Reconstruction complète du SI après ransomware pour une PME métallurgique de 80 salariés

Le vendredi 18 h 30, l'IT interne détecte des fichiers chiffrés sur les serveurs de production. Le ransomware, entré via une pièce jointe ouverte par un opérateur de nuit, s'est propagé en trois heures à travers l'Active Directory. L'ERP, le PLM et les sauvegardes NAS synchronisées sont chiffrés. Le dirigeant appelle Infranat le samedi matin à 8 h.

Le contexte est critique : 80 postes hors ligne, 12 machines-outils pilotées par le SI à l'arrêt, un carnet de commandes de 6 semaines à honorer. Aucune sauvegarde immuable préexistante, seule une copie hebdomadaire externalisée date de 8 jours.

Cellule de crise activée dans les 4 heures. Isolation complète du SI, préservation des preuves forensiques, dépôt de plainte à la gendarmerie à H+24 (condition LOPMI pour l'indemnisation assurance).

• Reconstruction Active Directory sur infrastructure vierge (Hyper-V + Windows Server 2022)
• Restauration ERP depuis sauvegarde J-8 puis re-saisie manuelle assistée des 8 jours perdus par les équipes métier
• Déploiement EDR WithSecure sur 100 % des endpoints avec supervision Infranat 24/7
• Mise en place sauvegardes 3-2-1-1-0 : Veeam local + réplication cloud OVH SecNumCloud + copie immuable Wasabi Object Lock
• Formation phishing obligatoire des 80 collaborateurs avec campagnes simulées trimestrielles
• Mise en conformité NIS 2 anticipée : politique cyber écrite, cartographie des flux, procédure incident 24 h

Le redémarrage complet du SI a été effectif 11 jours après l'incident, contre une moyenne sectorielle de 3 à 7 semaines sans PCA testé. 82 % des données ont été récupérées grâce à la restauration + saisie manuelle. La cyber-assurance a indemnisé l'intégralité du sinistre grâce au dépôt de plainte sous 72 h.

Un an plus tard, aucun nouvel incident majeur, deux tentatives de phishing bloquées par l'EDR, temps de restauration testé sur exercice annuel : 4 heures pour l'ERP complet.