Ce qui va se passer
Vendredi, 16 h 47. La comptable reçoit la facture d’un fournisseur habituel. Le lien mène à une fausse page de connexion : en quelques secondes, l’attaquant récupère sa session Microsoft 365, MFA comprise. Tout le week-end, il observe sans bruit.
Lundi matin, il rebondit sur le poste du responsable informatique grâce à une pièce jointe envoyée depuis la vraie boîte de la comptable. À 8 h 34, le serveur de fichiers est chiffré, l’atelier s’arrête et une demande de rançon s’affiche sur tous les écrans.
Les participants doivent reconstituer l’attaque, la contenir avant qu’elle n’atteigne les dernières sauvegardes, garder les équipes sous contrôle, répondre aux clients et à la presse, décider s’il faut payer, et respecter les délais d’annonce.
Ce qui attend chaque participant
Chaque rôle a ses propres informations, ses propres outils et ses propres urgences. Aucun ne peut réussir seul.
Cyber / IT
Retrouver le patient zéro parmi des milliers d’événements, isoler les bonnes machines, couper le canal de commande, protéger les sauvegardes.
Ressources humaines
Contenir la panique de l’atelier, accompagner la comptable qui se sent coupable, empêcher les fuites sur les réseaux sociaux.
Direction / Communication
Convoquer la cellule de crise, arbitrer l’arrêt de la production, la rançon, le recours à un prestataire, répondre à la journaliste.
Juridique / Conformité
Établir si des données personnelles ont fuité, annoncer au PFPDT si le risque est élevé, déclarer à l’assureur, préparer la plainte.
Le fil de l’exercice
Les temps sont indicatifs : l’attaquant et les événements s’adaptent à vos décisions.
- T+0
L’alerte
Les écrans de l’atelier affichent la demande de rançon. Les premiers appels arrivent.
- T+20 min
Qualification
Patient zéro, périmètre touché, convocation de la cellule de crise.
- T+45 min
Confinement
L’attaquant réagit à vos actions et tente d’atteindre les sauvegardes.
- T+70 min
Décisions
Rançon, communication publique, annonces légales, reprise d’activité.
- Fin
Révélation et débrief
La chronologie réelle de l’attaque est comparée à vos actions.
Objectifs pédagogiques
- Détecter et qualifier la compromission d’un compte cloud (hameçonnage « adversaire au milieu »)
- Prioriser le confinement : comptes, postes, serveurs, sauvegardes
- Mettre en place une cellule de crise et un circuit de décision clair
- Communiquer en interne sans alimenter la panique
- Respecter les obligations d’annonce selon votre profil (PFPDT, OFCS, assureur)
- Aborder la question de la rançon de façon éclairée
Les pièges qui vous attendent
- Coordonner la crise par la messagerie compromise : l’attaquant lit tout
- Éteindre les serveurs et détruire les preuves en mémoire
- Restaurer des sauvegardes déjà compromises
- Promettre qu’aucune donnée n’a fuité avant d’en être sûr
Les techniques de l’attaquant, telles qu’elles apparaîtront dans les journaux et au débrief.
- T1566.002Hameçonnage par lien
- T1557Adversaire au milieu (AiTM)
- T1564.008Règles de messagerie dissimulées
- T1534Hameçonnage interne
- T1059.001PowerShell
- T1003.001Mémoire du processus LSASS
- T1021.002Partages administratifs SMB
- T1490Entrave à la restauration du système
- T1567.002Exfiltration vers un stockage en ligne
- T1486Chiffrement des données
nLPD, art. 24
Annonce au PFPDT dans les meilleurs délais si la violation présente un risque élevé pour les personnes concernées.
LSI : signalement à l’OFCS
Pour les exploitants d’infrastructures critiques : signalement de la cyberattaque dans les 24 heures.
Assurance cyber
Délais et conditions de déclaration prévus par le contrat.
Police cantonale
Dépôt de plainte et préservation des preuves.
Les obligations se déclenchent dans le jeu selon le profil de votre organisation. Le scénario a une vocation pédagogique et ne constitue pas un avis juridique.
Continuez l’entraînement
Agent double
Un PDF piégé suffit : votre assistant IA exporte des dossiers clients, modifie des IBAN et paie l’attaquant. Le jour de la paie.
La voix du patron
Une voix clonée obtient une réinitialisation MFA. Deux nuits plus tard, 180’000 fiches clients servent de monnaie de chantage.
Zero Day
Samedi 05:40, la supervision de l’eau ne répond plus. Une infrastructure critique en mode manuel, et 24 heures pour signaler.
Prêt à jouer « Lundi noir » ?
Réservez une session ou demandez une démonstration : vous recevez un lien et des identifiants, vos équipes n’ont rien à installer.
Entraînez-vous à la crise. Avant qu’elle n’arrive.