Quels types d'incidents de cybersécurité existe-t-il ?

Les incidents de cybersécurité se rangent en quelques grandes familles : infection par un code malveillant (dont le rançongiciel), intrusion et compromission de comptes, atteinte aux données (vol, fuite, altération), indisponibilité d’un service (déni de service) et fraude. Le type d’incident oriente les priorités de la réponse et les notifications à envisager.

Cet article fait partie de notre série sur la réponse à incident. Pour le cadre général, voir Qu’est-ce que la réponse à incident en cybersécurité ?.

Une classification de référence

Il n’existe pas de liste officielle unique. Les équipes de réponse européennes s’appuient souvent sur la taxonomie de référence publiée par l’ENISA, l’agence européenne pour la cybersécurité, issue des travaux des CSIRT et des services d’enquête. Elle classe les incidents en grandes catégories : contenus abusifs, code malveillant, collecte d’informations, tentatives d’intrusion, intrusions, atteintes à la disponibilité, atteintes à la sécurité de l’information, fraude et vulnérabilités.

Pour une PME ou un infogérant, une version simplifiée suffit. La voici, avec ce que chaque type implique pour la réponse.

Type d’incident	Exemple	Priorité de la réponse
Rançongiciel	Serveurs chiffrés, demande de rançon	Isoler, protéger les sauvegardes, préserver les preuves
Autre code malveillant	Cheval de Troie, voleur d’identifiants	Identifier les postes touchés et ce qui a été volé
Compromission de compte	Boîte Microsoft 365 piratée après un hameçonnage	Couper les sessions, réinitialiser, chercher les règles de transfert
Fraude au virement	Faux changement de RIB envoyé depuis un compte compromis	Prévenir la banque au plus vite, porter plainte
Intrusion sur le réseau	Exploitation d’un VPN ou d’un serveur exposé	Fermer l’accès, chercher les mouvements latéraux
Violation de données	Exfiltration de fichiers clients	Mesurer l’étendue, examiner la notification prévue par le RGPD
Déni de service	Site ou service rendu inaccessible	Filtrer le trafic, activer les solutions de secours
Abus interne	Ancien salarié qui garde un accès	Révoquer, tracer, conserver les preuves
Compromission d’un prestataire	Outil de télémaintenance détourné	Couper l’accès du prestataire, vérifier tous les clients liés

Les incidents les plus fréquents en entreprise

Le rançongiciel

C’est l’incident le plus visible. Cybermalveillance.gouv.fr décrit un scénario classique : intrusion par une faille ou un accès distant mal protégé, ou par un compte compromis après un hameçonnage, puis chiffrement des données, souvent précédé d’un vol de données utilisé comme moyen de pression. Les attaquants cherchent aussi à détruire les sauvegardes. Voir Attaques ransomware 2024 : entreprises les plus touchées.

La compromission de messagerie

Un compte de messagerie volé permet de lire les échanges, de créer des règles de transfert discrètes et d’envoyer de faux messages de paiement aux clients ou fournisseurs. Dans les environnements Microsoft 365, ces attaques passent souvent inaperçues sans surveillance. Voir Microsoft 365 : les attaques que les MSP ne voient pas venir et comment y répondre.

La violation de données

Elle peut résulter de presque tous les autres types d’incidents. Pour la notification prévue par l’article 33 du RGPD, auprès de la CNIL en France et en principe sous 72 heures, c’est la nature des données touchées qui compte, et non le mode d’attaque. Voir Qui contacter en cas de cyberattaque ?.

Un incident, plusieurs types

Dans la réalité, les types s’enchaînent. Un hameçonnage aboutit à une compromission de compte, qui donne accès au réseau, qui mène au vol puis au chiffrement des données. La classification sert donc surtout au début, pour orienter les premières actions, et elle évolue au fil de l’investigation.

Le cas des infogérants

Les infogérants sont exposés à un type d’incident particulier : la compromission de leurs propres outils (télémaintenance, supervision, comptes d’administration), qui ouvre la porte à plusieurs clients à la fois. Le règlement d’exécution (UE) 2024/2690 précise d’ailleurs les critères d’un incident important pour plusieurs catégories de fournisseurs numériques, dont les fournisseurs de services gérés et de services de sécurité gérés. Une surveillance commune à tous les clients aide à repérer ces attaques en cascade. Voir Qu’est-ce qu’un SOC multi-tenant pour MSP ?.

Ce qu’il faut retenir pour la réponse

Le type d’incident ne change pas les grandes étapes de la réponse : qualifier, contenir, investiguer, éradiquer, restaurer, tirer les enseignements. Il change l’ordre des priorités et les interlocuteurs. Voir Comment se déroule une réponse à incident ?.

Faire le point avec un expert

Vous êtes attaqué ? Déclarez un incident : l’astreinte Cyna est joignable 24h/24 et 7j/7.

Pour savoir quels types d’incidents votre surveillance couvre aujourd’hui, votre infogérant partenaire de Cyna est votre premier interlocuteur. Sinon, contactez-nous.

Questions fréquentes

Une tentative d'attaque bloquée est-elle un incident ?

Elle relève plutôt de l'événement de sécurité. Elle devient un incident si elle a compromis, ou aurait pu compromettre, la disponibilité, l'intégrité ou la confidentialité des systèmes ou des données. Voir Qu'est-ce qu'un incident de cybersécurité ?.

Quel type d'incident déclenche une notification à la CNIL ?

Selon l'article 33 du RGPD, c'est la violation de données personnelles (destruction, perte, altération, divulgation ou accès non autorisé) qui est en jeu, quel que soit le type d'attaque, sauf absence de risque pour les personnes. L'appréciation d'un cas précis se fait avec le DPO ou un conseil juridique.

Une panne sans attaque est-elle un incident de cybersécurité ?

Une indisponibilité accidentelle peut entrer dans la définition large d'un incident au sens de NIS2, qui vise tout événement compromettant la disponibilité, l'intégrité ou la confidentialité. Elle se traite toutefois surtout par la continuité d'activité et non par une investigation.