Du réseau à la population : mesurer l’impact réel d’une cyberattaque

Jean Langlois-Berthelot et Marc-Olivier Boisset

Le 3 juin 2024, le prestataire britannique Synnovis est victime d’une attaque par rançongiciel. L’entreprise fournit des services de biologie médicale à plusieurs établissements du National Health Service dans le sud-est de Londres. L’attaque affecte donc des serveurs, des applications et des données. Mais ses conséquences véritables apparaissent ailleurs.

Les capacités d’analyse sont brutalement réduites. Des prélèvements doivent être priorisés. Des opérations sont reportées parce qu’elles dépendent de résultats biologiques devenus indisponibles. Le 15 août, le NHS dénombre déjà 1 693 interventions programmées et 10 054 consultations ambulatoires reportées dans les deux établissements les plus touchés. L’attaque contribue également à une tension sur les stocks sanguins. Le NHS Blood and Transplant émet une alerte et demande aux hôpitaux de réserver le sang de groupe O aux cas essentiels. Les services ne seront intégralement restaurés qu’en décembre 2024.

Ces données sont publiées par NHS England et dans son bilan du 15 août 2024.

La séquence mérite d’être observée attentivement. Un système informatique est compromis. Des analyses médicales deviennent indisponibles. Des médecins modifient leurs priorités. Des patients voient leur prise en charge déplacée. D’autres établissements absorbent une partie de la demande. Une tension locale se propage jusqu’à une ressource nationale : le sang. L’attaque est cyber. Sa trajectoire ne l’est plus exclusivement.

L’angle mort de l’impact cyber

Les instruments de cybersécurité mesurent avec précision un nombre croissant de variables : compromission initiale, déplacement latéral, comptes affectés, volume de données exfiltrées, durée d’indisponibilité, coût de restauration ou temps nécessaire au retour en production. Ces mesures sont indispensables. Elles décrivent cependant principalement ce qui se déroule dans le système attaqué.

Elles rendent beaucoup moins bien compte de ce qui se produit lorsque la perturbation traverse la frontière numérique. Combien de personnes changent-elles de comportement ? Quels services alternatifs sont sollicités ? À partir de quel moment ceux-ci saturent-ils ? Une communication officielle rassure-t-elle la population ou attire-t-elle davantage son attention sur la crise ? La restauration technique suffit-elle à rétablir le fonctionnement normal ?

L’incident survenu en février 2024 chez Change Healthcare fournit un autre exemple de ce décalage. Cette entreprise américaine occupe une position centrale dans les échanges entre professionnels de santé, assureurs et pharmacies. Sa compromission a perturbé le traitement des prescriptions, des remboursements et des paiements à une échelle nationale. Le département américain de la Santé estimait encore, en juillet 2025, qu’environ 192,7 millions de personnes avaient été affectées par la violation de données.

Le chiffre consolidé figure dans la documentation officielle du département américain de la Santé.

Le nombre impressionne, mais il ne dit pas tout. Derrière lui se trouvent des professionnels temporairement privés de trésorerie, des pharmacies confrontées à des difficultés de vérification, des patients incertains de pouvoir accéder à leurs traitements et des organismes contraints de reconstruire en urgence des procédures manuelles. Le véritable impact d’une attaque ne correspond donc pas uniquement à la somme des actifs compromis. Il résulte de la manière dont leur indisponibilité se propage à travers les dépendances techniques, économiques et humaines.

Du périmètre compromis au rayon d’impact socio-cyber

Nous proposons de distinguer deux espaces. Le périmètre de compromission désigne les systèmes, comptes, données et équipements directement affectés par l’attaque. Le rayon d’impact socio-cyber désigne l’ensemble des activités, organisations et comportements perturbés par les conséquences de cette compromission, y compris lorsqu’ils ne sont ni connectés au réseau attaqué ni directement visés par l’adversaire.

Cette distinction paraît simple. Elle modifie pourtant profondément l’évaluation du risque. Une attaque contre un système de paiement ne touche pas uniquement le prestataire compromis. Elle peut conduire des commerçants à refuser certains moyens de paiement, des consommateurs à rechercher des espèces, des services clients à recevoir un afflux d’appels et des acteurs économiques à différer leurs transactions.

Une attaque contre un hôpital peut entraîner un report vers les établissements voisins. Une compromission des transports peut déplacer la demande vers la route ou d’autres réseaux. L’indisponibilité d’une administration numérique peut provoquer le retour massif vers les guichets, les plateformes téléphoniques ou les intermédiaires locaux. Chaque réaction, rationnelle à l’échelle individuelle, peut produire une nouvelle fragilité à l’échelle collective.

La cybersécurité connaît bien les interdépendances entre infrastructures. CISA rappelle qu’un incident affectant une infrastructure critique peut rapidement se propager aux infrastructures dépendantes ou interdépendantes. Mais les citoyens ne sont pas seulement les bénéficiaires passifs de ces infrastructures. Lorsqu’un service tombe, ils cherchent une solution, modifient leur itinéraire, retardent une décision, sollicitent un autre canal ou relaient une information. La population devient alors l’un des milieux de propagation de la crise.

Les comportements humains sont encore trop souvent traités comme des éléments extérieurs au modèle technique : une série de réactions difficiles à anticiper, ajoutées après l’évaluation de l’incident. Or ils peuvent déterminer l’ampleur finale de la crise. Après l’attaque de Colonial Pipeline en mai 2021, la crainte d’une pénurie a provoqué des achats massifs de carburant. La perturbation technique et logistique a ainsi été amplifiée par une réaction collective. L’exemple est célèbre, mais sa leçon reste imparfaitement intégrée : les effets d’une attaque dépendent aussi des représentations que la population se forme de la situation et des comportements qu’elle adopte en conséquence.

Il faut dès lors suivre quatre transformations successives, sans les enfermer dans quatre silos. L’effet technique rend le système indisponible. L’effet fonctionnel dégrade le service. L’effet comportemental conduit les usagers et les professionnels à s’adapter. Enfin, l’effet systémique apparaît lorsque ces adaptations affectent d’autres services et modifient la conduite de la crise.

Cette chaîne permet de comprendre pourquoi deux attaques techniquement comparables peuvent produire des conséquences radicalement différentes. Tout dépend de la fonction touchée, du moment de l’attaque, des solutions de substitution, de la confiance accordée aux autorités et des réactions collectives.

Le rapport 2025 de l’ENISA repose sur près de 4 900 incidents observés entre juillet 2024 et juin 2025. L’agence identifie l’administration publique comme le secteur le plus visé dans l’Union européenne. Son analyse sectorielle rappelle que les administrations fournissent des services essentiels, détiennent de grandes quantités de données et demeurent pourtant parmi les secteurs dont la maturité cyber est la plus faible. Une perturbation peut donc atteindre simultanément la continuité du service, la sécurité nationale et la confiance publique.

Voir l’ENISA Threat Landscape 2025 et l’analyse sectorielle consacrée aux administrations publiques.

Simuler pour explorer, pas pour prophétiser

Comment intégrer la population à l’analyse sans prétendre prévoir exactement sa conduite ? Par la simulation.

Il ne s’agit pas de fabriquer une copie parfaite de la société ni d’attribuer à chaque citoyen un double numérique. Une telle prétention serait scientifiquement fragile et politiquement dangereuse. Il s’agit de construire des populations synthétiques composées de groupes possédant des ressources, des contraintes et des comportements différenciés.

Dans une simulation appliquée à une attaque contre les paiements, certains agents disposent d’espèces ; d’autres non. Certains peuvent se déplacer vers une agence bancaire ; d’autres sont isolés. Certains commerçants possèdent plusieurs solutions d’encaissement ; d’autres dépendent d’un seul prestataire. Les comportements évoluent en fonction de la durée de la panne, des informations disponibles et de l’état des services alternatifs.

La simulation permet alors de tester la durée de soutenabilité d’une procédure de secours, d’identifier le service alternatif qui sature en premier, de repérer les groupes les plus rapidement privés d’accès ou de comparer les effets de plusieurs communications de crise. Elle peut également introduire une campagne de désinformation concomitante et observer si la remise en service technique entraîne un retour immédiat à la normale ou, au contraire, un nouvel afflux.

Ces modèles ne prédisent pas ce que chaque individu fera. Ils explorent les conséquences possibles de comportements plausibles. Cette différence est fondamentale. Une bonne simulation ne promet pas de deviner l’avenir. Elle révèle les conditions dans lesquelles un système devient vulnérable.

Les exercices cyber reposent traditionnellement sur un scénario d’attaque : l’équipe rouge compromet un système, l’équipe bleue détecte l’intrusion, la contient puis restaure les services. Pour mesurer le rayon d’impact socio-cyber, il faut ajouter un troisième élément : une population simulée qui réagit à la perturbation et aux décisions prises pendant la crise.

Prenons un hôpital fictif. Un rançongiciel rend indisponibles le dossier patient, la biologie et une partie de la téléphonie. L’exercice classique mesure le basculement vers les procédures dégradées et la restauration informatique. La simulation socio-cyber ajoute les patients dont les opérations sont reportées, ceux qui se déplacent vers d’autres établissements, les services d’urgence voisins qui absorbent une demande supplémentaire, les professionnels qui recourent à des canaux personnels, les appels des familles, la circulation d’informations contradictoires, les besoins de transport sanitaire, les stocks consommés plus rapidement que prévu et les décisions des autorités sanitaires.

On peut alors faire varier la durée de l’attaque, le jour de la semaine, le niveau initial des stocks, la confiance accordée aux messages officiels ou l’existence d’une campagne hostile. La question n’est plus seulement de savoir combien de temps il faudra pour restaurer les serveurs. Elle devient : à quel moment l’écosystème de soins cesse-t-il d’absorber les conséquences de leur indisponibilité ?

Cette approche transforme aussi la définition du retour à la normale. Dans le cas Synnovis, la reconstruction des systèmes centraux n’a pas immédiatement effacé les opérations reportées, les examens en attente et les tensions accumulées. Le NHS indiquait dès juin 2024 que les effets de l’incident continueraient à se faire sentir pendant plusieurs mois.

La récupération possède donc plusieurs temporalités : récupération informatique, reprise du service, résorption des files d’attente, retour des comportements à la normale et restauration de la confiance. Une organisation peut avoir récupéré ses données tout en continuant à subir les conséquences de la crise. À l’inverse, des procédures humaines robustes peuvent maintenir un service acceptable malgré une indisponibilité informatique prolongée.

L’indicateur décisif n’est donc pas seulement le temps de restauration technique, mais le temps de récupération socio-cyber : le délai nécessaire pour que le système technique, les services et leurs usagers retrouvent ensemble un fonctionnement maîtrisé.

Cette extension ne diminue en rien l’importance de la protection technique. Elle lui donne sa véritable portée. Cartographier les actifs demeure indispensable, mais il faut également cartographier les fonctions sociales qu’ils soutiennent, les populations qui en dépendent, les solutions de substitution et les comportements susceptibles de déplacer la crise. Tester une sauvegarde demeure indispensable, mais il faut aussi tester la capacité des équipes à fonctionner pendant sa restauration et celle de l’écosystème à absorber les reports d’activité. Préparer une communication de crise demeure indispensable, mais il faut encore éprouver ses effets possibles sur différents groupes, à différents moments et sur différents canaux.

La simulation relie ainsi l’incident informatique à ses conséquences humaines sans prétendre réduire la société à une équation. Elle transforme des dépendances invisibles en hypothèses testables. Elle permet de répéter une crise, d’en modifier les paramètres et d’observer non pas un avenir unique, mais plusieurs trajectoires possibles.

Une cyberattaque ne se termine donc pas lorsque le dernier serveur redémarre. Elle se termine lorsque les services, les organisations et les populations ont retrouvé leur capacité normale d’agir. Entre ces deux moments s’étend encore un angle mort de la cybersécurité. C’est là que doit désormais porter la simulation.