Ransomware : j'ai dirigé trois cellules de crise, l'attaquant n'était jamais le problème

Une demande de rançon à dix millions d'euros, un règlement à un million, et une feuille de route de sécurité remise quelques mois plus tôt sans jamais être exécutée.

Le téléphone a sonné à trois heures du matin. Au bout du fil, un dirigeant que j'avais rencontré quelques mois plus tôt dans des circonstances nettement plus confortables. Nous avions audité son organisation. Le constat était mauvais, le rapport sans ambiguïté, la feuille de route remise et validée en comité. Elle a été lue, commentée, approuvée, puis rangée.

Il ne m'appelait pas pour l'audit. Il m'appelait parce que ses systèmes étaient chiffrés et qu'une demande de rançon de dix millions d'euros venait de tomber.

J'ai passé une partie de ma carrière à expliquer en séance pourquoi il fallait faire certaines choses, et une autre partie à gérer de nuit les conséquences de ne pas les avoir faites. Le métier a le sens de l'ironie.

J'ai dirigé trois réponses à incident de ce type. On en parle beaucoup, presque toujours de l'extérieur, et presque toujours pour trancher la seule question qui n'est pas la bonne.

La première question n'est jamais celle du paiement

Quand la cellule se constitue, personne de sérieux ne demande s'il faut payer. On demande si l'hémorragie est arrêtée, ce que l'on contrôle encore, combien de temps l'organisation tient sans ses systèmes. Payer ou ne pas payer relève de l'arbitrage, et un arbitrage sans information ne vaut rien.

Il y a toujours un moment, dans la première heure, où quelqu'un demande si on ne peut pas simplement restaurer depuis les sauvegardes. Il y a toujours un silence juste après. Les sauvegardes existent en général. Elles ont parfois été testées. Presque jamais sur le scénario en cours, qui consiste à reconstruire l'intégralité d'un système d'information pendant que l'attaquant dispose encore de comptes d'administration valides.

C'est le premier écart que je constate systématiquement. Ceux qui posent immédiatement la question du paiement sont ceux qui ne seront pas dans la pièce à la quarante-huitième heure. Les autres cherchent d'abord à savoir sur quoi ils décident.

La négociation se joue dans la pièce

Le dirigeant veut un chiffre, tout de suite, parce qu'un chiffre lui rend l'illusion d'une décision possible. La direction financière veut savoir comment cela s'écrit comptablement et si l'assurance suit. Elle finit toujours par demander si c'est déductible. La question paraît obscène sur le moment, elle est parfaitement légitime, et personne autour de la table ne connaît la réponse.

Le juriste veut une trace de tout, et il a raison, parce que chaque phrase prononcée cette nuit-là sera relue plus tard, par un régulateur, par un assureur ou par un actionnaire. L'assureur, lui, arrive avec son propre négociateur et son propre agenda, qui recoupe le vôtre sans lui être identique. L'exploitation a déjà pris des décisions que personne n'a validées. Des liens coupés, des serveurs redémarrés, parfois des preuves effacées de bonne foi par des gens qui voulaient bien faire à deux heures du matin.

La cellule se réunit d'abord sur les outils de l'entreprise, jusqu'à ce que quelqu'un fasse remarquer que ces outils appartiennent au périmètre compromis. On bascule sur les téléphones personnels et sur un groupe créé dans l'urgence, où un dirigeant découvre qu'il ne possède le numéro d'aucun de ses cadres. Vers quatre heures du matin, quelqu'un commande des pizzas. Cela figure dans les trois retours d'expérience que j'ai animés, et c'est le seul point sur lequel les organisations françaises sont irréprochables.

Voilà la vraie négociation. Cinq intérêts légitimes, aucun mandat clair, et personne qui détienne simultanément l'information, l'autorité et le budget. L'attaquant envoie un message toutes les douze heures. Il fournit l'horloge, rien de plus.

L'attaquant, lui, a un service client

Le portail de négociation est propre. Il y a un chat, un numéro de dossier, un compte à rebours et un interlocuteur qui répond en anglais correct avec une courtoisie commerciale déconcertante. Il propose de déchiffrer gratuitement trois fichiers pour prouver sa bonne foi. Il consent parfois une remise en cas de règlement rapide. Il relance poliment si vous tardez.

Le contraste est brutal. D'un côté une organisation qui découvre qu'elle n'a ni annuaire de crise, ni copie hors ligne de ses procédures, ni certitude sur l'identité de son décideur. De l'autre une structure criminelle qui pilote son tunnel de conversion mieux que beaucoup de directions commerciales.

Ce contraste explique le déséquilibre. Eux font cela toute l'année, avec des processus rodés et des statistiques. Vous, c'est la première fois, et il est quatre heures du matin.

Un million au lieu de dix, et une promesse

Dans ce cas précis, un négociateur professionnel est intervenu. La demande est passée de dix millions à un million. Autour de la table, tout le monde a vécu ce moment comme une victoire, et sur la ligne comptable c'en est une.

L'homme avait le ton d'un vendeur de véhicules d'occasion, et c'est exactement ce qui le rendait efficace. Il ne s'indignait de rien. Il ne moralisait pas. Il traitait la conversation comme une transaction, ce qu'elle est, avec un fournisseur qu'on ne reverra pas.

Cela ne change rien à la nature de ce qui a été acheté. On a acheté la promesse d'un individu dont le seul actif est sa réputation sur un marché criminel. Les outils de déchiffrement fonctionnent partiellement, toujours, et la restauration prend des semaines que personne n'avait budgétées. Quant aux données exfiltrées, elles ne sont jamais détruites, quelle que soit la preuve d'effacement fournie.

Il faut mesurer ce que cela signifie pour la décision. Ce que l'attaquant affirme détenir est une revendication, pas un constat. Dans la quasi-totalité des cas, l'organisation arbitre sur une revendication qu'elle n'a pas les moyens de vérifier, sous contrainte de temps, avec des dirigeants qui n'ont pas dormi. Ce n'est pas une défaillance individuelle, c'est la situation elle-même qui produit ce résultat.

La doctrine ne passe pas la quarante-huitième heure

"Nous ne paierons jamais." Je l'ai entendu dans les trois cas, formulé à froid, avec conviction, par des gens sincères.

Ce qui fait céder la règle n'est jamais l'argument moral, parce que personne ne vient le contester. C'est une paie à verser en fin de semaine. Une ligne de production à l'arrêt. Une échéance contractuelle assortie de pénalités. Un client majeur qui exige des garanties écrites sous vingt-quatre heures. À ce moment-là, la doctrine devient une position que plus personne n'assume publiquement et que tout le monde contourne.

Et comme la décision n'a pas de propriétaire désigné, elle se prend par épuisement, vers cinq heures du matin, après que chacun a suffisamment répété qu'il n'était pas le bon interlocuteur. C'est la forme la plus coûteuse de décision qui existe.

Six choses que j'ai apprises dans ces pièces

Le mandat se nomme à froid. Pas celui qui préside la cellule, celui qui engage l'organisation. Par écrit, nommément, avec un suppléant, parce que la personne désignée sera peut-être dans un avion. Sans cette ligne, vous ne négociez pas, vous attendez.

Votre assurance choisit vos prestataires à votre place. Lisez la police avant l'incident. Découvrir à trois heures du matin qu'elle vous impose un intervenant que vous n'avez jamais rencontré, dans un fuseau horaire lointain, n'améliore pas la nuit.

Une sauvegarde non testée est une opinion. Le test qui compte n'est pas la restauration d'un fichier, c'est la restauration d'un métier entier, chronométrée, sur une infrastructure que vous supposez compromise.

Le premier réflexe technique détruit des preuves. Les équipes nettoient, réinstallent, redémarrent. Elles ont été formées à rétablir le service, jamais à préserver une scène. Cela s'apprend en une demi-journée et cela change tout ce qui suivra, l'enquête comme l'indemnisation.

Il faut un canal de crise extérieur au système d'information. Annuaire imprimé, messagerie indépendante, procédures accessibles hors ligne. Cela coûte une réunion et une imprimante.

Décidez à froid ce que vous acceptezz de perdre. Quelles activités s'arrêtent, dans quel ordre, pendant combien de temps. Sans cette réponse, aucun montant n'est comparable à rien, et la discussion sur la rançon devient une discussion sur la peur.

Ce qui coûte vraiment

La feuille de route que nous avions remise quelques mois plus tôt contenait l'essentiel de ces six points. Elle n'a pas été exécutée. Pas faute de rapport, pas faute d'alerte, pas faute de moyens. Personne n'avait à en répondre.

C'est exactement la raison pour laquelle, à trois heures du matin, personne ne savait qui décidait.