Comment vérifier si les attaquants du rançongiciel ont vraiment volé nos données ?
Cherchez le transfert, pas l'affirmation. Les attaquants exagèrent parfois pour faire monter la pression, et parfois ils ont réellement pris tout ce qu'ils disent. Vérifiez dans les journaux du pare-feu et du proxy les gros transferts sortants des jours précédant le chiffrement, surtout vers des stockages cloud ou des adresses que personne d'autre n'utilise, et notez quels hôtes internes les ont envoyés. Comparez le volume avec ce que contiennent ces serveurs. Ne demandez un échantillon de preuve que par l'intermédiaire de votre intervenant, et regardez ce qu'il contient. Les journaux d'audit des stockages cloud et des services SaaS peuvent révéler des téléchargements massifs. Si les preuves ne montrent aucun transfert sortant significatif, cela aide la décision et une éventuelle notification, mais l'absence de preuve sur une voie ne prouve pas que rien n'est sorti par une autre. NetSenX conserve les alertes sur les volumes sortants inhabituels par hôte, avec heure, destination et volume ; il ne voit pas les noms de fichiers dans les transferts chiffrés.