Tableau de bord — Incident Phishing Docusign
Vue d'ensemble du playbook de réponse à incident
Scénario actif : Un étudiant a reçu un email imitant Docusign, cliqué sur le lien et saisi ses identifiants sur un faux portail. Les credentials sont compromis. Niveau de sévérité : Élevé — SLA de réponse : moins d'1 heure.
0%
Progression globale
Checklist PICERL
🟠 Élevé
Niveau de sévérité
SLA : < 1 heure
5
TTPs identifiés
MITRE ATT&CK mappés
18
IOCs à surveiller
Réseau · Compte · Email
TTPs — MITRE ATT&CK
| ID |
Technique |
Tactic |
| T1566.002 |
Spearphishing Link |
Initial Access |
| T1056.003 |
Web Portal Capture |
Credential Access |
| T1539 |
Steal Web Session Cookie |
Credential Access |
| T1036 |
Masquerading |
Defense Evasion |
| T1583.001 |
Acquire Infrastructure |
Resource Dev. |
Timeline de réponse idéale
Checklist PICERL
Coche chaque tâche au fur et à mesure de la réponse à incident
Recueillir les informations de la victime
Helpdesk — URL cliquée, heure, device, navigateur utilisé
T+0
Extraire et analyser l'email original
Headers complets, expéditeur, domaine, SPF/DKIM/DMARC via MXToolbox
T+0
Analyser l'URL frauduleuse
VirusTotal, URLScan.io, screenshot du faux site Docusign
T+5m
Vérifier le domaine avec WHOIS
Date de création, registrar, hébergeur, certificat SSL
T+10m
Confirmer la saisie des credentials
Logs proxy — requête POST vers domaine inconnu
T+15m
Désactiver le compte compromis
Active Directory / IAM / Azure AD — immédiatement
T+30m
Bloquer le domaine frauduleux
Firewall, DNS filtering (Cisco Umbrella), Proxy
T+30m
Mettre l'email en quarantaine
Exchange Admin ou Google Workspace — tous les utilisateurs
T+30m
Notifier l'équipe de sécurité
Canal #incident-response — ne pas utiliser les systèmes compromis
T+30m
Révoquer tous les tokens OAuth et sessions
SSO, Okta, Azure AD — invalider tous les devices actifs
T+1h
Supprimer l'email de toutes les boîtes
Purge complète via Exchange Admin ou Google Vault
T+1h
Signaler le domaine aux listes noires
PhishTank, Google Safe Browsing, CISA, abuse@docusign.com
T+1h
Scanner la machine victime
EDR complet — si doute : analyse forensique Autopsy + Volatility
T+1h
Décision : réimager ou pas
Si malware détecté ou doute persistant : effacement + réinstallation propre
T+1h30
Réinitialiser le mot de passe
16+ caractères, politique forte, généré aléatoirement
T+2h
Activer le MFA résistant au phishing
FIDO2 ou clé physique YubiKey — PAS de SMS ou TOTP classique
T+2h
Restaurer les données depuis backup sain
Règle 3-2-1 — vérifier intégrité avant restauration
T+2h
Vérifier les règles de redirection email
Supprimer toute règle suspecte créée pendant la compromission
T+2h
Réactiver le compte sur device sain
Jamais sur la machine compromise non nettoyée
T+2h
Re-sensibiliser l'utilisateur
Explication de l'attaque, signes à reconnaître, procédure à suivre
T+2h
Rédiger le rapport d'incident
IOCs, timeline, actions menées, impact évalué — < 48h après clôture
T+48h
Partager les IOCs au CERT national
Enrichir la threat intelligence partagée
T+48h
Vérification RGPD
Si données personnelles exposées : notification CNIL sous 72h (Art. 33)
T+48h
Post-Incident Review
Réunion < 5 jours — comment améliorer filtres, formation, alertes SIEM
T+5j
Mettre à jour le playbook
Intégrer les enseignements de cet incident
T+5j
Indicateurs de Compromission (IOCs)
Filtre par catégorie — surveille ces signaux en priorité
Tous
Réseau
Compte
Email
Endpoint
| Catégorie | Indicateur | Signal concret | Outil de détection |
| réseau |
Domaine typosquatté |
docusign-secure[.]net, docusign-login[.]co |
DNS filtering, Proxy logs |
| réseau |
Certificat SSL suspect |
Let's Encrypt sur domaine créé < 7 jours |
Certificate Transparency |
| réseau |
Requêtes POST anormales |
Envoi credentials vers domaine inconnu |
IDS/IPS, Proxy |
| réseau |
IP géolocalisation suspecte |
Connexion depuis pays inhabituel |
SIEM, Firewall logs |
| compte |
Connexion hors horaires |
Authentification à 3h du matin |
Active Directory logs |
| compte |
Changement MDP soudain |
Mot de passe modifié peu après le clic |
IAM alerts |
| compte |
Session device inconnu |
Token actif depuis appareil non reconnu |
SSO / OAuth logs |
| compte |
MFA bypass tenté |
Requête d'auth sans second facteur |
MFA provider logs |
| compte |
Permissions OAuth inhabituelles |
App tierce autorisée soudainement |
IAM / SSO |
| email |
Expéditeur spoofé |
noreply@docusign-secure[.]net |
Email gateway (Proofpoint) |
| email |
SPF/DKIM/DMARC échoués |
Authentification email invalide |
Email gateway |
| email |
Pièce jointe .html |
Formulaire login simulé en local |
Sandbox (Any.run) |
| email |
URL raccourcie dans corps |
Masquage du vrai domaine malveillant |
Proxy / Sandboxing |
| email |
Headers d'envoi suspects |
Relayed via serveur inconnu |
MXToolbox, Email headers |
| endpoint |
Processus suspect |
Exécution binaire inconnu post-visite |
EDR (CrowdStrike) |
| endpoint |
Modification fichier hosts |
Redirection DNS locale ajoutée |
EDR / Sysmon |
| endpoint |
Extension navigateur inconnue |
Installation silencieuse post-visite |
EDR / GPO audit |
| endpoint |
Cookie de session volé |
Session active sur device non reconnu |
Browser logs / SIEM |
Boîte à outils
Outils classés par phase d'utilisation
Timeline détaillée
Déroulement complet de l'incident de T+0 à clôture
T+0 min
Identification
Victime contacte le Helpdesk
Signalement de l'incident, recueil des informations initiales (URL, device, heure)
T+5 min
Identification
Ouverture ticket d'incident
Attribution niveau de sévérité Élevé, escalade vers le SOC
T+15 min
Identification
Confirmation phishing
SOC confirme : email frauduleux, domaine typosquatté, credentials probablement compromis
T+30 min
Containment
Compte désactivé + domaine bloqué
Désactivation AD/IAM, blocage DNS et firewall sur tout le réseau
T+45 min
Eradication
Email supprimé de toutes les boîtes
Purge complète via Exchange Admin, signalement PhishTank et CISA
T+1h
Eradication
Sessions et tokens révoqués
Invalider tous les tokens OAuth, déconnecter tous les devices actifs
T+1h30
Eradication
Scan forensique machine victime
EDR + Autopsy si nécessaire — décision réimager ou pas
T+2h
Recovery
Compte restauré avec MFA actif
Nouveau MDP 16+ caractères + FIDO2, re-sensibilisation utilisateur
T+4h
Recovery
Vérification données restaurées
Backup sain confirmé, règles email vérifiées, monitoring activé
T+24h
Recovery
Rapport d'incident rédigé
IOCs documentés, timeline complète, impact évalué
T+48h
Clôture
Ticket officiel clôturé
Rapport archivé, IOCs partagés au CERT national
T+5 jours
Lessons Learned
Post-Incident Review
Réunion équipe — améliorations filtres, formation, playbook mis à jour