Démo interactive · données 100 % fictives
Prenez les commandes. Comme le jour J.
Deux extraits jouables du scénario « Lundi noir » : enquêtez dans la console SIEM du rôle Cyber/IT, puis répondez aux collaborateurs inquiets dans la peau des RH. Directement dans votre navigateur, sans inscription.
Valmara SA (fictive)
Mécanique de précision, 42 collaborateurs
Lundi, 08 h 40
Les écrans de l’atelier affichent une demande de rançon
Votre mission
Comprendre l’attaque et garder les équipes sous contrôle
Astuce : ces démonstrations sont pensées pour un écran d’ordinateur, comme l’exercice réel. Elles restent utilisables sur mobile.
Vigie SOC
SIEM · EDR · Valmara SA
Lun 08:40:00
Temps réel · lundi matin
Collecte active1’747événements16alertes non triées0machine isolée0compte désactivé0IOC bloqué
1’747 / 1’747 évén.
FiltresExemples :
Volume d’événements · lundi matin (tranches de 5 min)
Ven–Dim06:0006:3007:0007:3008:0008:3008:40
Votre enquête0/5 · 00:00
1
Le chiffrement a commencé. Sur quel serveur ?
Les écrans de l’atelier affichent une demande de rançon. Remontez à la source du chiffrement : cherchez l’événement le plus grave.
Quel compte l’attaquant a-t-il utilisé pour atteindre ce serveur ?
Comment le poste de Thomas a-t-il été compromis ?
D’où venait le courriel piégé ? Le compte de Nadia a-t-il été détourné ?
Des données sont-elles sorties ? Vers où ?
Sources
Sévérités
Hôtes
Comptes
1’747 résultats
| Heure | Sév. | Message |
|---|---|---|
| Lun 08:39:20 | Info | Ticket Kerberos accordé (4768) — n.berset |
| Lun 08:39:19 | Info | Fichier consulté dans SharePoint par Yves Pernet |
| Lun 08:39:14 | Info | Connexion réussie à SharePoint (MFA satisfaite) |
| Lun 08:38:42 | Crit | ERP indisponible — les machines-outils CNC perdent l’accès au partage de fichiers |
| Lun 08:38:23 | Info | Résolution DNS transitaire-lemania.example → 198.51.100.20 |
| Lun 08:38:18 | Info | Connexion réussie à SharePoint (MFA satisfaite) |
| Lun 08:38:17 | Info | Mise à jour des signatures EDR (v2025.10.23) |
| Lun 08:38:08 | Faib | Résolution DNS sync-telemetry.example → 203.0.113.88 |
| Lun 08:38:05 | Faib | Flux sortant régulier 10.20.2.22 → 203.0.113.88:443 (balise périodique) |
| Lun 08:37:24 | Info | Courriel accepté de contact@transitaire-lemania.example vers f.henchoz@valmara.example |
| Lun 08:37:22 | Info | GET https://transitaire-lemania.example/ — 200 (93 Ko) |
| Lun 08:37:21 | Info | Connexion réussie à Microsoft 365 (MFA satisfaite) |
| Lun 08:37:10 | Faib | Résolution DNS sync-telemetry.example → 203.0.113.88 |
| Lun 08:37:07 | Faib | Flux sortant régulier 10.20.2.22 → 203.0.113.88:443 (balise périodique) |
| Lun 08:36:34 | Info | Message Teams envoyé |
| Lun 08:36:33 | Info | Courriel accepté de no-reply@maj-postes.example vers g.maillard@valmara.example |
| Lun 08:36:24 | Info | Connexion réussie à Portail RH (MFA satisfaite) |
| Lun 08:36:12 | Faib | Résolution DNS sync-telemetry.example → 203.0.113.88 |
| Lun 08:36:09 | Faib | Flux sortant régulier 10.20.2.22 → 203.0.113.88:443 (balise périodique) |
| Lun 08:35:33 | Faib | Résolution DNS sync-telemetry.example → 203.0.113.88 |
| Lun 08:35:28 | Info | Ticket Kerberos accordé (4768) — m.burdet |
| Lun 08:35:23 | Info | Connexion réussie à ERP SaaS (MFA satisfaite) |
| Lun 08:35:22 | Info | GET https://transitaire-lemania.example/ — 200 (321 Ko) |
| Lun 08:35:21 | Info | Résolution DNS maj-postes.example → 198.51.100.20 |
| Lun 08:35:11 | Faib | Flux sortant régulier 10.20.2.22 → 203.0.113.88:443 (balise périodique) |
| Lun 08:34:47 | Faib | Résolution DNS sync-telemetry.example → 203.0.113.88 |
| Lun 08:34:44 | Crit | Renommage massif de fichiers en « .vlmr » sur SRV-FS01 — chiffrement en cours |
| Lun 08:34:43 | Crit | Création de « LISEZ-MOI.txt » dans chaque dossier partagé de SRV-FS01 (note de rançon) |
| Lun 08:34:34 | Faib | Flux sortant régulier 10.20.2.22 → 203.0.113.88:443 (balise périodique) |
| Lun 08:34:27 | Info | Résolution DNS erp-saas.example → 198.51.100.20 |
| Lun 08:34:26 | Info | Ticket Kerberos accordé (4768) — p.mottier |
| Lun 08:34:25 | Info | Connexion réussie à ERP SaaS (MFA satisfaite) |
| Lun 08:33:48 | Faib | Flux sortant régulier 10.20.2.22 → 203.0.113.88:443 (balise périodique) |
| Lun 08:33:45 | Faib | Résolution DNS sync-telemetry.example → 203.0.113.88 |
| Lun 08:33:28 | Info | Connexion réussie à Microsoft 365 (MFA satisfaite) |
| Lun 08:33:27 | Info | Courriel accepté de contact@portail-rh.example vers o.grosjean@valmara.example |
| Lun 08:33:13 | Info | Résolution DNS poste-suisse.example → 198.51.100.20 |
| Lun 08:32:46 | Faib | Flux sortant régulier 10.20.2.22 → 203.0.113.88:443 (balise périodique) |
| Lun 08:32:43 | Faib | Résolution DNS sync-telemetry.example → 203.0.113.88 |
| Lun 08:32:16 | Info | Résolution DNS poste-suisse.example → 198.51.100.20 |
| Lun 08:32:15 | Info | Fichier consulté dans SharePoint par Nadia Perrin |
| Lun 08:32:14 | Info | Résolution DNS erp-saas.example → 198.51.100.20 |
| Lun 08:31:44 | Faib | Flux sortant régulier 10.20.2.22 → 203.0.113.88:443 (balise périodique) |
| Lun 08:31:41 | Faib | Résolution DNS sync-telemetry.example → 203.0.113.88 |
| Lun 08:31:19 | Info | Connexion réussie à SharePoint (MFA satisfaite) |
| Lun 08:31:18 | Info | Flux sortant autorisé 10.20.2.45 → visio-pro.example:443 |
| Lun 08:31:17 | Info | Connexion réussie à Microsoft 365 (MFA satisfaite) |
| Lun 08:30:48 | Info | GET https://poste-suisse.example/ — 200 (463 Ko) |
| Lun 08:30:47 | Info | Comptabilisation d’une facture |
| Lun 08:30:42 | Faib | Flux sortant régulier 10.20.2.22 → 203.0.113.88:443 (balise périodique) |
| Lun 08:30:20 | Info | Courriel délivré à v.decosterd@valmara.example |
| Lun 08:30:06 | Faib | Résolution DNS sync-telemetry.example → 203.0.113.88 |
| Lun 08:29:52 | Info | Courriel accepté de facturation@horaires-ch.example vers d.pitteloud@valmara.example |
| Lun 08:29:51 | Info | GET https://horaires-ch.example/ — 200 (60 Ko) |
| Lun 08:29:50 | Info | Flux sortant autorisé 10.20.2.52 → carto-routes.example:443 |
| Lun 08:29:49 | Info | Flux sortant autorisé 10.20.3.56 → signature-pdf.example:443 |
| Lun 08:29:12 | Faib | Résolution DNS sync-telemetry.example → 203.0.113.88 |
| Lun 08:29:05 | Faib | Flux sortant régulier 10.20.2.22 → 203.0.113.88:443 (balise périodique) |
| Lun 08:28:56 | Info | GET https://banque-cantonale.example/ — 200 (365 Ko) |
| Lun 08:28:54 | Info | Flux sortant autorisé 10.20.2.38 → fournisseur-acier.example:443 |
1’747 résultats sur 1’747 · 60 affichés
Votre enquête0/5 · 00:00
1
Le chiffrement a commencé. Sur quel serveur ?
Les écrans de l’atelier affichent une demande de rançon. Remontez à la source du chiffrement : cherchez l’événement le plus grave.
Quel compte l’attaquant a-t-il utilisé pour atteindre ce serveur ?
Comment le poste de Thomas a-t-il été compromis ?
D’où venait le courriel piégé ? Le compte de Nadia a-t-il été détourné ?
Des données sont-elles sorties ? Vers où ?
Cellule RH · Valmara SA
Rançongiciel en cours · Lundi 08:40
- 08:4108:41, Appel : à venir
- 08:4708:47, Messagerie interne : à venir
- 08:5508:55, Groupe : à venir
- 09:0409:04, SMS : à venir
- 09:1209:12, Appel : à venir
Moral collectif
58/100
Fragile
Rumeurs
40/100
Persistantes
Exposition médiatique
10/100
Discrète
Continuité de la production
70/100
Assurée
08:40
Lundi
08:40
Messagerie interne08:40Atelier & logistiqueYannick Pasche : C’est quoi ce message de rançon ???Messagerie interne08:39Élodie FragnièreLes écrans de l’atelier sont tous rouges, tu es au courant ?Appels manqués08:39Accueil · Interne 1002 appels manqués
Interaction 1 sur 5 · 08:41
Appel de Luca Moretti
Opérateur CNC · Atelier
60
60 sLuca vous parle. Lisez-les dans le téléphone : les réponses s’affichent ensuite ici.
Le plateau
30 collaborateurs sur site8 calmes17 inquiets5 paniqués
AtelierÉcrans : rançon
Bureau technique
Logistique
Administration & finance
Ventes
Direction
Informatique
CalmeInquietPaniquéEn ligne avec vousColporte des rumeurs
Main courante
horodatée automatiquement2- 08:38AlerteLes postes de l’atelier affichent une demande de rançon.
- 08:40ÉvénementLa direction réunit la cellule de crise. Vous y représentez les RH.
Rôle RH · environ 3 minutes
Lundi, 08:40. Le téléphone ne s’arrête plus.
Chez Valmara SA, les écrans de l’atelier affichent une demande de rançon. Vous êtes responsable des ressources humaines : les collaborateurs s’inquiètent, les questions fusent, et chacune de vos réponses compte.
- Cinq sollicitations : appels, messagerie interne, groupe, SMS.
- 60 secondes pour répondre à chacune (pause possible). Répondez au clic ou avec 1 2 3.
- Vos réponses font bouger le moral, les rumeurs, l’exposition médiatique et la production.
Dans l’exercice complet
Ici, vous jouez seul. Le jour de l’exercice, toute l’équipe joue ensemble.
Chaque rôle dispose de ses propres outils et de ses propres informations. Ce que l’un découvre, l’autre en a besoin : la collaboration devient indispensable.
- Quatre rôles en simultané : Cyber/IT, RH, Direction/Communication, Juridique/Conformité, plus un maître du jeu optionnel.
- Un adversaire qui réagit : isolez trop tard ou communiquez par un canal compromis, et l’attaquant accélère.
- Des obligations légales suisses suivies en temps réel : OFCS, PFPDT, police cantonale, assureur, clients.
- Un débrief guidé et un rapport PDF : chronologie réelle de l’attaque comparée à vos actions, plan d’amélioration priorisé.