Crise cyber : pourquoi les entreprises découvrent qu’elles ne savent plus arrêter leurs propres systèmes
par Jean Langlois-Berthelot & Lieutenant-Colonel Marc-Olivier Boisset
Pendant longtemps, la gestion de crise cyber reposait sur une logique relativement simple. Lorsqu’un environnement semblait compromis, les équipes sécurité cherchaient avant tout à isoler les systèmes concernés, interrompre les flux, désactiver les accès distants et empêcher toute propagation latérale. Cette doctrine du containment rapide reste évidemment valable dans de nombreux scénarios. Pourtant, les grandes crises cyber récentes montrent qu’un nombre croissant d’organisations découvrent désormais une réalité beaucoup plus complexe : dans certaines architectures numériques contemporaines, arrêter brutalement les systèmes peut produire des effets opérationnels comparables — voire supérieurs — à ceux de l’attaque elle-même.
L’incident CrowdStrike de juillet 2024 a probablement constitué le révélateur le plus spectaculaire de cette transformation. Une mise à jour défectueuse du Falcon Sensor entraîne alors des perturbations mondiales massives : postes Windows bloqués dans des boucles de redémarrage, compagnies aériennes désorganisées, infrastructures hospitalières ralenties, services financiers perturbés et interruptions en chaîne dans des secteurs fortement dépendants des environnements Microsoft. Selon les estimations publiées après l’incident, plus de 8,5 millions de terminaux auraient été affectés à différents niveaux. Mais au-delà du bug lui-même, l’événement a surtout mis en lumière une évolution beaucoup plus profonde des infrastructures numériques modernes : la difficulté croissante à dissocier rapidement les systèmes critiques du reste des environnements opérationnels.
Cette difficulté provient de la transformation progressive des architectures d’entreprise au cours des dix dernières années. Les grandes organisations européennes ne fonctionnent plus comme des réseaux relativement cloisonnés mais comme des écosystèmes numériques extrêmement interconnectés. Les identités fédérées Azure AD ou Okta conditionnent désormais l’accès simultané aux applications métiers, aux plateformes SaaS, aux environnements cloud, aux outils collaboratifs, aux VPN, aux workflows RH et parfois aux chaînes industrielles elles-mêmes. Les pipelines DevSecOps communiquent directement avec les plateformes de production. Les architectures multi-cloud interconnectent des dizaines de services critiques opérés par plusieurs fournisseurs différents. Les systèmes de sécurité eux-mêmes — EDR, SIEM, IAM, SOAR ou observabilité cloud — dépendent désormais de flux continus extrêmement difficiles à segmenter rapidement pendant une crise réelle.
Dans ce contexte, le réflexe historique consistant à “couper” devient progressivement beaucoup plus risqué. Une interruption brutale peut désormais désorganiser simultanément les mécanismes d’authentification, les accès métiers, les plateformes de communication interne, les workflows de support, les environnements financiers, les chaînes logistiques ou les outils de supervision eux-mêmes. Autrement dit, les entreprises contemporaines découvrent progressivement que leur propre infrastructure numérique est devenue si dense qu’elle tolère parfois très mal les ruptures massives de connectivité.
L’attaque contre MGM Resorts en septembre 2023 illustre parfaitement cette évolution. Les attaquants associés au groupe Scattered Spider n’ont pas eu besoin de développer des capacités offensives particulièrement sophistiquées. Ils ont principalement exploité des mécanismes organisationnels ordinaires : ingénierie sociale, compromission helpdesk, réinitialisation d’identifiants et contournement progressif des protections MFA. Pourtant, les conséquences opérationnelles ont été considérables. Systèmes de réservation perturbés, paiements indisponibles, clés numériques inopérantes, interruptions de services dans plusieurs hôtels et désorganisation prolongée des opérations. L’impact financier direct a dépassé les 100 millions de dollars. Mais surtout, cet incident a révélé à quel point les mécanismes IAM et les couches d’identité centralisées étaient devenus des points critiques de stabilité opérationnelle.
Cette centralisation des identités constitue aujourd’hui l’une des principales vulnérabilités structurelles des architectures modernes. Les organisations ont considérablement renforcé leur cybersécurité technique au cours des dernières années, mais elles ont parallèlement accru leur dépendance à quelques couches numériques critiques dont la compromission ou l’interruption peut désormais désorganiser simultanément l’ensemble des opérations. Lorsqu’un système IAM devient instable, les conséquences dépassent largement le périmètre cyber. Les impacts touchent immédiatement les accès métiers, les plateformes collaboratives, les environnements cloud, les outils RH, les applications financières, les workflows industriels et parfois même les capacités de gestion de crise elles-mêmes.
L’incident Change Healthcare de février 2024 a également démontré la profondeur de ces interdépendances. Après l’attaque attribuée au ransomware ALPHV/BlackCat, une partie importante de l’infrastructure américaine de traitement des paiements médicaux subit des perturbations majeures pendant plusieurs semaines. Mais la difficulté principale ne provient pas uniquement du chiffrement initial. Elle résulte surtout de la densité des dépendances numériques entre pharmacies, assureurs, plateformes cloud, systèmes transactionnels et établissements de santé. Plus les architectures deviennent intégrées, plus les stratégies de coupure brutale deviennent opérationnellement risquées.
Cette transformation commence désormais à modifier profondément les doctrines de gestion de crise cyber. Dans plusieurs exercices récents menés autour des infrastructures critiques européennes, les scénarios ne portent plus uniquement sur la capacité à détecter ou contenir une intrusion. Ils intègrent désormais des problématiques beaucoup plus complexes : comment maintenir certains flux critiques tout en limitant la propagation ? Comment conserver les mécanismes d’authentification opérationnels sans maintenir des privilèges excessifs ? Comment éviter qu’une coupure de sécurité ne provoque elle-même une paralysie métier plus large que l’attaque initiale ? Comment arbitrer entre disponibilité et containment lorsque les dépendances cloud deviennent systémiques ?
Le sujet devient encore plus sensible avec l’évolution des attaques elles-mêmes. Les groupes cybercriminels contemporains ciblent de plus en plus les mécanismes de confiance organisationnelle plutôt que les seuls endpoints techniques. Les campagnes attribuées à Scattered Spider, UNC3944 ou LAPSUS$ ont largement exploité ingénierie sociale, helpdesk compromise, fatigue MFA, SIM swapping et compromission des mécanismes SSO. Ces approches fonctionnent précisément parce que les architectures modernes reposent désormais sur des couches d’identité centralisées extrêmement puissantes mais également extrêmement sensibles.
L’intelligence artificielle ajoute une couche supplémentaire de complexité à cet environnement déjà dense. Les architectures modernes de cybersécurité produisent aujourd’hui des volumes massifs de télémétrie : EDR, NDR, observabilité cloud, UEBA, IAM analytics, corrélation SIEM et automatisation SOAR génèrent des flux continus d’informations techniques. Cette visibilité améliore théoriquement la détection. Mais elle produit également une pression décisionnelle beaucoup plus importante pendant les crises. Les cellules de gestion doivent désormais arbitrer simultanément entre propagation potentielle, stabilité cloud, continuité opérationnelle, disponibilité des plateformes critiques, intégrité des identités et contraintes réglementaires, souvent dans des fenêtres temporelles extrêmement réduites.
Dans certains environnements fortement distribués, les premières heures d’une crise servent moins à traiter l’attaque qu’à cartographier les dépendances réelles des systèmes concernés. Plusieurs grandes organisations découvrent encore aujourd’hui pendant les incidents la profondeur exacte de leurs interconnexions numériques. Ce phénomène explique pourquoi les stratégies modernes de réponse évoluent progressivement vers des approches beaucoup plus granulaires : micro-segmentation dynamique, restriction progressive des privilèges, dégradation contrôlée des services, isolement sélectif des identités et maintien partiel des flux critiques remplacent progressivement le modèle historique du “shutdown massif”.
Cette mutation reste encore relativement peu visible publiquement car elle concerne moins les capacités offensives que la structure profonde des organisations numériques modernes. Pourtant, elle modifie progressivement l’équilibre même de la gestion de crise cyber. Pendant longtemps, les entreprises cherchaient principalement à empêcher l’intrusion. Désormais, une partie croissante du problème consiste également à conserver la capacité d’arrêter, ralentir ou segmenter leurs propres architectures sans provoquer elles-mêmes une désorganisation opérationnelle majeure. Dans des environnements numériques toujours plus interconnectés, cette capacité pourrait devenir l’un des enjeux centraux de la résilience cyber des prochaines années.