Cabinet d'expertise comptable régional — analyse forensique post-intrusion

« Quand on a vu le faux mail au nom de notre banquier, on a paniqué. Hexceos a tout disséqué en 48 heures — on a su exactement ce qui s'était passé, et on a pu prouver à nos clients qu'on avait géré la crise sérieusement. »

Contexte

Un cabinet d’expertise comptable régional, 70 collaborateurs, deux antennes (siège régional + bureau secondaire), gère la comptabilité, la paie et le conseil patrimonial d’environ 800 clients TPE/PME. L’infrastructure repose sur Microsoft 365 (mail, SharePoint, OneDrive), une application métier en SaaS, et des sauvegardes externalisées chez un prestataire tiers.

L’alerte arrive un mardi matin — un associé reçoit un mail au nom de son banquier (avec adresse usurpée par homoglyphe), demandant la confirmation d’un virement de 47 000 € pour solde d’un litige commercial. Le mail est crédible, les références internes correctes. Mais l’associé compose le numéro de la banque par habitude et obtient une réponse interloquée — aucun litige, aucun virement demandé. Le cabinet appelle Hexceos en cellule de crise dans l’heure.

Périmètre confié

Mission de réponse à incident sur 7 jours, suivie d’une phase de remédiation et de durcissement sur 8 semaines.

1. Endiguement immédiat (jour 1)

• Isolation des comptes Microsoft 365 suspectés compromis (3 comptes initialement, 2 confirmés après analyse).
• Révocation de tous les jetons de session actifs (Conditional Access + Sign-In Risk).
• Blocage du domaine usurpé au niveau Exchange Online Protection et chez le fournisseur DNS.
• Coordination avec la banque pour bloquer toute instruction de virement non re-confirmée verbalement pendant 72 heures.
• Préservation des preuves — copies forensiques des boîtes mail, des logs Entra ID et des journaux Unified Audit Log avant tout reset.

2. Analyse forensique complète (jours 1-3)

• Reconstitution de la timeline complète à partir des Unified Audit Logs Microsoft 365 (3 mois de rétention activés en standard, étendus à 1 an sur les comptes compromis).
• Identification du vecteur d’entrée — phishing AiTM (Adversary-in-the-Middle) ciblant un assistant administratif via un faux portail OneDrive cinq semaines avant l’alerte.
• Cartographie des accès post-compromission — création de règles de boîte mail invisibles pour interception des correspondances bancaires, exploration des dossiers partagés, énumération des contacts clients.
• Profilage de l’attaquant — TTPs cohérents avec un acteur cybercriminel généraliste (commodity BEC), pas de marqueurs APT, infrastructure C2 utilisant des services cloud légitimes.

3. Restitution et notification (jours 4-5)

• Rapport forensique complet (52 pages) remis à la direction du cabinet et à son avocat conseil.
• Synthèse à destination de la CNIL (notification effectuée à 24 h après détection, dans les délais réglementaires de 72 h).
• Communication individuelle aux 14 clients dont des correspondances avaient été lues par l’attaquant (sans exfiltration massive détectée).
• Coordination avec l’assurance cyber pour la déclaration de sinistre.

4. Remédiation et durcissement (semaines 2 à 8)

• Migration de tous les comptes vers MFA résistant au phishing (clés FIDO2 sur les comptes à privilèges, authentificateur cloud sur les autres).
• Mise en place de Conditional Access strict (géolocalisation, posture device, risque utilisateur).
• Déploiement d’Hexceos Sentinel sur les endpoints et l’identité.
• Bascule au SOC 24/7 en mode actif.

Résultats

• Aucun virement frauduleux exécuté — l’instruction interceptée a été bloquée avant transmission à la banque.
• Timeline complète reconstituée en 8 heures d’analyse forensique active, après les 24 premières heures consacrées à l’endiguement.
• Notification CNIL effectuée à 24 heures après la détection initiale (cadre réglementaire à 72 h, conforme avec une marge confortable).
• 100% des dossiers clients vérifiés comme non altérés (aucune écriture sortante détectée pendant la fenêtre de compromission).
• 14 clients informés individuellement dans les 5 jours, avec attestation écrite de l’absence d’exfiltration de leur dossier.

Ce que ça a changé

Le cabinet a pu reprendre son activité sous deux jours, avec une communication transparente vers ses clients qui a paradoxalement renforcé la confiance. L’assurance cyber a couvert l’intégralité du sinistre (frais Hexceos, conseil juridique, communication clients) sans contestation, grâce au rapport forensique opposable.

Trois ans après l’incident, le cabinet n’a pas perdu un client suite à l’épisode, et a gagné quatre clients qui ont indiqué avoir choisi le cabinet précisément pour sa posture cyber post-incident — auditée et documentée.

Cas représentatif anonymisé à la demande du client. Les chiffres présentés correspondent à des mesures réelles sur un client unique en 2024.