Cyberattaque : l'illusion de la restauration totale

Le premier réflexe après une cyberattaque ? Tout restaurer. C'est aussi la première erreur, et elle peut être fatale.

Quand une cyberattaque met une entreprise à terre, le premier réflexe des dirigeants est presque toujours le même : tout remettre en ligne, le plus vite possible. C'est précisément ce réflexe qui prolonge la crise. Car la question qui sépare les organisations qui se relèvent de celles qui s'enlisent n'est pas de savoir comment tout restaurer, mais quoi restaurer en premier, dans quel ordre, et avec quel degré de confiance.

Le constat n'a rien d'abstrait. Les données du site ransomware.live font état de 189 attaques par ransomwares réussies en France en 2025, contre 139 en 2024. Sur les 6 premiers mois de 2026, 122 attaques ont déjà été recensées, témoignant d’une menace toujours plus importante pour les organisations.  

Dans son Panorama de la cybermenace 2025, publié le 11 mars dernier, l'ANSSI a traité 1 366 incidents de sécurité sur l'année, un niveau qui reste élevé et stable par rapport à 2024. Son directeur général, Vincent Strubel, y décrit une menace devenue "systémique", marquée par l'effacement de la frontière entre cybercriminels et acteurs étatiques, et par l'apparition d'attaques aux effets physiques destructeurs. La série d'attaques coordonnées contre les infrastructures électriques polonaises, fin 2025, a donné un visage concret à ce scénario que la France redoute pour ses propres systèmes critiques.

Quand l'objectif de l'attaquant est de détruire

Pendant des années, les plans de reprise ont été pensés pour une panne : un serveur qui tombe, un site qui flanche, une donnée à récupérer. Les attaques dites "effaceuses", les wipers, changent la donne. Leur but n'est pas de chiffrer pour rançonner, mais de rendre les systèmes inutilisables ou indignes de confiance. Postes vidés, accès coupés, activité à l'arrêt : il ne s'agit plus d'anticiper une défaillance partielle, mais une rupture d'ensemble.

Vouloir tout relancer d'un bloc revient alors à courir trois risques à la fois. On ralentit la reprise en saturant des équipes déjà sous tension. On réinjecte les vulnérabilités qui ont permis l'intrusion. Et l'on fragilise la confiance, au moment précis où il faudrait la reconstruire. L'Anssi en donne une illustration frappante : une entreprise, ayant détecté la compromission avant le chiffrement, a choisi de débrancher physiquement son centre de données. La décision a peut-être évité le pire, mais elle a provoqué un arrêt total, un redémarrage incertain et la perte de traces utiles à l'enquête. La leçon de l'agence est sans ambiguïté : l'endiguement se prépare en amont, il ne s'improvise pas dans l'urgence.

Définir son strict minimum vital

Les organisations les plus résilientes adoptent la logique inverse. Plutôt que de viser le retour complet, elles définissent à froid leur strict minimum vital, ce que les Anglo-Saxons appellent la Minimum Viable Company : la version la plus réduite de l'entreprise encore capable d'opérer, de servir ses clients et de tenir ses engagements en conditions extrêmes.

Ce n'est pas un sujet technique, c'est une décision de direction. Il s'agit d'identifier la combinaison minimale de personnes, de processus, d'outils, de documentation et de dépendances qui permet de fonctionner en mode dégradé. On peut y voir l'équivalent de l'éclairage de secours d'un bâtiment : juste assez de capacité pour mettre l'organisation à l'abri pendant la crise et guider la sortie.

Rebâtir les fondations avant de relancer l'activité

Avant de redémarrer la moindre application métier, il faut reconstruire le socle qui permet de reprendre le contrôle : infrastructures de base (réseau, DNS, outils de sécurité), mais aussi schémas réseau, plans de réponse, contrats d'assurance, coordonnées des experts externes, et des canaux de communication sûrs et indépendants. Car dans bien des incidents, la première défaillance n'est pas logicielle, elle est humaine : une entreprise dont les équipes ne peuvent plus se coordonner ne se relève pas.

Au cœur de ce socle se trouve la gestion des identités. Sans un annuaire de connexion sain, à commencer par l'Active Directory, aucune restauration sûre n'est possible. Ces systèmes ne contiennent pas de simples listes d'utilisateurs : compromis, ils peuvent redéployer un logiciel malveillant ou rouvrir des portes dérobées. Restaurer ses applications sur une identité corrompue, c'est inviter l'attaquant à reprendre la main aussitôt. La priorité absolue n'est donc pas de tout relancer, mais de rétablir la confiance dans les accès.

Un "kit de premiers secours cyber", à l'écart de la zone sinistrée

Encore faut-il disposer du nécessaire au bon endroit. D'où l'intérêt d'un référentiel sécurisé et isolé, une sorte de kit de premiers secours cyber, qui réunit images système durcies, identifiants privilégiés, éléments de récupération des identités, manuels de réponse, contacts clés et licences essentielles. Sa caractéristique principale : il vit en dehors de l'environnement de production compromis et reste accessible quand tout le reste est tombé.

De la théorie à la preuve

Un plan qui n'a jamais été éprouvé reste une fiction rassurante. La résilience se démontre sur le terrain : clarté sur les services critiques, socle fiable, isolation des actifs de reprise, capacité à restaurer dans un environnement protégé, aptitude validée à fonctionner en mode dégradé. Ce sont les exercices répétés, et eux seuls, qui permettent de répondre à la seule question qui intéresse un conseil d'administration : combien de temps faut-il, concrètement, pour rétablir nos services critiques dans un état pleinement sûr ?

Cette exigence devient une obligation. Depuis le 17 janvier 2025, le règlement européen DORA impose au secteur financier des plans de continuité et de reprise réellement testés, la cyberattaque ayant frappé le prestataire Harvest en début d'année a rappelé combien la chaîne de sous-traitance est exposée. Et la directive NIS2, dont la transposition française au sein de la loi Résilience est attendue à l'été 2026, étendra des exigences comparables à 15 000 à 18 000 entités, bien au-delà des seuls grands groupes.

Le vrai risque, au fond, n'a jamais été l'échec technique des sauvegardes. Il réside dans l'incapacité à hiérarchiser les priorités et à maîtriser le retour à la normale. C'est toute la différence entre une reprise subie, vécue comme une opération technique, et une reprise pilotée, assumée comme une compétence de l'entreprise.