Coût d'un incident cyber pour une PME : leçons d'un cas réel

Une PME de trente-cinq salariés, secteur services, a été touchée par un rançongiciel un lundi matin. Les postes de travail affichaient une note de rançon, les serveurs de fichiers étaient chiffrés, et la dernière sauvegarde exploitable datait de six semaines. Ce cas, anonymisé mais réel, permet de décomposer précisément où va l'argent quand un incident se produit, et quelles décisions prises en amont l'auraient rendu bien moins coûteux.

La décomposition réelle du coût

L'arrêt d'activité : 40 000 € sur dix jours. L'entreprise a été incapable de facturer, de livrer certaines prestations et de répondre normalement à ses clients pendant une semaine et demie. Ce montant ne correspond pas à des dépenses directes mais à du chiffre d'affaires non réalisé et des pénalités contractuelles sur deux livrables en retard.

La reconstruction technique : 28 000 €. Reconstruction complète de l'infrastructure serveur, réinstallation de tous les postes compromis, restauration partielle depuis la sauvegarde de six semaines, complétée par une reconstitution manuelle des données manquantes. Un prestataire spécialisé en réponse à incident a été mobilisé en urgence, à un tarif nettement supérieur à celui d'une intervention planifiée.

La perte de données irrécupérables : coût difficile à chiffrer, mais réel. Six semaines de données commerciales et comptables ont dû être reconstituées manuellement à partir d'emails et de documents partiels, avec des erreurs et approximations qui ont eu des répercussions plusieurs mois plus tard.

Le coût de confiance : impact commercial différé. Deux clients ont explicitement mentionné l'incident comme facteur dans leur décision de ne pas renouveler leur contrat l'année suivante. Ce coût n'apparaît dans aucune facture, mais il a représenté, sur l'année, davantage que le coût direct de l'incident.

Total estimé : environ 95 000 €, pour une entreprise dont le budget informatique annuel complet était inférieur à 30 000 €. L'incident a coûté plus de trois ans de budget IT en dix jours.

Ce qui a aggravé la situation

Trois décisions, ou plutôt trois absences de décision, ont transformé un incident gérable en crise coûteuse.

Aucune personne n'avait le mandat de couper les systèmes. Le matin de la découverte, plus de deux heures ont été perdues en réunions pour décider qui pouvait autoriser l'arrêt des serveurs, pendant que le chiffrement continuait à se propager sur le réseau partagé.

Les sauvegardes n'avaient jamais été testées. Elles existaient, mais une partie s'est révélée incomplète au moment de la restauration, ce qui a directement causé la perte de données des six dernières semaines.

Il n'existait aucune procédure de communication de crise. Les clients ont appris l'incident par le bouche-à-oreille plutôt que par une communication maîtrisée, ce qui a nourri l'inquiétude et contribué à la perte de confiance mentionnée plus haut.

Ce qui a limité les dégâts

À l'inverse, deux éléments ont évité que la situation ne soit pire encore.

Un contact technique externe a pu être mobilisé en moins de 24 heures. L'entreprise avait déjà travaillé avec un consultant technique lors d'un projet précédent, ce qui a permis d'éviter de chercher un prestataire de réponse à incident en pleine crise, une démarche qui prend généralement plusieurs jours précieux.

Les données bancaires et les contrats juridiques étaient stockés séparément, sur un service cloud distinct non touché par l'attaque. Ce cloisonnement, mis en place initialement pour une raison de simplicité et non de sécurité, a évité le pire scénario.

Les décisions qui auraient changé l'équation

Avec un investissement estimé à moins de 4 000 € par an, trois mesures auraient très probablement réduit le coût total de cet incident de plus de 70 %.

1. Des sauvegardes testées trimestriellement, isolées du réseau principal pour éviter qu'elles ne soient chiffrées avec le reste.
2. Une procédure d'incident écrite, désignant explicitement qui décide de couper les systèmes, sans attendre de réunion.
3. Un contact technique de confiance identifié en amont, capable d'intervenir en heures plutôt qu'en jours.

Aucune de ces mesures n'exige une équipe sécurité dédiée ni un budget conséquent. Elles exigent qu'une personne, en amont de toute crise, ait le mandat et le temps de les mettre en place.

Pourquoi ce mandat manque si souvent

Dans les PME sans direction technique clairement identifiée, la sécurité reste un sujet que "quelqu'un devrait regarder un jour", sans jamais devenir la responsabilité formelle de personne. C'est précisément le rôle qu'assure un CTO externalisé pour piloter la réponse à incident : porter ce mandat avant la crise pour préparer les procédures et les tester, et le porter pendant la crise pour décider vite quand chaque heure compte.

Ce qu'il faut retenir

Le coût d'un incident cyber n'est presque jamais le montant de la rançon elle-même, que la plupart des entreprises et assureurs déconseillent de payer. Il est presque entièrement composé d'arrêt d'activité, de reconstruction et de perte de confiance — trois postes directement réductibles par une préparation qui coûte une fraction infime du coût d'un incident réel.

FAQ

Faut-il payer la rançon en cas d'attaque par ransomware ?

La quasi-totalité des autorités et des experts en sécurité déconseillent de payer : cela ne garantit pas la récupération des données, finance l'écosystème criminel, et signale à l'attaquant que la cible est disposée à payer. La meilleure protection reste une sauvegarde testée et isolée, qui rend la question de la rançon sans objet.

Une assurance cyber suffit-elle à couvrir ce type de coût ?

Une assurance cyber couvre généralement une partie des frais de reconstruction et parfois la perte d'exploitation, mais rarement la perte de confiance commerciale ni les pénalités contractuelles indirectes. Elle réduit le risque financier sans dispenser de mettre en place les mesures de prévention qui évitent l'incident lui-même.