Simulation de cyberattaque en entreprise : et si vous viviez la crise avant qu’elle n’arrive ?

7h01, un matin d’août. Le site e-commerce de l’entreprise ne répond plus. Impossible d’afficher la moindre page, impossible de se connecter à l’administration. Le responsable informatique est injoignable. À 7h45, un écran inquiétant s’affiche sur les postes : un rançongiciel a chiffré tout le système. Tout est hors service, sauf le téléphone. Et il commence justement à sonner : les clients s’impatientent, un journaliste prépare un article, et à 11h, la demande tombe — 100 000 € en bitcoin sous 24 heures.

Bonne nouvelle : rien de tout cela n’est réel. C’est le scénario de notre simulation de cyberattaque en entreprise, un exercice immersif d’une demi-journée que nous animons pour les dirigeants et leurs équipes. Et c’est précisément parce que rien n’est réel que tout le monde en ressort transformé.

Une journée de crise condensée en une demi-journée

Le principe est simple : on joue une vraie journée de crise, de 7h à 17h, l’horloge tournant à l’écran. À intervalles réguliers, l’animateur envoie des « injects » : des événements qui font monter la pression exactement comme dans une attaque réelle.

Le site inaccessible. L’écran de rançon. Le standard qui explose. Les réseaux sociaux qui s’emballent — « et nos cartes bancaires ? ». La presse qui appelle, déjà informée, et qui veut son cas d’école pour l’édition du lendemain. Puis l’ANSSI qui prend le dossier avec une consigne nette : on ne paie pas.

Face à chaque inject, les participants réagissent à voix haute, tout de suite. Il n’y a aucune mauvaise réponse : on ne cherche pas la bonne note, on cherche les réflexes. On amplifie un peu, on rit parfois — mais on décide pour de vrai. Et c’est là que les certitudes tombent.

Ce format s’inspire directement des exercices de gestion de crise recommandés par l’ANSSI aux organisations de toutes tailles. La différence, c’est que nous l’avons conçu pour être accessible à une PME : pas besoin d’une cellule de crise aguerrie ni d’un RSSI à temps plein pour en tirer profit. Juste d’une équipe prête à jouer le jeu.

Chacun découvre qu’il est en première ligne

Ce qui frappe le plus les participants, c’est que la cyberattaque n’est pas un problème informatique. C’est un problème d’entreprise, qui percute tout le monde en même temps.

Pendant l’exercice, chacun endosse un rôle : chef d’entreprise, responsable communication, DSI, RH, responsable financier, directeur de site, personnel employé. Et chacun découvre, inject après inject, à quel point son poste est impacté. Le dirigeant doit arbitrer sur la rançon sans aucune donnée fiable. La communication doit répondre à la peur des clients sans rien promettre qu’elle ne peut tenir. Les RH doivent gérer des équipes désœuvrées dont l’outil de travail a disparu. Le financier calcule l’hémorragie de chiffre d’affaires heure par heure.

Nous avons animé cet exercice il y a quelques jours avec les chefs d’entreprise du Réseau Entreprendre Champagne-Ardenne, qui se sont répartis ces rôles le temps d’une matinée. Leur retour, publié sur Google :

« Nous avons organisé pour nos chefs d’entreprises un atelier sur la cybersécurité et la communication de crise, le format était super et le contenu très intéressant, d’autant plus que chacun est concerné par cette thématique ! » — Réseau Entreprendre Champagne-Ardenne, avis Google ⭐⭐⭐⭐⭐

Nous menons aussi régulièrement cette simulation avec des dirigeants de sites e-commerce — un vendeur de pièces détachées en ligne, une boutique d’épicerie fine sur internet — pour lesquels chaque heure d’indisponibilité se compte directement en commandes perdues. Le scénario est alors personnalisé : c’est leur site, leurs clients, leur saisonnalité qui servent de matière au jeu.

Payer ou ne pas payer : le dilemme qui révèle tout

Au cœur de la simulation, il y a ce moment où la rançon tombe. 100 000 €. 24 heures. Et une question qui divise instantanément la table : on paie ?

Payer, c’est tentant : récupérer vite ses données, stopper l’hémorragie, faire taire la pression. Mais la position de l’ANSSI est sans ambiguïté : non. Aucune garantie de récupérer quoi que ce soit, on finance le crime, on devient une cible identifiée comme « payeuse » — et payer n’efface en rien la fuite de données déjà réalisée.

La vraie question que pose l’exercice est ailleurs : avait-on une autre option prête ? Des sauvegardes hors-ligne, testées, restaurables ? Un plan de reprise ? Des rôles définis avant la crise ? C’est exactement le sujet que nous avons creusé dans notre article sur les raisons pour lesquelles une seule faille cache souvent plusieurs intrus : quand l’attaque survient, il est déjà trop tard pour improviser.

Le classeur cyber : le document que tout le monde redécouvre pendant l’exercice

C’est l’autre grande révélation de la simulation. À un moment de l’exercice, quelqu’un pose invariablement la question : « Mais on appelle qui, là ? On a le numéro de l’assureur ? Quelqu’un connaît la procédure de sauvegarde ? »

La réponse tient dans un objet physique que beaucoup de nos clients possèdent déjà sans l’avoir jamais ouvert en conditions réelles : le classeur cyber. C’est souvent pendant la simulation que les équipes comprennent enfin son rôle — et son importance vitale quand les écrans sont noirs et que plus rien de numérique n’est accessible.

Le classeur cyber que nous créons pour nos clients est structuré en 9 sections opérationnelles :

1. Registre des actifs informatiques — matériels, logiciels, licences
2. Registre des accès et des habilitations — qui a accès à quoi
3. Cartographie du système d’information — pour savoir quoi isoler, et dans quel ordre
4. Fiches réflexes en cas d’incident — ransomware, fuite de données, intrusion
5. Procédures de sauvegarde et plan de reprise
6. Checklist d’assurabilité cyber
7. Contacts d’urgence — prestataires, assureur, ANSSI, forces de l’ordre
8. Politique de sécurité interne
9. Suivi des actions correctives

Le livrable est un classeur complet, imprimé, prêt à l’emploi — et conçu pour être tenu à jour par vos équipes au quotidien. Parce qu’un classeur cyber qui dort sur une étagère ne sert à rien : la simulation est justement l’occasion de le faire vivre, de le tester, et de repérer ce qui manque.

Les 5 réflexes qui changent tout

Le débrief de fin d’exercice fait toujours émerger les mêmes constats. Qui décide ? Qui parle ? Qui agit ? La bonne réponse n’existe jamais seule : elle se joue en équipe. Et elle repose sur cinq réflexes que chaque participant repart en maîtrisant :

1. Débrancher, pas éteindre. On isole le réseau, mais on préserve les traces pour l’enquête.
2. Une voix décide, une voix parle. Les rôles sont définis avant la crise, pas pendant.
3. Les sauvegardes, c’est la vie. Hors-ligne. Et surtout : testées.
4. On note tout, à la minute. Pour la plainte, et pour l’assurance.
5. On prévient vite. ANSSI, CNIL sous 72 heures, clients, assureur.

Ces réflexes rejoignent ce que nous expliquions dans notre article sur la sensibilisation cyber, qui coûte toujours moins cher qu’une cyberattaque : la préparation est le seul investissement cyber dont le retour est garanti. Et comme nous le rappelions récemment, le coupable n’est jamais vraiment celui qui a cliqué : c’est l’organisation tout entière qui doit être prête.

Comment se déroule la simulation en pratique ?

La formation se déroule sur une demi-journée, suivie d’un déjeuner pris ensemble — un moment que nous avons volontairement intégré au format, parce que c’est là que reviennent les questions, et surtout les émotions. Une simulation de crise, même ludique, remue : on a besoin de ce temps pour redescendre et transformer le vécu en enseignements.

L’exercice accueille de 5 à 15 participants et se tient au choix dans nos locaux à Troyes ou Reims, ou directement dans votre entreprise — ce qui rend l’immersion encore plus troublante : c’est votre accueil, votre standard, vos bureaux qui deviennent le décor de la crise.

Le scénario est personnalisé pour votre activité : site e-commerce, industrie, services, association… les injects sont écrits pour votre réalité, vos clients, vos enjeux.

Tarif : 2 490 € pour la session complète (animation, scénario personnalisé, supports, débrief et déjeuner).

Envie de tester vos réflexes avant que la vraie crise ne s’en charge ? Contactez-nous via notre formulaire pour organiser votre simulation de cyberattaque, à Troyes, Reims ou dans vos locaux.

Julien Crozat dirige Zetruc, agence de communication et agence web à Troyes et Reims. Il conçoit et anime personnellement les simulations de cyberattaque en entreprise, aux côtés d’entrepreneurs, de réseaux de dirigeants et de gérants de sites e-commerce du Grand Est.