Analyse d’une attaque récente : ce qu’on peut apprendre (étude de cas)

En juillet 2021, une attaque par ransomware a paralysé plus de 200 entreprises américaines en quelques heures. Via un seul éditeur de logiciel — Kaseya — des cybercriminels ont réussi à toucher des centaines de structures d’un coup, de la PME locale au groupe international.

Ce genre d’incident, on en entend parler régulièrement. Et pourtant, à chaque fois, les mêmes questions reviennent : comment c’est arrivé ? Est-ce que ça aurait pu être évité ? Et surtout — est-ce que ça pourrait nous arriver ?

Chez CreativMinds, on accompagne des entreprises de toutes tailles sur ces sujets. Et ce qu’on observe, c’est que les attaques les plus dévastatrices ne ciblent pas forcément les moins protégées. Elles ciblent celles qui pensaient l’être suffisamment.

Alors plutôt que de rester dans l’abstraction, j’ai voulu revenir sur un cas concret — fictif dans les détails, mais basé sur des mécanismes bien réels — pour décortiquer ce qui se passe vraiment quand une attaque aboutit. Pas pour faire peur. Pour comprendre.

Le contexte : une entreprise « bien équipée »

Appelons-la NeoTech. Une fintech d’une centaine de personnes, avec des investissements conséquents en cybersécurité : pare-feu, antivirus, sauvegardes, formation des équipes. Sur le papier, tout était en place.

En mars 2023, un ransomware a pourtant paralysé l’ensemble de leurs opérations. Les données clients — plusieurs millions d’utilisateurs — ont été compromises. L’activité s’est arrêtée net.

Ce qui m’intéresse dans ce cas, ce n’est pas de pointer du doigt ce qui n’a pas été fait. C’est de comprendre pourquoi, malgré les moyens, ça n’a pas suffi. Parce que c’est souvent là que se joue la différence entre une entreprise qui résiste et une qui tombe.

Comment ça a commencé

L’attaque n’a pas démarré par une faille technique spectaculaire. Elle a commencé par un email.

Un message ciblé — ce qu’on appelle du spear phishing — envoyé à quelques collaborateurs stratégiques. Le mail semblait venir d’un collègue. Il contenait un lien vers un document partagé, apparemment anodin.

Un clic. C’est tout ce qu’il a fallu.

Ce clic a déclenché le téléchargement d’un petit programme, une porte dérobée, qui s’est installé silencieusement. À partir de là, les attaquants avaient un pied dans le réseau.

Ce qu’on oublie souvent, c’est que ce genre d’attaque ne mise pas sur la naïveté des gens. Elle mise sur leur quotidien. Quand on reçoit 80 mails par jour, qu’on enchaîne les réunions, qu’on essaie de répondre vite — la vigilance baisse. C’est humain.

L’escalade silencieuse

Une fois à l’intérieur, les attaquants n’ont pas agi tout de suite. Ils ont d’abord exploré. Compris comment le réseau était organisé. Identifié les comptes avec des privilèges élevés.

Puis ils ont procédé à ce qu’on appelle une élévation de privilèges : obtenir des accès administrateurs, ceux qui permettent d’aller partout. À partir de là, ils se sont déplacés latéralement — de serveur en serveur, de système en système — jusqu’à atteindre les bases de données critiques.

Ce qui frappe dans ce type d’attaque, c’est le temps. Entre la compromission initiale et le déclenchement du ransomware, il s’est parfois écoulé plusieurs semaines. Les attaquants étaient là, dans l’ombre, à collecter des données, à préparer le terrain.

Et personne ne s’en est rendu compte.

Le moment où tout bascule

Le jour J, le ransomware s’est déployé. En quelques heures, l’ensemble des systèmes critiques était chiffré. Plus d’accès aux applications métier, plus d’accès aux données clients, plus rien.

Une demande de rançon est apparue sur les écrans. Payer pour récupérer les données. Ou tout perdre.

Je ne vais pas m’étendre sur la question de payer ou non — c’est un débat complexe, et chaque situation est différente. Ce qui m’intéresse ici, c’est ce qui a rendu cette issue possible.

Ce qui a vraiment posé problème

Quand on analyse ce type d’incident a posteriori, on trouve rarement une seule cause. C’est plutôt une accumulation de petites failles, de décisions reportées, de priorités mal calibrées.

Dans ce cas précis, plusieurs éléments ont joué :

Un correctif non appliqué. Une vulnérabilité connue dans un logiciel de gestion réseau. Le patch existait depuis plusieurs mois. Il n’avait pas été installé. Ce genre de retard est fréquent — les équipes IT sont souvent débordées, et les mises à jour passent après les urgences du quotidien. Sauf que cette fois, c’est par là que les attaquants sont entrés.

Une segmentation réseau insuffisante. Une fois dans le système, les attaquants ont pu se déplacer relativement librement. Si le réseau avait été mieux cloisonné, la propagation aurait pu être limitée.

Des politiques de sécurité datées. Les procédures n’avaient pas été révisées depuis plusieurs années. Elles ne prenaient pas en compte les nouvelles formes de menaces, ni les évolutions de l’infrastructure.

Une sensibilisation qui s’était essoufflée. Les formations au phishing avaient eu lieu, mais il y a longtemps. Sans rappels réguliers, les réflexes s’émoussent.

Aucun de ces points, pris isolément, n’aurait suffi à provoquer la catastrophe. Mais combinés, ils ont créé les conditions parfaites.

Ce qui a bien fonctionné dans la réponse

Il serait injuste de ne parler que de ce qui a échoué. Parce que dans la gestion de crise, certaines choses ont été bien faites.

L’équipe de sécurité a réagi vite. Dès les premières alertes, les segments compromis ont été isolés. Ça a limité la propagation et protégé une partie des données.

Les sauvegardes — celles qui n’avaient pas été touchées — ont permis de restaurer progressivement les systèmes. Sans elles, la situation aurait été bien pire.

La communication a été transparente. Les clients et partenaires ont été informés rapidement, ce qui a limité l’impact sur la réputation à long terme. Ce n’est pas toujours le cas — beaucoup d’entreprises choisissent de minimiser ou de retarder la communication, ce qui finit souvent par se retourner contre elles.

Ce qu’on peut en retenir

Je n’aime pas les listes de « bonnes pratiques » trop propres, parce qu’elles donnent l’impression que la cybersécurité est une affaire de cases à cocher. Ce n’est pas le cas. C’est un équilibre permanent, une attention continue, une culture à construire.

Mais il y a quand même des enseignements concrets à tirer de ce type d’incident.

Sur la gestion des correctifs : c’est peut-être le point le plus ingrat de la cybersécurité. Personne n’aime faire les mises à jour. Ça prend du temps, ça peut créer des incompatibilités, ça demande de la coordination. Et pourtant, une grande partie des attaques exploitent des failles connues, pour lesquelles des correctifs existent. Automatiser ce processus autant que possible, c’est un investissement qui vaut le coup.

Sur la segmentation réseau : cloisonner les environnements, limiter les accès au strict nécessaire, c’est ce qui fait la différence entre une intrusion contenue et une catastrophe généralisée. C’est du travail en amont, mais c’est ce qui permet de limiter les dégâts quand — pas si — quelque chose passe à travers les mailles.

Sur la détection : avoir des outils qui surveillent les comportements anormaux en temps réel, c’est ce qui permet de repérer une intrusion avant qu’elle ne fasse des dégâts. Les solutions de type EDR ou XDR ont beaucoup progressé ces dernières années. Elles ne sont plus réservées aux grandes entreprises.

Sur la sensibilisation : une formation ponctuelle ne suffit pas. La vigilance, ça s’entretient. Des simulations régulières, des rappels contextuels, des retours d’expérience partagés — c’est ce qui ancre les réflexes dans la durée.

Sur les plans de réponse : avoir un plan d’urgence documenté, testé, avec des rôles clairement définis, c’est ce qui permet de ne pas improviser dans le chaos. Et l’improvisation, dans une crise cyber, ça coûte cher.

Une question de posture plus que d’outils

Ce qui me frappe, après des années à accompagner des entreprises sur ces sujets, c’est que la différence ne se fait pas vraiment sur les outils. La plupart des entreprises ont accès aux mêmes technologies.

La différence se fait sur la posture.

Est-ce que la cybersécurité est vue comme une contrainte technique qu’on délègue à l’IT ? Ou comme un enjeu stratégique qui concerne toute l’organisation ?

Est-ce qu’on considère qu’on est « assez protégé » ? Ou est-ce qu’on part du principe qu’une attaque finira par arriver, et qu’il faut s’y préparer ?

Est-ce que les collaborateurs sont vus comme le maillon faible ? Ou comme la première ligne de défense ?

Ces questions-là, elles ne se règlent pas avec un logiciel. Elles se règlent avec une vision, une culture, un engagement de la direction.

En conclusion

Cette attaque contre NeoTech n’a rien d’exceptionnel. Elle ressemble à des dizaines d’autres que nous avons analysées ou dont nous avons accompagné les victimes.

Ce qui la rend intéressante, c’est justement sa banalité. Parce qu’elle montre que les mécanismes sont souvent les mêmes : un point d’entrée humain, une exploitation de failles connues, une propagation facilitée par un manque de cloisonnement, une détection trop tardive.

Et aussi que les leviers de protection sont accessibles. Pas gratuits, pas simples, mais accessibles.

Chez CreativMinds, on croit que la cybersécurité n’est pas une affaire de spécialistes qu’on consulte une fois par an. C’est une compétence collective, qui se construit au quotidien, à tous les niveaux de l’entreprise.

Si cet article vous a fait réfléchir à votre propre situation, c’est déjà un premier pas. La suite, c’est de transformer cette réflexion en actions — même petites, même progressives.

Parce qu’en cybersécurité, ce qui compte, ce n’est pas d’être parfait. C’est d’être prêt.