Un employé a cliqué sur un lien d'hameçonnage : que faire maintenant?

Votre employé vous a dit qu'il avait cliqué. Votre première réaction compte.

Remerciez-le, puis agissez vite. Un récit complet et exact de ce qu'il a fait permet à votre équipe TI de calibrer la réponse, et une personne qui craint le blâme a moins de raisons de le donner.

Si vous n'avez que deux minutes

1. Cessez toute interaction avec la page. Ne rouvrez pas le lien et ne retardez pas le signalement pour prendre des captures d'écran. Notez ce qui s'est affiché et conservez le courriel original.
2. Joignez votre équipe TI par téléphone ou par un autre canal de confiance, jamais par la boîte courriel touchée.
3. Demandez à l'employé ce qu'il a fait après le clic : rien, saisi un mot de passe ou un code, approuvé une demande de connexion, accordé une autorisation à une application, téléchargé un fichier, transmis des renseignements ou envoyé de l'argent.
4. Avisez immédiatement votre équipe TI si des identifiants, des codes, des approbations de connexion, des autorisations d'application ou des fichiers téléchargés sont en cause. Si de l'argent a été envoyé ou si des coordonnées bancaires ont été modifiées, joignez tout de suite le service des finances et votre institution financière.
5. Notez les heures et qui a dit quoi.

Un clic seul ne prouve pas que votre entreprise a été compromise. Il justifie toutefois qu'une personne qualifiée examine la situation. Au Québec, la Loi 25 ajoute une question que la plupart des guides ignorent : ce clic touche-t-il des renseignements personnels, et si oui, qui doit en décider? Nous y revenons plus bas.

D'abord : ne vous contentez pas de supprimer le courriel

Conservez le message original. Il contient l'expéditeur, le lien et les en-têtes dont l'équipe TI se sert pour savoir qui d'autre l'a reçu et où mène le lien. Le supprimer ne détruit pas forcément toutes les copies, mais cela peut compliquer l'enquête. Laissez l'équipe TI décider comment le retirer.

Demandez à l'employé de raconter simplement ce qu'il a vu, saisi, approuvé et fait ensuite. Laissez de côté le « pourquoi avez-vous cliqué ? », qui n'apporte rien d'utile. Ne réinitialisez pas l'appareil et n'improvisez pas de nettoyage. Suivez les consignes de l'équipe TI sur l'isolement et la conservation des preuves.

Qu'a fait l'employé ?

La réponse dépend de ce qui s'est réellement passé. Vous n'avez pas à diagnostiquer l'attaque. Vous donnez à l'équipe TI un récit exact pour qu'elle réagisse de façon proportionnée.

Si l'employé n'est pas certain, dites-le tel quel. L'équipe TI travaille mieux avec « je pense avoir saisi mon mot de passe » qu'avec une certitude inexacte.

Sécuriser le compte

L'équipe TI doit coordonner le confinement, car les bonnes mesures dépendent de ce qui a été exposé, et couvrir chaque cas importe plus que suivre un ordre fixe.

Selon la situation, elle peut bloquer temporairement la connexion au compte pendant l'enquête. Le guide de Microsoft sur les comptes compromis inclut la désactivation du compte durant l'enquête, en plus d'autres mesures de rétablissement. L'équipe TI doit aussi révoquer les sessions et vérifier si les applications connectées exigent une action distincte pour retirer l'accès, car changer un mot de passe ne met pas forcément fin à une session déjà ouverte. Elle examinera les méthodes de connexion à la recherche d'ajouts inconnus de l'employé et les applications ayant reçu des autorisations.

Une chose n'a pas sa place sur cette liste : un nouveau mot de passe envoyé par courriel à l'employé. Si la boîte est peut-être compromise, la personne que vous tentez d'exclure peut le lire. Microsoft déconseille d'envoyer un nouveau mot de passe par courriel à un compte potentiellement compromis. Convenez à l'avance d'un canal de confiance, comme un numéro de téléphone ou un outil de messagerie extérieur au compte touché, et utilisez-le pour tout ce qui touche aux identifiants de récupération. Le guide de Microsoft (en anglais) sur la réponse à un compte courriel compromis couvre le volet technique.

Si l'employé a seulement cliqué et rien saisi, l'équipe TI peut raisonnablement juger qu'une réinitialisation est inutile. La décision lui appartient, et elle doit être consignée.

Vérifier les autres sessions et appareils

Une seule connexion peut laisser des traces en plusieurs endroits, et un fichier téléchargé peut poser un problème d'appareil autant que de compte. Ce sont deux questions distinctes. Une analyse antivirus propre sur l'ordinateur ne libère pas le compte infonuagique, et un compte sécurisé ne libère pas un appareil qui a exécuté un fichier.

L'équipe TI regarde d'où et quand le compte s'est connecté, et si un nouvel appareil ou une nouvelle méthode de connexion a été enregistré. Les emplacements inhabituels demandent de l'interprétation, puisqu'un RPV ou un réseau mobile peut en afficher de trompeurs. Si un fichier a été exécuté, l'appareil peut être isolé jusqu'à son évaluation. Demandez à l'employé de lister tous les appareils et navigateurs où il est connecté à des comptes de travail, y compris son téléphone personnel.

Qui doit être informé ?

Commencez par le gestionnaire de l'employé et l'équipe TI, puis élargissez le cercle seulement dans la mesure où les faits l'exigent.

• Les finances et l'institution financière, immédiatement, si de l'argent a été envoyé ou si des coordonnées de paiement ont été modifiées. Un virement récent peut parfois être rappelé, et le délai est court. Selon le cas, signalez aussi la fraude au Centre antifraude du Canada.
• La personne responsable de la protection des renseignements personnels, si des renseignements de clients ou d'employés peuvent être exposés.
• Votre assureur ou courtier, si votre police exige un avis. Relisez-la pour savoir qui joindre et quand, et suivez ses consignes avant de mandater un tiers.
• Clients et fournisseurs, si le compte a envoyé des messages malveillants. Coordonnez l'avertissement par des canaux de confiance, jamais depuis le compte touché.

Ce que la Loi 25 vous demande

La Loi 25 modifie la Loi sur la protection des renseignements personnels dans le secteur privé et s'applique aux entreprises du Québec, y compris aux PME. Un incident de confidentialité vise notamment l'accès non autorisé à des renseignements personnels ou leur perte. Un clic seul n'établit pas qu'un tel incident s'est produit. Les constats de l'équipe TI servent à déterminer si des renseignements personnels ont été touchés.

Si c'est le cas, deux obligations distinctes s'enclenchent.

1. Le registre. Tout incident de confidentialité doit y être consigné, y compris ceux qui s'avèrent mineurs. Le registre doit rester à jour.
2. L'avis. La Commission d'accès à l'information (CAI) et les personnes concernées doivent être avisées avec diligence lorsque l'incident présente un risque de préjudice sérieux. Pour l'évaluer, la loi invite à considérer la sensibilité des renseignements, les conséquences appréhendées de leur utilisation et la probabilité qu'ils soient utilisés à des fins préjudiciables.

Par défaut, la personne qui a la plus haute autorité dans l'entreprise assume la fonction de responsable de la protection des renseignements personnels, à moins que cette fonction n'ait été déléguée par écrit. L'entreprise reste responsable du respect de ses obligations. Dans une PME, c'est donc souvent la dirigeante ou le dirigeant qui tranche. Consignez le raisonnement derrière la décision, que vous avisiez ou non la CAI.

Ce que l'équipe TI doit examiner

Il s'agit de déterminer ce qui s'est réellement passé et qui ou quoi a été touché. L'examen dépasse la boîte courriel, car une identité Microsoft 365 compromise peut exposer la boîte courriel associée, SharePoint et OneDrive.

L'équipe TI examine généralement :

• les règles de boîte courriel, les adresses de transfert et les messages envoyés que l'employé n'a pas créés;
• qui d'autre a reçu le même message et si quelqu'un d'autre a cliqué. Si des messages apparentés sont trouvés, elle peut les retirer et contenir la campagne, après avoir conservé les preuves nécessaires;
• les fichiers infonuagiques ouverts, téléchargés ou partagés, et tout nouveau lien de partage externe;
• les messages envoyés depuis le compte à des collègues, clients ou fournisseurs pendant un accès possiblement non autorisé;
• les conséquences financières : coordonnées de paiement modifiées, factures émises au nom de l'employé et virements déjà effectués.

Certaines réponses dépendent des journaux, et les journaux ont des limites. La durée de conservation, le type de licence et les paramètres en place avant l'incident influencent ce qu'on peut établir. Cette incertitude compte aussi pour la Loi 25 : si les preuves ne permettent pas d'exclure l'accès à des renseignements personnels, notez-le dans votre évaluation.

Quand l'incident est-il réellement clos ?

L'incident est clos lorsque quatre conditions sont réunies. « Nous avons changé le mot de passe » n'est que le début de la deuxième.

1. Les constats sont documentés. Ce qui s'est passé, ce qui a été touché et comment l'équipe TI l'a conclu, y compris ce que les preuves disponibles n'ont pas permis de trancher.
2. Le confinement et le rétablissement sont terminés. L'accès non autorisé est fermé, les changements faits par l'attaquant sont annulés et les systèmes et données touchés sont rétablis.
3. Les obligations de signalement sont évaluées. Les finances, l'institution financière, la personne responsable de la protection des renseignements personnels, l'assureur et, s'il y a lieu, le registre et l'avis à la CAI ont chacun été examinés, et la décision est consignée.
4. Le suivi est confié à quelqu'un. Une personne nommée surveille le compte et les activités connexes jusqu'à une date de révision précise, car une incertitude qui persiste est une raison de continuer à chercher.

Quoi changer ensuite

Tenez une rencontre de révision axée sur ce qui s'est passé et sur ce qui empêcherait que ça se reproduise. Incluez l'employé, sans transformer la discussion en procès.

• Facilitez le signalement. Un bouton de signalement ou une adresse commune, et une réponse qui dit merci.
• Renforcez la connexion. Utilisez l'authentification résistante à l'hameçonnage là où elle est prise en charge. Notre article sur le virage de Microsoft vers les clés d'accès explique ce qui change et quand.
• Améliorez la protection du courriel et des appareils. Demandez à votre équipe TI si un filtrage et des protections d'appareil auraient pu bloquer ce message ou limiter les conséquences du clic.
• Vérifiez les changements de paiement. Rappelez un numéro connu avant d'agir sur de nouvelles coordonnées bancaires.
• Rédigez un plan de réponse d'une page. Qui appeler, le canal de confiance, les questions à poser, et qui s'occupe des finances et de la vie privée. Si votre assureur attend un processus en cas d'incident, notre article sur le questionnaire d'assurance cyberrisques montre ce qu'il demande souvent.

Voici un tableau de contrôle à copier dans ce plan.

Action	Responsable	Terminé quand
Recueillir le récit de l'employé	Gestionnaire	Des notes avec les heures sont rédigées
Joindre l'équipe TI par un canal de confiance	Gestionnaire ou employé	L'équipe TI a les notes et confirme la réception
Traiter l'accès non autorisé possible et évaluer l'appareil	Équipe TI	Les risques d'accès sont traités; évaluation de l'appareil terminée ou transmise
Signaler la fraude si de l'argent a été envoyé	Dirigeant ou responsable des finances	Fraude signalée, numéro de référence consigné, prochaines étapes confirmées
Enquêter sur l'impact	Équipe TI	Constats et limites des preuves documentés
Évaluer les obligations (registre, avis à la CAI)	Responsable de la protection des renseignements personnels et dirigeant	Les décisions et leur raisonnement sont consignés
Mettre en place le suivi	Équipe TI avec le dirigeant	Responsable, portée et date de révision établis

Si un clic a déjà eu lieu et que vous voulez de l'aide pour évaluer la situation et y répondre, communiquez avec Syslogic.