ce qu’un incident non traité
coûte réellement.
Extrait de nos données internes sur la réponse aux incidents et de rapports publics vérifiés couvrant la période 2024-2025 — plusieurs secteurs d'activité, plusieurs zones géographiques.
avant de paniquer,
évaluez l'ampleur du problème.
Répondez à quatre questions. Nous générerons un score de gravité en temps réel et les quatre premières mesures que votre équipe doit prendre immédiatement — avant que quiconque ne tape sur son clavier sous le coup de la colère.
▸ Quatre premières actions
- Isolez les hôtes affectés du réseau — ne les éteignez pas.
- Conservez les copies d'ombre de la mémoire et des volumes sur au moins un hôte.
- Révoquez les identifiants utilisés au cours des dernières 72 heures ; renouvelez les comptes de service.
- Établissez un pont de communication avec PWN•ALL avant de toucher aux sauvegardes.
quatre phases.
Un seul pont.
Nous traitons chaque incident via un pont d'intervention unique et audité : votre équipe, nos analystes DFIR, un calendrier partagé et des justificatifs à chaque étape.
Contenir
Isolation au niveau du réseau sans détruire les preuves. Nous stoppons les mouvements latéraux au niveau du commutateur, bloquons le C2, gelons les comptes privilégiés et préservons la mémoire sur les hôtes pivots.
Portée
Triage forensic de chaque ressource chiffrée, vecteur d'accès initial, persistance et traces d'exfiltration. Nous identifions la souche, les TTP de l'opérateur et la durée de présence.
Récupération
Reconstruction en salle blanche, vérification de l'intégrité des sauvegardes, comparaison des décrypteurs avec notre bibliothèque interne et, lorsque les clés existent, décryptage par étapes des données de production.
Renforcement
Correction des causes profondes, nettoyage des identités, déploiement d'EDR/MFA là où ils font défaut, et un rapport écrit que votre conseil d'administration, votre assureur et votre autorité de régulation peuvent réellement lire.
chaque souche a un
point faible. Nous le trouvons.
Notre bibliothèque de recherche sur les décrypteurs et nos informations de négociation sont mises à jour à partir de cas réels que nous résolvons chaque semaine. S'il existe un moyen de récupérer les données sans payer, nous le trouvons en premier.
LockBit • BlackCat • Play
- Contrôleur de domaine et ciblage Veeam
- Effacement des clichés via vssadmin/WMI
- Exfiltration par étapes via MEGA/Rclone
- Récupération partielle de la clé le cas échéant
Akira • Royal • Rhysida
- Arrêt et chiffrement ESXi au niveau de la couche VMFS
- Ransomware ELF sous Linux sur les appliances
- Récupération de volume au niveau du datastore
- Audit d'intégrité côté hyperviseur
Cl0p • Karakurt • RansomHub
- Vol de données pur, sans chiffrement
- Surveillance et suppression des sites de fuite
- Coordination des divulgations légales
- Communications avec les opérateurs gérées par nos soins
un analyste est déjà
surveille l'horloge.
Dès que vous appelez, une passerelle partagée se met en place avec un historique des actions horodaté, la conservation des preuves et un tableau de gravité en temps réel. Votre assureur et votre équipe juridique peuvent se connecter en lecture seule.
Pas de mystère. Pas de silence.
Chaque incident PWN-ALL s'exécute sur le même modèle de pont que vos régulateurs et votre cyber-assureur acceptent déjà. Vous voyez ce que nous voyons. Vous approuvez chaque action destructive. Rien n'est crypté, supprimé ou payé sans votre accord.
Une fois la situation maîtrisée, vous repartez avec un rapport de chaîne de conservation, une chronologie cartographiée selon le modèle MITRE ATT&CK et un plan de renforcement de la sécurité sur 30/60/90 jours — pas un simple PDF rempli de captures d'écran.
que les gens
que les gens posent à 3 heures du matin.
Faut-il payer la rançon ?
Ce n'est presque jamais la bonne première décision. Nous ne négocions qu'en dernier recours, pendant l'évaluation des options de récupération, et uniquement après avoir obtenu l'autorisation juridique et l'accord sur les sanctions. Dans environ 94 % de nos cas, une récupération totale ou partielle est possible sans paiement.
Dans quel délai pouvez-vous être sur le pont ?
Notre SLA prévoit moins de 60 minutes entre le premier appel et la mise en relation avec un analyste sur une passerelle partagée avec votre équipe. Les conseils de confinement commencent généralement dans les 15 premières minutes, tandis que l'évaluation de l'étendue de l'incident se déroule en parallèle.
Nous avons déjà tout éteint. Est-ce grave ?
Ce n'est pas l'idéal — la mémoire volatile contient des clés, des processus injectés et des traces de l'opérateur — mais la situation est récupérable. Ne redémarrez aucun système avant que nous soyons en ligne. Nous disposons de procédures de triage à froid.
Travaillez-vous avec notre cyber-assureur ?
Oui. PWN-ALL est conçu pour s'intégrer aux panels d'intervention en cas d'incident (IR) standard. Nous fournissons à l'assureur un historique des actions horodatées, un contrôle des coûts et un rapport final dans le format accepté par la plupart des assureurs.
Que se passe-t-il si des données ont été volées en plus d'avoir été chiffrées ?
Nous évaluons l'exfiltration séparément : ce qui a été pris, d'où, et pendant combien de temps. Nous coordonnons ensuite la divulgation, les aspects juridiques et, le cas échéant, la surveillance des sites de fuite et les communications avec les opérateurs.
N'attendez pas
lundi matin.
Chaque heure qui passe, les sauvegardes sont effacées, les preuves expirent et les opérateurs s'enfoncent davantage. PWN-ALL intervient le jour même, le week-end, les jours fériés — l'horloge s'en moque, et nous aussi.
50 % des attaques se terminent encore par un chiffrement. N'attendez pas pour savoir de quelle moitié il s'agit.