Retours d'expérience

Rançongiciel sur PME industrielle

Contexte : PME industrielle de 80 salariés, infrastructure on-premise classique, sauvegardes sur NAS local connecté au domaine AD.

Incident : Compromission via une pièce jointe malveillante reçue en messagerie. Le ransomware a chiffré tous les serveurs en quelques heures, y compris le NAS de sauvegarde.

Impact : 3 semaines d'arrêt complet, 200 K€ de pertes directes, perte définitive de données non sauvegardées hors site, image dégradée auprès des clients.

💡 Leçon : Une sauvegarde non isolée du SI de production n'est pas une sauvegarde. La règle 3-2-1 (3 copies, 2 supports, 1 hors site) est non négociable.

Phishing ciblé en cabinet d'expertise

Contexte : Cabinet d'expertise comptable de 12 collaborateurs, accès messagerie M365 sans MFA généralisé.

Incident : Phishing sophistiqué imitant un client connu. Le collaborateur saisit ses identifiants sur un faux portail. L'attaquant accède à la boîte mail pendant 4 jours.

Impact : Fuite de documents fiscaux clients, obligation de notification CNIL, atteinte à la réputation, plusieurs clients ayant rompu la relation contractuelle.

💡 Leçon : Le MFA sur tous les comptes M365 et la sensibilisation régulière au phishing simulé auraient évité l'incident.

Fraude au virement (FOVI)

Contexte : Entreprise de négoce avec une comptable habituée à recevoir des demandes de virement par e-mail du dirigeant.

Incident : Compromission de la messagerie du dirigeant. Demande urgente de virement vers un nouveau RIB, pendant un déplacement officiel. La comptable s'exécute.

Impact : Virement de 87 K€ sur un compte étranger, irrécouvrable malgré le dépôt de plainte rapide.

💡 Leçon : Procédure anti-FOVI obligatoire : double validation orale par téléphone pour tout changement de RIB ou virement urgent inhabituel.

Incendie datacenter OVH Strasbourg (2021)

Contexte : Plus de 3,6 millions de sites web hébergés sur SBG2/SBG1. Beaucoup d'entreprises avec leurs sauvegardes sur le même site OVH.

Incident : Incendie majeur dans la nuit du 9 au 10 mars 2021. SBG2 entièrement détruit. Plusieurs jours d'indisponibilité, données définitivement perdues pour ceux sans copie hors-OVH.

Impact : Pour certaines entreprises, perte irrémédiable de données métiers. Pour d'autres, plusieurs semaines de remise en service.

💡 Leçon : Même un hébergeur leader peut subir un sinistre majeur. Les sauvegardes doivent toujours être chez un fournisseur tiers ou en air-gap.

Attaque sur la chaîne d'approvisionnement

Contexte : ETI utilisant un logiciel de gestion fourni par un éditeur tiers, mises à jour automatiques activées.

Incident : L'éditeur du logiciel a été compromis. La mise à jour suivante contenait un cheval de Troie qui a été distribué à tous les clients.

Impact : Compromission silencieuse pendant 6 semaines avant détection, exfiltration de données commerciales, démarches de remédiation longues.

💡 Leçon : Évaluer la maturité cyber des fournisseurs critiques. Maîtriser les fenêtres de mise à jour. Surveiller les comportements anormaux du SI.

Méthodologie post-incident

À chaque incident, MEDERI CONSULTING applique une démarche structurée pour transformer la crise en levier d'amélioration :

• Analyse à chaud : qualification, périmètre, vecteur d'entrée, propagation
• Confinement : isolation des systèmes, préservation des preuves
• Remédiation : éradication, durcissement, restauration progressive
• RETEX formalisé : rapport, lessons learned, plan d'actions
• Suivi : vérification de la mise en oeuvre des actions correctrices

💡 Leçon : Un incident bien analysé est un investissement pour la résilience future de l'entreprise.