Récit d'une cyberattaque : de l'erreur humaine d'un prestataire à un impact mondial

Ce récit de cyberattaque, qui s’est déroulé il y a quelques années, est le quotidien de certaines organisations victimes d’acteurs malveillants. Leurs auteurs recherchent des trophées sans gloire, des bitcoins extorqués ou la reconnaissance patriotique de gouvernements belliqueux.

Il nous a été raconté par le DSI d’une organisation de plusieurs milliers de collaborateurs, qui assure des services critiques. Bien qu’anonymisé, ce témoignage est entièrement véridique.

Le fil conducteur de cette crise, c’est sa dimension humaine. On en parle souvent moins que des conséquences financières et des défis et enjeux technologiques.

Pourquoi cette approche ? Chez CyberElements, nous plaçons toujours la dimension humaine au cœur de tout ce que nous faisons. Ce n’est pas toujours simple, ce n’est pas toujours le chemin le plus rapide, et nous n’y parvenons pas toujours, mais cela reste notre principe directeur.

Cette histoire montre en effet que, quels que soient l’aspect technologique, la gravité de la crise ou l’ampleur de l’attaque, ce sont les femmes et les hommes de l’équipe informatique qui finiront par éteindre l’incendie.

L’origine de la cyberattaque

Ce qui frappe d’abord à l’écoute de cette histoire, c’est le niveau de préparation et d’anticipation. Quelques mois seulement avant l’attaque, un exercice grandeur nature avait permis d’affiner les processus et de s’assurer que chacun était prêt.

L’organisation est bien équipée : elle dispose d’un centre opérationnel de sécurité (SOC) et d’outils de détection et de réponse sur les terminaux (EDR).

Le point faible se trouve chez le prestataire, ce que l’on découvrira après coup. Sur le moment, on peut se sentir démuni pour s’assurer que les pratiques de sécurité essentielles sont bien respectées. Cette forme d’externalisation est d’ailleurs une source fréquente d’attaques majeures, un point sur lequel NIS2 insiste fortement.

Sans nous y attarder, puisque nous les déployons et qu’ils ne sont pas le sujet de cet article, il existe aussi des outils spécifiquement conçus pour contrôler et tracer les accès des prestataires.

Pour cette organisation, la cause identifiée était simple : le même mot de passe était utilisé pour tous les clients du prestataire, avec une absence totale (ou un mépris) de politique de mots de passe robuste. Après la cyberattaque, un représentant du prestataire, présent sur site et incapable d’accéder à un système, a dû rougir de honte lorsqu’un membre de l’équipe de réponse à incident lui a donné le mot de passe, après l’avoir cassé en quelques minutes.

C’est par là qu’est arrivée la cyberattaque.

L’EDR, géré par le SOC, a bien détecté une anomalie quelques jours avant le chiffrement du système d’information. Mais il était paramétré pour la remonter comme une simple alerte, autrement dit mal configuré, ce qui pose un vrai problème en soi. Les analystes du SOC n’y ont pas donné suite, et l’alerte s’est répétée plusieurs fois.

Ce n’est finalement pas ce qui a alerté les équipes internes. Évidemment, c’est arrivé au pire moment : le week-end. L’équipe de support utilisateurs, d’astreinte, a été prévenue par des utilisateurs qui, ce week-end-là, ont vu s’afficher le message de l’attaquant sur leur écran. Aucune gradation : en quelques minutes, le système a été chiffré via les hyperviseurs. L’annuaire est quasiment le seul élément épargné, puis récupéré par les équipes de réponse à incident.

Quinze jours d’une équipe sur le pont

Le DSI est rapidement arrivé sur site avec un collègue. Ils ont immédiatement mené des actions guidées par la conviction que chaque seconde comptait, certaines malheureusement déjà vaines, comme débrancher le réseau. Ce n’a même pas été immédiat, à cause d’un problème d’étiquetage des lames de serveurs : un petit défaut qui devient terriblement frustrant au moment critique.

Le conseil d’administration a été informé, et le directeur général a demandé à plusieurs reprises au DSI : « Êtes-vous certain qu’il s’agit d’une cyberattaque ? »

La première réaction a été le choc et l’incrédulité, à tous les niveaux.

Puis un engagement quasi total de chacun pour y faire face. Une très forte cohésion face à l’adversité.

Certaines personnes se révèlent vraiment dans ces situations. Le DSI se souvient d’un collaborateur qui, sans faire de bruit ni afficher d’enthousiasme excessif, a simplement fait son travail. Personne n’imaginait qu’il deviendrait un pilier de la crise. À l’inverse, l’absence de services informatiques a permis à d’autres de rester d’une discrétion absolue.

Les horaires ne comptaient plus. L’adrénaline, le stress, et même l’excitation, le mot a bien été employé au cours de l’échange, prédominaient. Si une cyberattaque est le cauchemar de tous, certains mécanismes se mettent en place : le cerveau s’adapte, se défend, rationalise, accepte la situation, puis actionne les leviers qui vont susciter l’engagement.

Pendant quinze jours, pas de fatigue malgré le manque de sommeil. Il a vite fallu passer à un nouveau mode de fonctionnement et libérer les soirées pour que chacun puisse se reposer.

Les réactions à ce choc ont été très variées, jusqu’à des situations improbables. Un membre de l’équipe pourtant efficace, chargé de répéter à grande échelle une tâche prioritaire pour rééquiper les collaborateurs, n’y arrivait tout simplement pas sous l’effet du stress. Il ne savait plus faire une chose qu’il avait pourtant faite d’innombrables fois. Il est devenu essentiel de gérer chaque situation individuelle, en prenant le temps de comprendre et d’adapter les missions de chacun si nécessaire.

Cyberattaque : anticiper et se préparer ne suffit pas

L’organisation avait préparé des procédures et défini des priorités de restauration des services. Cela a indéniablement aidé. Mais en pratique, une partie ne s’appliquait pas à la réalité de la situation. Ce service-ci est prioritaire ? Non, celui-là est bien plus critique.

Le plus admirable, c’est l’ingéniosité déployée face aux situations imprévues, qu’aucune procédure ne détaillait : raccordement en urgence de certaines équipes d’utilisateurs à des réseaux autonomes, ou encore la création, la mise en œuvre et le déploiement d’un nouveau type d’ordinateur ultramoderne, « la machine à écrire ». Il s’agissait de machines sans réseau interne, générées « de confiance » avec le strict minimum, et équipées d’une clé 4G pour la connectivité.

Le système métier central était à l’arrêt, et une procédure papier ne pouvait pas le remplacer entièrement. Il fallait par exemple continuer à créer des identifiants uniques, ce qui a obligé à revenir à un bon vieux tableur.

Tenir dans la durée

Tenir au-delà des quinze premiers jours supposait d’abord de préparer la suite : le scénario de reconstruction optimal. Il a fallu peser le pour et le contre entre une restauration à partir des sauvegardes et une reconstruction à partir de zéro, un débat qui dépasse le cadre de cet article. Il était en tout cas essentiel de revenir aux fondamentaux de la sécurité et de se montrer intransigeant sur ce point, quitte à frustrer les utilisateurs.

Difficile de ne pas être profondément marqué par une telle situation. Un psychologue était à la disposition de ceux qui le souhaitaient et est aussi passé sur place à plusieurs reprises.

La direction générale a instauré pour les équipes informatiques un rituel hebdomadaire, le « café », maintenu pendant plusieurs mois. C’étaient des moments de détente, de présence et de soutien.

Le constat est clair : l’impact humain de ces erreurs humaines n’est pas entièrement mesurable. La durée de la crise a considérablement aggravé la situation. Les premières semaines, l’engagement professionnel a entraîné des sacrifices personnels, aggravant des situations personnelles déjà fragiles. De même, certains collaborateurs n’ont pas réussi à retrouver un rythme normal et plus serein une fois la crise passée.