
Intervenez-vous sur place, à Nancy ou à Metz ?
L’essentiel du travail (isolement, analyse, nettoyage, durcissement) se pilote à distance, par des accès tracés, ce qui permet de commencer vite. Un déplacement peut s’ajouter à Nancy, Metz ou ailleurs dans le Grand Est pour un serveur physique ou plusieurs postes à traiter ; il est planifié, jamais promis le jour même.
Que se passe-t-il après l’assainissement ?
Nous remettons un rapport écrit, nous refermons la porte d’entrée identifiée et nous pouvons proposer un suivi avec notre SOC managé : surveillance automatique continue, alertes analysées par l’équipe M-KIS aux heures ouvrées, pour repérer une tentative de retour.
Écrivez-nous
Décrivez-nous la situation. Pas besoin d’être technicien.
Poste ou serveur, ce que vous avez remarqué, depuis quand, quelles données sont accessibles depuis la machine. Nous vous répondons par écrit, le jour ouvré même.
- Premier retour écrit le jour ouvré même.
- Un prix écrit avant toute intervention.
- Ne nous envoyez jamais de mot de passe.
Nous ne tenons pas de permanence téléphonique ni d’astreinte 24 h sur 24 : nous répondons vite, par écrit. Vous pouvez aussi écrire à contact@m-kis.fr (objet : « Incident : nom de votre société »).