4.3 Retours d'expérience : ce que l'industrie a appris

Le 27 juin 2017, une cyberattaque massive du nom de NotPetya frappe le monde entier. Initialement diffusée via une mise à jour piégée du logiciel ukrainien M.E.Doc (utilisé pour la comptabilité ukrainienne), elle se propage en quelques heures à travers la planète.

NotPetya est un wiper déguisé en ransomware : il chiffre les données mais sans clé de déchiffrement réelle. L'objectif n'est pas l'extorsion mais la destruction. Origine attribuée à la Russie (GRU) dans un contexte de guerre cyber avec l'Ukraine.

Victimes majeures :

• Saint-Gobain a chiffré publiquement l'impact : 220 M€ de chiffre d'affaires en moins sur le premier semestre 2017, environ 250 M€ sur l'exercice complet, et 80 M€ de résultat d'exploitation.
• Plusieurs grands groupes industriels et logistiques européens et américains ont publié des impacts du même ordre, de l'ordre de la centaine de millions à quelques centaines de millions de dollars chacun.
• Total des pertes mondiales : environ 10 milliards de dollars selon une estimation de la Maison-Blanche, largement reprise depuis 2018.

Le mécanisme, qui est le vrai enseignement :

• La contamination entre par une filiale, via un logiciel local parfaitement légitime.
• Elle se propage latéralement sur le réseau interne du groupe, parce que rien ne cloisonne les entités entre elles.
• En quelques heures, des postes et serveurs sont inutilisables sur plusieurs pays et plusieurs activités : la prise de commande, la production et la logistique s'arrêtent ensemble.
• La reprise se compte en semaines, pas en heures, parce qu'il faut reconstruire avant de restaurer.

Enseignements PCA :

• L'interconnexion mondiale des SI rend la propagation extrêmement rapide.
• La segmentation géographique et fonctionnelle est cruciale (un wiper sur la Russie ne devrait pas couler la France).
• Les mises à jour de logiciels tiers sont une voie d'attaque privilégiée (supply chain attack).
• Le PRA doit être pensé pour le scénario « tous les serveurs corrompus simultanément ».
• La communication externe doit être anticipée, y compris vis-à-vis des actionnaires.

La pandémie de COVID-19, qui a commencé en Chine fin 2019 et frappé l'Europe en mars 2020, a constitué le plus grand test grandeur réelle de PCA jamais subi par l'économie mondiale.

Impacts en France :

• Du 17 mars au 11 mai 2020 : confinement strict, ~ 50 % de l'activité française basculée en télétravail forcé.
• ~ 12 millions de salariés au chômage partiel en avril 2020.
• Un recours massif à l'activité partielle et aux dispositifs publics de soutien, qui ont contenu les défaillances d'entreprises pendant la crise — celles-ci sont d'ailleurs reparties à la hausse après la fin des aides, ce qui est un enseignement en soi sur le décalage entre le choc et ses effets.
• Une installation durable du télétravail dans les activités qui s'y prêtent, alors qu'il restait marginal avant 2020.

Enseignements PCA majeurs :

• Le télétravail à grande échelle est techniquement faisable mais demande de l'organisation. Les organisations qui avaient anticipé (équipement individuel, VPN dimensionné, applications web) ont basculé en 24-72 h. Les autres ont mis 2-4 semaines.
• La chaîne d'approvisionnement mondiale est plus vulnérable qu'imaginé. Dépendance à la Chine pour les masques, semiconducteurs, médicaments — qui a déclenché une réflexion stratégique sur la souveraineté.
• Les scénarios de crise longue (mois à années) ne sont pas couverts par les PCA classiques pensés pour des crises courtes (heures à jours).
• La résilience humaine (santé mentale, RPS, isolement, équilibre vie pro / vie perso) devient un sujet de continuité.
• La communication interne en crise prolongée nécessite des canaux et rythmes adaptés.
• L'agilité organisationnelle est un facteur clé : les structures hiérarchiques rigides ont moins bien performé que celles avec délégation.

Bénéfices indirects de la crise :

• Accélération de la transformation digitale dans la plupart des organisations (e-commerce, signature électronique, dématérialisation).
• Adoption massive des outils de visioconférence et de travail collaboratif, qui sont devenus de fait des ressources critiques à intégrer au PCA.
• Modernisation des politiques RH (télétravail négocié, flexibilité, droit à la déconnexion).
• Émergence d'une culture de la résilience au sein du COMEX.

Le 10 mars 2021 à 00h47, un incendie se déclare dans le datacenter SBG2 d'OVHcloud à Strasbourg. Le feu, parti d'un onduleur, se propage rapidement et détruit totalement le bâtiment en quelques heures.

Impacts :

• 3,6 millions de sites web rendus inaccessibles dans le monde.
• Plusieurs milliers de PME et associations ont définitivement perdu leurs données — pas de sauvegardes externes.
• Le datacenter SBG1 voisin partiellement endommagé.
• Réseau OVHcloud Strasbourg coupé plusieurs jours.
• Reconstruction du datacenter : plus de 2 ans, plusieurs centaines de millions d'euros.

Sur les causes, les constats techniques ont porté sur le local des onduleurs comme point de départ, et sur la conception du bâtiment — structure à ossature métallique et bois, circulation d'air naturelle, absence d'extinction automatique généralisée — qui a favorisé une propagation très rapide. Les suites techniques et judiciaires se sont poursuivies pendant plusieurs années ; les analyses définitives relèvent des expertises judiciaires.

La suite judiciaire est la partie la plus instructive pour un responsable de continuité. Le tribunal de commerce de Lille Métropole, dans un jugement du 26 janvier 2023, a retenu un manquement contractuel de l'hébergeur : l'offre commerciale présentait les sauvegardes comme « physiquement isolées » de l'infrastructure du serveur, alors que les réplications se trouvaient dans le même bâtiment. Le client, dont les données et les sauvegardes avaient disparu dans l'incendie, s'est vu accorder 100 000 € de dommages et intérêts.

Mais la cour d'appel de Douai a réformé ce jugement le 24 avril 2025 : le manquement est confirmé, l'indemnisation est en revanche ramenée au plafond prévu au contrat, soit 1 800 € — six mensualités d'abonnement —, la cour jugeant valable la clause limitative de responsabilité.

Enseignements PCA :

• Un datacenter peut intégralement brûler en quelques heures, même en France, même chez un opérateur professionnel. La théorie « ça n'arrive jamais » est fausse.
• La sauvegarde externalisée (règle 3-2-1) est non négociable, même chez un cloud provider apparemment fiable.
• La redondance à l'intérieur d'un même site ne protège pas contre la destruction du site. Il faut vérifier la localisation physique réelle des copies, pas seulement la mention d'une « réplication » dans une offre.
• Le contrat se lit avant l'incident : périmètre exact du service de sauvegarde, localisation, engagements de disponibilité et — surtout — plafond d'indemnisation.
• Le modèle de responsabilité partagée laisse la sauvegarde des données à la charge du client dans la plupart des offres d'infrastructure. Héberger n'est pas sauvegarder.

Le 7 mai 2021, Colonial Pipeline, principal oléoduc de produits raffinés des États-Unis (environ 8 800 km, soit 5 500 miles, et près de la moitié du carburant consommé sur la côte Est), est victime du ransomware DarkSide. Pour la première fois dans l'histoire moderne, une infrastructure critique d'énergie est mise à l'arrêt par une cyberattaque.

Conséquences :

• Pipeline arrêté 6 jours (7-13 mai).
• État d'urgence régional déclaré dans 17 États américains.
• Pénurie de carburant dans plusieurs États, scènes de queues aux stations.
• Hausse du prix moyen du carburant à la pompe sur la côte Est, alimentée autant par les achats de panique que par la rupture logistique elle-même.
• Rançon payée : 4,4 M$ en bitcoin (75 BTC). Le FBI a récupéré 63,7 BTC quelques semaines plus tard.
• Conséquences politiques : auditions devant le Congrès américain et accélération des obligations de cybersécurité imposées aux opérateurs d'infrastructures critiques.

Causes :

• Compromission d'un compte VPN obsolète d'un ancien employé.
• Pas d'authentification multi-facteurs (MFA) sur ce compte.
• Latéralisation rapide dans le SI corporate.
• Activation manuelle de la coupure du pipeline par mesure de précaution (le SI industriel n'était pas directement compromis, mais l'incertitude a justifié l'arrêt).

Enseignements PCA :

• Le cyber peut paralyser le monde physique — pipelines, énergie, transports, eau. C'est désormais un enjeu national de sécurité.
• MFA obligatoire sur tous les accès distants — sans exception, y compris pour les comptes des anciens employés.
• Désactivation immédiate des comptes lors des départs (off-boarding).
• Segmentation entre SI corporate et SI industriel (OT — Operational Technology) impérative.
• La décision de payer peut être justifiée par l'urgence (sécurité d'approvisionnement), mais elle reste contestable.
• Le FBI a montré qu'il pouvait parfois récupérer les rançons en bitcoin — ce qui rebat les cartes économiques du ransomware.

Réponse réglementaire US : décret 14028 du 12 mai 2021 sur la cybersécurité (Executive Order Biden), création du Cyber Safety Review Board (CSRB), programmes JCSC. La France et l'Europe ont suivi avec NIS2 (2024) et DORA (2025).

Le 19 juillet 2024 à 04h09 UTC, l'éditeur de cybersécurité CrowdStrike diffuse une mise à jour de son agent Falcon Sensor contenant un bug critique. Conséquence : tous les PC Windows protégés par Falcon entrent en boucle de BSOD (Blue Screen of Death).

Impacts :

• 8,5 millions de postes Windows en panne dans le monde.
• Transport aérien : des milliers de vols annulés dans le monde, enregistrement des passagers revenu au traitement manuel.
• Hôpitaux aux États-Unis et au Royaume-Uni : services administratifs et de prise en charge en panne.
• Banques, services financiers : guichets fermés temporairement.
• Gares ferroviaires au Royaume-Uni et aux Pays-Bas paralysées.
• Coût total : les estimations publiées se comptent en milliards de dollars, avec de fortes divergences selon les méthodes retenues.
• Durée de remise en service : 6-48 h selon les organisations.

Causes :

• Bug de programmation dans le composant kernel de Falcon Sensor.
• Mise à jour automatique sans phase de test progressive (deployment massif).
• Pas de mécanisme de rollback automatique.
• Remise en service difficile car le BSOD bloque le démarrage — intervention manuelle requise sur chaque poste.

Enseignements PCA :

• Le risque de concentration sur quelques éditeurs critiques est devenu un risque systémique : quand un même agent de sécurité est déployé sur une part majeure des postes d'entreprise de la planète, son défaut devient une panne mondiale.
• Les mises à jour automatiques de logiciels de sécurité créent une dépendance critique invisible — un seul bug peut tout casser.
• La diversification multi-éditeur est une stratégie de résilience mais alourdit la complexité opérationnelle.
• Le PRA doit prévoir le scénario « tous les postes en panne simultanément » — différent du ransomware classique.
• La réversibilité (rollback) doit être testée en amont pour tout déploiement massif.
• Le plan de reprise doit prévoir une intervention physique : ici, le correctif exigeait un accès local à chaque poste. Un parc en télétravail complet, ou un site distant sans personnel technique, transforme une réparation de cinq minutes en plusieurs jours de logistique.

L'éditeur a publié une analyse de cause racine et engagé des mesures correctives : renforcement des contrôles de validation, déploiement progressif par vagues plutôt que simultané, et possibilité pour les clients de contrôler le rythme des mises à jour. C'est précisément ce que doit exiger un client critique d'un fournisseur non substituable.

L'analyse comparée de ces crises majeures révèle 7 enseignements transversaux qui structurent la doctrine PCA moderne :

1. Le cyber est le risque n° 1 — NotPetya, Colonial Pipeline, CrowdStrike. Les attaques sont plus fréquentes, plus graves, et de plus en plus systémiques.
2. L'interconnexion crée la propagation — la mondialisation des SI fait qu'un incident local se propage mondialement en quelques heures.
3. La chaîne d'approvisionnement logicielle est une porte d'entrée — en 2017 par un logiciel comptable local, en 2024 par une mise à jour de sécurité. Dans les deux cas, le canal était légitime et automatique.
4. Le scénario de crise longue existe — COVID-19 a montré que les crises peuvent durer des mois ou des années. Les PCA doivent s'adapter.
5. La concentration chez quelques fournisseurs est un risque systémique — c'est ce que vise la supervision européenne des prestataires TIC critiques instaurée par DORA.
6. La règle 3-2-1-1-0 n'est pas négociable — copies hors site, immuables, et surtout testées. L'incendie de mars 2021 et sa suite judiciaire montrent qu'aucun contrat ne remplace une sauvegarde à soi.
7. La communication compte autant que la résolution technique — une reprise réussie mal expliquée laisse une trace durable, et une indisponibilité annoncée avec des points d'étape réguliers en laisse beaucoup moins.

Veille : les sources publiques et gratuites à suivre

• CERT-FR : alertes, avis de sécurité et panorama annuel de la cybermenace.
• ANSSI : guides méthodologiques, qualifications de prestataires.
• ENISA : analyses de la menace à l'échelle européenne.
• NIST : cadre de cybersécurité, utile comme grille de maturité.
• Cybermalveillance.gouv.fr : assistance aux victimes, fiches réflexes pour les TPE-PME et les collectivités.