Cyberattaque sur une ETI : anatomie d'une crise et les 48 premières heures

Lundi, 8h12 : l’écran qui change tout

Mathieu arrive au bureau avec son café. Il ouvre son laptop et tombe sur un écran noir avec un message en anglais : “Your files have been encrypted. Pay 15 BTC to recover them.” 15 bitcoins. Environ 850 000 euros au cours du jour

Mathieu est directeur des opérations d’une ETI industrielle de 280 salariés. L’entreprise fabrique des composants pour l’aéronautique, réalise 45 millions de chiffre d’affaires, et n’a pas de RSSI. La sécurité informatique est gérée “en plus” par le responsable infrastructure, qui cumule cette responsabilité avec l’administration des serveurs, le support utilisateurs et la gestion des prestataires

Ce scénario est fictif. Mais il est construit à partir de dizaines d’incidents réels que nous avons observés ou dont nous avons accompagné la remédiation. Chaque détail est plausible. Chaque erreur est courante.

H+0 à H+4 : le chaos

8h15 : La découverte s’étend

Mathieu n’est pas le seul. En 10 minutes, les appels affluent. La comptabilité ne peut plus ouvrir ses fichiers. La production constate que l’ERP est inaccessible. Le bureau d’études découvre que les plans 3D sont chiffrés. Le ransomware a touché 80% du SI en une nuit.

Les attaquants n’ont pas frappé au hasard. Ils étaient dans le réseau depuis 3 semaines, silencieux. Ils ont cartographié l’Active Directory, identifié les comptes administrateurs, repéré les sauvegardes. Puis ils ont lancé le chiffrement un dimanche soir, quand personne ne surveillait

8h30 : Le premier réflexe

Le responsable infrastructure fait ce que beaucoup font : il éteint les serveurs. C’est instinctif, mais c’est partiellement une erreur. Éteindre empêche la propagation, oui. Mais cela détruit aussi la mémoire vive des machines, qui contient des traces forensiques précieuses, parfois même les clés de déchiffrement

La bonne approche : isoler le réseau (couper les switchs, désactiver le Wi-Fi, déconnecter le VPN) sans éteindre les machines. Mais sans procédure écrite, sous la pression, on fait ce qu’on peut

9h00 : Qui appeler ?

Mathieu appelle le prestataire informatique. Celui-ci n’a jamais géré de ransomware. Il conseille de “ne toucher à rien” et de “voir avec un spécialiste”. Utile

Le DG est prévenu. Sa première question : “On peut payer ?” Sa deuxième : “Qui est au courant ?” Deux questions qui vont dominer les 48 prochaines heures

10h00 : Les sauvegardes

Le responsable infrastructure vérifie les sauvegardes. Mauvaise nouvelle : elles étaient sur un NAS connecté au réseau. Le NAS est chiffré aussi. Les sauvegardes externalisées ? Il y a bien un script qui envoie une copie sur un bucket S3 chaque nuit. Mais personne ne l’a testé depuis 8 mois. Et le script avait silencieusement échoué depuis 3 semaines, probablement désactivé par les attaquants

C’est le moment où la gravité de la situation devient réelle. Sans sauvegardes exploitables, la question de la rançon se pose sérieusement.

H+4 à H+24 : les décisions sous pression

L’ANSSI et le dépôt de plainte

À 12h00, sur les conseils d’un avocat contacté en urgence, l’entreprise dépose plainte en ligne sur la plateforme du gouvernement et contacte l’ANSSI (Agence Nationale de la Sécurité des Systèmes d’Information). L’ANSSI oriente vers un prestataire certifié PRIS (Prestataire de Réponse aux Incidents de Sécurité) qui arrive sur site à 16h00

Quatre heures de perdues parce que personne ne savait qui appeler. Avec un PRA (Plan de Reprise d’Activité) documenté, le numéro de l’ANSSI et du prestataire PRIS auraient été dans une fiche réflexe accessible en 5 minutes

La question de la rançon

Le DG veut payer. Le prestataire PRIS déconseille formellement :

• 40% des entreprises qui paient ne récupèrent pas toutes leurs données. Les outils de déchiffrement fournis par les attaquants sont souvent buggés.
• Payer finance le crime organisé et fait de l’entreprise une cible récurrente (“ils paient, on reviendra”).
• L’assurance cyber (si elle existe) ne rembourse pas toujours la rançon, et certaines polices l’interdisent explicitement.
• L’AI Act et la réglementation évoluent : payer une rançon pourrait devenir illégal dans certaines juridictions européennes

Le DG accepte de ne pas payer. Pour l’instant

La communication de crise

Les clients appellent. Les commandes en cours sont bloquées. Le service commercial ne peut pas accéder au CRM. Les premiers emails de clients menacent des pénalités de retard

La communication est improvisée. Chaque collaborateur dit ce qu’il veut. Certains minimisent (“un petit problème technique”), d’autres paniquent (“on s’est fait pirater, c’est la catastrophe”). L’absence de message coordonné crée de la confusion et érode la confiance.

Un plan de communication de crise aurait prévu : un porte-parole unique, un message standardisé, des mises à jour régulières, et une notification aux autorités si des données personnelles sont concernées (obligation RGPD : 72 heures)

La nuit du lundi

À 22h00, le prestataire PRIS a une première analyse. L’attaque est entrée par un email de phishing ciblé, envoyé 3 semaines plus tôt au service comptabilité. Une pièce jointe Excel avec macro, ouverte par un collaborateur. Le malware a d’abord volé des identifiants, puis s’est propagé latéralement via des partages réseau non segmentés

Le vecteur d’entrée le plus banal qui soit. 91% des cyberattaques commencent par un email de phishing. Et dans cette entreprise, aucune campagne de sensibilisation n’avait jamais été menée

H+24 à H+48 : la reprise (ou pas)

Le mode dégradé

Mardi matin. La production est à l’arrêt depuis 24 heures. Le coût estimé : 35 000€ par jour (salaires improductifs + pénalités clients + manque à gagner). Le bureau d’études bascule sur des postes non connectés avec des copies locales de certains plans. Le commercial travaille depuis des téléphones personnels

Le prestataire PRIS a identifié des sauvegardes partielles sur un disque externe trouvé dans un tiroir, une copie manuelle qu’un technicien consciencieux avait faite 6 semaines plus tôt. C’est cette copie artisanale, non planifiée, qui va sauver une partie des données.

La restauration

La restauration partielle commence mardi soir et prend 4 jours. L’ERP est remonté à partir de la copie vieille de 6 semaines. Six semaines de commandes, factures et mouvements de stock sont perdues. La comptabilité va passer 3 semaines à ressaisir manuellement

Les plans 3D récents sont perdus définitivement. Le bureau d’études devra recommencer 2 mois de travail

3 mois plus tard : le vrai bilan

Poste	Coût estimé
Arrêt de production (8 jours)	280 000 €
Prestataire réponse à incident	45 000 €
Restauration et reconstruction SI	85 000 €
Pénalités de retard clients	60 000 €
Ressaisie manuelle données perdues	35 000 €
Refonte plans bureau d’études	40 000 €
Total	545 000 €

Et ce bilan ne compte pas les coûts indirects : deux clients ont changé de fournisseur (“si vous n’êtes pas capables de sécuriser vos systèmes…”), un salarié clé du bureau d’études a démissionné (“je ne veux pas refaire 2 mois de travail pour un problème qui aurait pu être évité”), et la prime d’assurance cyber a triplé

Les 7 choses qui auraient tout changé

Reprenons le scénario avec les mesures qui auraient dû être en place. Coût total réaliste de ces 7 mesures : 55 à 75K€/an selon les outils déjà en place (un EDR ou une assurance cyber préexistants réduisent l’addition). Soit 7 à 10 fois moins que le coût de l’incident décrit. Ces mesures auraient réduit l’impact de 60 à 80% sur les vecteurs courants (phishing, propagation latérale, restauration de données), aucune ne couvre les attaques zero-day ou supply chain, mais elles auraient transformé l’incident décrit (545K€, 8 jours d’arrêt) en périmètre limité (probablement 50-100K€, 1-2 jours d’arrêt)

1. Segmentation réseau (5 000€)

Si le réseau avait été segmenté (production, bureautique, sauvegarde sur des VLANs séparés avec des règles de pare-feu), le ransomware n’aurait pas pu se propager de la comptabilité vers l’ERP et le bureau d’études. Impact réduit de 80%.

2. Sauvegardes offline testées (3 000€/an)

Une sauvegarde offline (bande, disque déconnecté, ou bucket S3 avec MFA delete et versioning) testée chaque mois. Les attaquants ne peuvent pas chiffrer ce qu’ils ne peuvent pas atteindre. Restauration en heures, pas en jours.

3. MFA sur tous les accès (2 000€/an)

MFA sur Active Directory, VPN, messagerie, et tous les accès administrateurs. Le phishing donne un mot de passe, mais sans le deuxième facteur, l’attaquant ne peut pas se connecter. C’est la mesure la plus simple et la plus efficace.

4. Plan de Reprise d’Activité testé (5 000€)

Un PRA documenté avec : les numéros d’urgence (ANSSI, prestataire PRIS, assurance), la procédure d’isolation réseau, le plan de communication, la procédure de restauration. Testé au moins une fois par an. L’entreprise aurait gagné 4 heures critiques dans les premières heures

5. RSSI à temps partagé (30-50K€/an)

Un RSSI externalisé, 4 à 8 jours par mois en mode récurrent, qui pilote la sécurité : politique, audits, sensibilisation, suivi des vulnérabilités. C’est la personne qui s’assure que les 6 autres mesures sont en place et fonctionnent. Sans RSSI, personne n’est responsable, donc personne ne fait. Budget : 30 à 50K€/an pour 4-8j/mois (voir les 90 premiers jours d’un RSSI externalisé pour le détail des coûts d’amorçage et du fonctionnement récurrent)

Pour approfondir ce sujet, consultez notre guide sur le RSSI externalisé : quand et pourquoi

6. Sensibilisation des équipes (5 000€/an)

Des campagnes de phishing simulé trimestrielles et 2 heures de formation par an. Le taux de clic sur les emails de phishing passe de 15-25% selon le secteur (source : Proofpoint State of the Phish 2025) à moins de 5% en 6 mois. C’est la mesure qui empêche l’attaque d’entrer.

7. Assurance cyber (5 000€/an)

Une assurance cyber couvre une partie des frais de remédiation, la perte d’exploitation, et met à disposition une hotline de crise avec des experts juridiques et techniques. Elle ne remplace pas la prévention, mais elle absorbe le choc financier.

Ce n’est pas une question de “si”, mais de “quand”

En 2025, 43% des ETI françaises ont subi au moins une cyberattaque (source : ANSSI, Panorama de la cybermenace 2024). Les ransomwares représentent 35% de ces attaques. Le coût moyen pour une ETI varie selon la taille et le secteur : 300 à 500K€ pour une ETI de moins de 100 salariés, 500K€ à 1.5M€ pour 100-500 salariés (le scénario décrit ici, 545K€, est typique de ce segment), au-delà de 1M€ pour les ETI industrielles avec arrêt de production physique. Dans l’aéronautique ou la chimie, le chiffre monte à 1.2M€, décomposé en arrêt de production (800K€ estimées sur 5-7 jours), restauration systèmes (200K€), investigation forensique + juridique (200K€). L’arrêt de production physique multiplie le coût par 2 à 3 par rapport aux secteurs tertiaires

Le scénario décrit ici n’est pas exceptionnel. Il est statistiquement probable pour toute ETI sans gouvernance de sécurité structurée. La question n’est pas de savoir si cela arrivera, mais quand, et si vous serez prêts

Et 85% des ETI touchées n’avaient pas de RSSI (source : ANSSI). Corrélation n’est pas causation, une ETI avec RSSI mais sans MFA reste vulnérable. Mais en pratique, le RSSI est la personne qui s’assure que les mesures techniques (MFA, EDR, segmentation, sauvegardes) sont effectivement en place et testées

La bonne nouvelle : 55 à 75K€ par an et un RSSI à temps partagé réduisent le risque de 60 à 80% sur les vecteurs courants. C’est un investissement, pas un coût

Cet article est écrit pour les décideurs. Pour le guide technique d’implémentation (configuration des VLANs, GPOs de sécurité, choix d’EDR, procédures de restauration), demandez un audit détaillé ou consultez les guides de l’ANSSI.

Sources et méthodologie

• ANSSI, Panorama de la cybermenace 2024 : statistiques sur les ETI attaquées (43%) et l’absence de RSSI (85%)
• Proofpoint, State of the Phish 2025 : taux de clic phishing (15-25% selon le secteur)
• IBM, Cost of a Data Breach Report 2024 : coûts moyens des incidents de sécurité
• Retours d’expérience Nobori : les montants et durées cités dans le scénario sont construits à partir de dizaines d’incidents réels observés ou accompagnés

---

Ne découvrez pas votre plan de crise le jour de l’incident. Demandez un diagnostic de votre posture de sécurité pour savoir où vous en êtes avant qu’il ne soit trop tard