Cabinet d'expertise comptable régional, analyse forensique post-intrusion

« Quand on a vu le faux mail au nom de notre banquier, on a paniqué. Hexceos a tout disséqué en 48 heures, on a su exactement ce qui s'était passé, et on a pu prouver à nos clients qu'on avait géré la crise sérieusement. »

Contexte

Un cabinet d’expertise comptable régional, 70 collaborateurs, deux antennes (siège régional + bureau secondaire), gère la comptabilité, la paie et le conseil patrimonial d’environ 800 clients TPE/PME. L’infrastructure repose sur Microsoft 365 (mail, SharePoint, OneDrive), une application métier en SaaS, et des sauvegardes externalisées chez un prestataire tiers.

L’alerte arrive un mardi matin, un associé reçoit un mail au nom de son banquier (avec adresse usurpée par homoglyphe), demandant la confirmation d’un virement de 47 000 € pour solde d’un litige commercial. Le mail est crédible, les références internes correctes. Mais l’associé compose le numéro de la banque par habitude et obtient une réponse interloquée, aucun litige, aucun virement demandé. Le cabinet appelle Hexceos en cellule de crise dans l’heure.

Périmètre confié

Mission de réponse à incident sur 7 jours, suivie d’une phase de remédiation et de durcissement sur 8 semaines.

1. Endiguement immédiat (jour 1)

• Isolation des comptes Microsoft 365 suspectés compromis (3 comptes initialement, 2 confirmés après analyse).
• Révocation de tous les jetons de session actifs (Conditional Access + Sign-In Risk).
• Blocage du domaine usurpé au niveau Exchange Online Protection et chez le fournisseur DNS.
• Coordination avec la banque pour bloquer toute instruction de virement non re-confirmée verbalement pendant 72 heures.
• Préservation des preuves, copies forensiques des boîtes mail, des logs Entra ID et des journaux Unified Audit Log avant tout reset.

2. Analyse forensique complète (jours 1-3)

• Reconstitution de la timeline complète à partir des Unified Audit Logs Microsoft 365 (3 mois de rétention activés en standard, étendus à 1 an sur les comptes compromis).
• Identification du vecteur d’entrée, phishing AiTM (Adversary-in-the-Middle) ciblant un assistant administratif via un faux portail OneDrive cinq semaines avant l’alerte.
• Cartographie des accès post-compromission, création de règles de boîte mail invisibles pour interception des correspondances bancaires, exploration des dossiers partagés, énumération des contacts clients.
• Profilage de l’attaquant, TTPs cohérents avec un acteur cybercriminel généraliste (commodity BEC), pas de marqueurs APT, infrastructure C2 utilisant des services cloud légitimes.

3. Restitution et notification (jours 4-5)

• Rapport forensique complet (52 pages) remis à la direction du cabinet et à son avocat conseil.
• Synthèse à destination de la CNIL (notification effectuée à 24 h après détection, dans les délais réglementaires de 72 h).
• Communication individuelle aux 14 clients dont des correspondances avaient été lues par l’attaquant (sans exfiltration massive détectée).
• Coordination avec l’assurance cyber pour la déclaration de sinistre.

4. Remédiation et durcissement (semaines 2 à 8)

• Migration de tous les comptes vers MFA résistant au phishing (clés FIDO2 sur les comptes à privilèges, authentificateur cloud sur les autres).
• Mise en place de Conditional Access strict (géolocalisation, posture device, risque utilisateur).
• Déploiement d’Hexceos Sentinel sur les endpoints et l’identité.
• Bascule au SOC 24/7 en mode actif.

Résultats

• Aucun virement frauduleux exécuté, l’instruction interceptée a été bloquée avant transmission à la banque.
• Timeline complète reconstituée en 8 heures d’analyse forensique active, après les 24 premières heures consacrées à l’endiguement.
• Notification CNIL effectuée à 24 heures après la détection initiale (cadre réglementaire à 72 h, conforme avec une marge confortable).
• 100% des dossiers clients vérifiés comme non altérés (aucune écriture sortante détectée pendant la fenêtre de compromission).
• 14 clients informés individuellement dans les 5 jours, avec attestation écrite de l’absence d’exfiltration de leur dossier.

Ce que ça a changé

Le cabinet a pu reprendre son activité sous deux jours, avec une communication transparente vers ses clients qui a paradoxalement renforcé la confiance. L’assurance cyber a couvert l’intégralité du sinistre (frais Hexceos, conseil juridique, communication clients) sans contestation, grâce au rapport forensique opposable.

Trois ans après l’incident, le cabinet n’a pas perdu un client suite à l’épisode, et a gagné quatre clients qui ont indiqué avoir choisi le cabinet précisément pour sa posture cyber post-incident, auditée et documentée.

Cas représentatif anonymisé à la demande du client. Les chiffres présentés correspondent à des mesures réelles sur un client unique en 2024.