Démonstration de crise cyber · scénario et entreprise fictifs

Opération Encre Rouge

Menuiseries Valmont, PME de 140 salariés : un siège avec atelier, deux agences. Jeudi 27, jour J de la paie : le virement des salaires part automatiquement à 11:30. À 08:00, le logiciel de paie « rame ». Une seule personne à l'informatique, un infogérant à distance, deux personnes à la compta-paie. Le temps défile à ×30 : une minute réelle vaut trente minutes de crise, et rien ne permet de le ralentir.

Heure08:00:00
Temps écouléT+00:00
Prêt
×30vitesse verrouillée · pas de pauseVirement des salaires : départ automatique à 11:30
6 / 6
Zones en fonctionnement
0
Appels et tickets
0
Actions menées

Actions de la cellule

Qui agit ?
UtileInutileNéfastePastilles visibles en mode animateur uniquement.

Système d'information de la PME

OpérationnelChiffrement en coursChiffré ou compromisIsolé ou repris en main

Architecture. Toutes les zones passent par le pare-feu du siège, géré à distance par l'infogérant. Les agences y sont reliées par VPN. Un seul serveur porte l'ERP : paie, facturation et comptabilité.

Accès extérieurs. L'éditeur du logiciel de paie dispose d'un accès de télémaintenance permanent. La messagerie est dans le cloud. Le virement des salaires est déposé chaque mois sur le portail bancaire, qui l'envoie à l'heure programmée.

Sauvegardes. Chaque nuit de 01:00 à 02:30 sur un NAS de la salle serveur, membre du domaine. Copie hebdomadaire vers le cloud par l'infogérant.

Flux en temps réel

0 événement

Aucun événement pour l'instant. Lancez le chrono : il ne s'arrêtera plus.

Systèmes et données

Absence d'alerte ne veut pas dire sain

    Accès, réseau et messagerie

    Visible après vérification

      État des zones

      Isoler une zone prend du temps à une équipe
      ZonePostesÉtatDécision

      Main courante

        Clés du scénario, pour l'animateur
        • Deux intrusions distinctes. La messagerie de la comptable est compromise depuis trois semaines (hameçonnage, règle de transfert cachée). L'accès de télémaintenance de l'éditeur, au mot de passe jamais changé, a été utilisé à 02:40 cette nuit.
        • À 03:05, l'attaquant a modifié 9 IBAN de salariés et créé un salarié fictif. Le fichier de virement généré à 06:00 les contient et part tout seul à 11:30 (T+210). Bloquer l'envoi, puis payer par un virement de secours fondé sur le mois précédent.
        • Débrancher le serveur ERP ou couper la télémaintenance avant T+45 sauve le reste. Sinon l'attaquant récupère le mot de passe administrateur du domaine dans un script du serveur, puis le pare-feu à T+65 : même mot de passe.
        • Tant que le mot de passe du pare-feu n'est pas changé, l'attaquant supprime les isolements 20 minutes après chacun d'eux.
        • La sauvegarde de 01:00 est saine, car antérieure à l'intrusion. Le NAS est détruit à T+35 s'il n'est pas déconnecté. La copie cloud est en échec depuis 19 jours.
        • Sans sécurisation de la messagerie avant T+80, 238 fausses factures avec un nouvel IBAN partent vers les clients. Deux clients paient à T+150 et T+190, sauf s'ils ont été prévenus par téléphone avant.

        Comportement de l'équipe

        Visible par l'animateur, affiché à tous en fin d'exercice

        Décisions clés

        Nature des actions

        Qui a agi

        Scénario pédagogique. Menuiseries Valmont, ses clients, ses salariés et le groupe d'attaquants « Plume Rouge » sont fictifs. Raccourci : espace pour démarrer.