Il y a des histoires qu’on préférerait ne jamais vivre.
Celle-ci commence un vendredi matin, dans une collectivité en charge de la gestion des déchets. Rien de spectaculaire à première vue : juste quelques utilisateurs qui peinent à se connecter à leur serveur habituel.

Un simple dysfonctionnement, pensent-ils.

Mais ce n’était que le début.

Ce récit n’est pas une étude de cas théorique : c’est une crise bien réelle, survenue dans une collectivité qui nous a sollicités en urgence.

Vendredi matin : rien ne marche

Les premiers signaux sont discrets. Un vendredi matin, les utilisateurs d’une collectivité d’environ 250 agents signalent des soucis d’accès aux serveurs.
Le week-end passe, et le lundi, des switches réseau sont changés en urgence. Mais c’est une fausse piste.

Le mardi, la réalité frappe : ransomware Lockbit, 1 million d’euros de rançon demandé.
Et des dégâts déjà bien concrets.

Un terrain miné

Le système d’information de cette collectivité n’avait, hélas, rien d’atypique :

• Aucune documentation technique
• Aucun plan de reprise ou de continuité d’activité
• Des sauvegardes locales sur NAS, sans supervision
• Une dizaine de prestataires IT non identifiés, non coordonnés

Le SI fonctionnait, mais sans aucun filet. L’attaque n’a fait que révéler à quel point l’organisation était exposée.

Le choc

En quelques heures :

• Le serveur physique et toutes ses VMs sont entièrement chiffrés
• La messagerie est paralysée
• Les données critiques (paie, RH, dossiers internes) deviennent inaccessibles
• Et pour couronner le tout : les sauvegardes locales ont été effacées

Sur le papier, le scénario du pire.

L’heure tourne, la pression monte

À 19h le mardi, la déclaration est faite sur Cybermalveillance.gouv.fr.
Une demi-heure plus tard, nous sommes en contact avec les responsables.
Et très vite, une cellule de crise est mise en place avec le DGS, le DT, la DRH… et moi, en tant que pilote externe.

Pas de temps pour les procédures : on sécurise, on organise, on agit.

La priorité immédiate ? Assurer la paie de juillet.

Un pilotage humain… dans un contexte difficile

Dans cette cellule de crise, tout est à construire :
L’équipe en interne n’a jamais été formée à ce type de situation. Elle est secouée, à juste titre.
Les prestataires IT, eux, sont confortablement installés dans leurs habitudes. Peu concernés, sauf pour proposer des prestations supplémentaires.
Il a fallu mobiliser, recadrer, relancer, parfois défier… sans braquer.

Un management de crise humain et tactique, dans un environnement sous tension permanente.

Reconstruction : trois mois pour un SI de nouveau fonctionnel

Pourquoi trois mois ? Parce qu’il a fallu tout reconstruire de zéro.

Trois chantiers majeurs :

1. Le serveur principal, reconstruit en un mois
2. La messagerie, migrée vers Microsoft 365 (plus de deux mois au total, à cause du transfert des archives .pst et… de l’attente du rattachement du nom de domaine, qui aura pris 15 jours à lui seul)
3. Les applications métiers, remises en ligne progressivement sur environ deux mois

Le tout dans un contexte d’été, avec les absences en cascade côté décideurs comme prestataires, et un flou total sur les responsabilités (« Qui gère le domaine déjà ? »).

Sauvegardes effacées… mais restaurées

Miraculeusement, les données n’ont pas été perdues définitivement.
Les sauvegardes locales effacées sur le NAS ont pu être partiellement récupérées grâce à l’intervention d’une société spécialisée en récupération de données.
L’effacement opéré par l’attaquant était superficiel : il n’avait pas réécrit par-dessus les blocs. Une chance incroyable.

Sans cela, le bilan aurait été bien plus grave.

Et la faille ?

Un compte test VPN, laissé par un prestataire télécom.
Mot de passe faible. Jamais renouvelé.
Aucune surveillance, aucune alerte.

L’attaquant n’a pas eu besoin de forcer.
Il est simplement entré.

Les leçons à en tirer

Cette crise a été violente, mais pas vaine. Elle illustre plusieurs points clés :

1. Documenter, structurer, superviser : le minimum vital d’un SI exposé
2. Ne jamais déléguer en aveugle : la confiance n’exclut pas le pilotage et le contrôle
3. Préparer une cellule de crise à l’avance : rôles, routines, points de contact
4. Savoir s’entourer au bon moment : l’accompagnement externe n’est pas un luxe, c’est une nécessité

Et après ?

Sortir d’une crise comme celle-ci est possible.
Mais c’est dur. C’est lent. C’est épuisant. Et ça coûte cher (plus de 100 000 € en l’occurrence, entre reconstruction, audits, remédiations…).

Prévenir, structurer, tester ses procédures : c’est le seul vrai luxe accessible aujourd’hui.

Et vous, seriez-vous prêt si ça vous tombait dessus ?

Une heure de diagnostic suffit parfois à mettre le doigt sur les plus gros risques.
Vous ne savez pas par où commencer ? Discutons-en.
Contactez-nous

Illustration générée par IA