Cyberattaque pendant les vacances : pourquoi votre PME est plus vulnérable en août

Les groupes de cybercriminels ne prennent pas de congés en août. C’est même le contraire : plusieurs études montrent une augmentation des attaques par ransomware pendant les périodes estivales, et les incidents de grande ampleur survenus en France ces dernières années confirment cette tendance. La raison est simple : les attaquants calculent le moment où la victime sera la moins en mesure de répondre efficacement.

En août, la quasi-totalité des PME françaises fonctionne avec des équipes réduites. Le responsable informatique est en vacances. Le dirigeant est injoignable. Ceux qui restent n’t ont pas les accès administrateurs ou ne savent pas quoi faire face à une alerte de sécurité. Le temps de réaction s’allonge, les dommages s’accumulent.

Pourquoi août est le mois idéal pour attaquer une PME

Un ransomware qui se déclenche un vendredi soir d’août a plusieurs heures, parfois plusieurs jours, pour chiffrer les données avant que quelqu’un le remarque. Pendant ce temps, il se propage sur les partages réseau, chiffre les sauvegardes locales si elles sont accessibles, et envoie des données vers l’extérieur.

Le lundi matin, quand le premier collaborateur restant arrive et découvre que les fichiers sont inaccessibles, plusieurs questions critiques se posent en même temps : Qui appeler ? Quels sont les accès administrateurs ? Y a-t-il une sauvegarde non affectée ? Faut-il éteindre les serveurs ou non ? Sans plan préparé, la réponse improvisée coûte du temps et aggrave souvent la situation.

Les 5 préparations à faire avant les vacances

1. Tester les sauvegardes et vérifier leur isolation

La vérification des sauvegardes ne peut pas attendre la rentrée. Avant les congés estivaux, il faut s’assurer que la sauvegarde la plus récente est complète, testable en restauration, et stockée dans un emplacement isolé du réseau principal. Une sauvegarde sur un NAS accessible depuis les postes de travail sera chiffrée en même temps que le reste lors d’un ransomware.

La règle 3-2-1 (3 copies, 2 supports différents, 1 hors site) doit être vérifiée et pas seulement déclarée.

2. Documenter les contacts et procédures d’urgence

Avant le départ en vacances, créer une fiche de crise simple, accessible par les personnes restantes :

• Numéro du prestataire informatique (avec un numéro d’urgence, pas seulement le standard)
• Contacts de la direction en vacances (avec précision sur qui peut être joint pour quelles décisions)
• Procédure en cas d’alerte : couper du réseau les postes concernés, ne pas payer de rançon, appeler le prestataire
• Accès aux sauvegardes et à qui a les codes

Cette fiche doit être imprimée et physiquement disponible dans les locaux, pas uniquement dans les systèmes informatiques qui pourraient être compromis.

3. Réduire la surface d’attaque pendant l’été

L’été est le bon moment pour désactiver temporairement ce qui n’est pas nécessaire :

• Comptes utilisateurs des salariés absents (désactivation temporaire dans Active Directory)
• Accès VPN des collaborateurs en congé
• Serveurs de développement ou de test qui ne servent à rien en août

Moins de portes ouvertes signifie moins d’opportunités pour un attaquant.

4. Vérifier les mises à jour critiques avant le départ

Les mises à jour de sécurité critiques publiées en juillet et début août doivent être appliquées avant les fermetures estivales. Une faille zero-day non corrigée pendant 3 semaines de vacances est une invitation à l’intrusion.

Si vos mises à jour sont gérées par votre prestataire, confirmez avec lui qu’elles seront bien appliquées pendant la période. Dans le cadre d’une maintenance informatique structurée pour PME, ces vérifications préalables aux périodes de congés font partie du suivi régulier.

5. Briefer les personnes qui restent

Les collaborateurs présents en août doivent savoir reconnaître les signaux d’alerte : des fichiers avec des extensions inconnues, un ordinateur qui ralentit anormalement, un message demandant de payer une rançon. Ils doivent aussi savoir quoi faire, appeler le prestataire et ne toucher à rien, et quoi ne pas faire, payer la rançon, éteindre brutalement le serveur, ou continuer à travailler sur un poste suspect.

Ce qu’il faut faire si l’attaque se produit quand même

Si un incident survient malgré les préparations, les premières actions comptent énormément :

1. Isoler les machines affectées du réseau immédiatement (débrancher le câble réseau ou désactiver le WiFi)
2. Ne pas éteindre les serveurs (des preuves importantes pour l’investigation sont en mémoire vive)
3. Appeler le prestataire informatique en priorité
4. Ne pas payer la rançon sans avoir pris conseil, le paiement ne garantit pas la restauration des données et finance de futures attaques
5. Documenter en prenant des photos des écrans pour l’investigation et la déclaration d’assurance

Le dépôt de plainte auprès de la police ou de la gendarmerie, et la notification CNIL si des données personnelles sont concernées, suivent dans un second temps.

Zerobug propose des préparations estivales pour les PME de Seine-et-Marne et d’Île-de-France : vérification des sauvegardes, mise à jour des configurations, et mise en place d’une astreinte de support pendant la période. Contactez-nous avant de partir.