Annexe – Cas du cabinet Delmas (fictif) : déroulé de la crise

Cabinet, personnes et faits inventés. L'enseignant distribue les « injects » un par un, à l'heure indiquée.

Le cabinet

Delmas Conseil est un cabinet fictif d'expertise comptable de 12 personnes. Il gère la comptabilité, la paie et les déclarations fiscales de 150 clients (entreprises et particuliers).

Élément	Détail
Postes	12 PC Windows, un portable pour l'associé
Serveur	Un serveur de fichiers Windows (dossiers clients)
Sauvegarde	Un NAS branché au réseau, accessible en écriture depuis le serveur ; une sauvegarde sur disque USB faite vendredi soir, débranchée le week-end
Réseau	Une box opérateur, pas de segmentation ; pas de journaux centralisés
Responsable informatique	Aucun : un prestataire intervient sur demande ; Mme Delmas, associée, décide
Assurance	Contrat « cyber » avec une obligation de déclaration sous 48 h

Injects

Heure	Inject
Lundi 08 h 10	Trois collaborateurs signalent qu'un message s'affiche sur leur écran : « Vos fichiers sont chiffrés. Payez 15 000 € en cryptomonnaie sous 72 heures ». Des fichiers portent l'extension .locked.
08 h 25	Un collaborateur dit avoir ouvert dimanche soir, depuis chez lui avec son portable professionnel, un courriel intitulé « Facture impayée » avec un fichier joint.
08 h 40	Le serveur de fichiers est inaccessible. Le NAS affiche des fichiers .locked dans le dossier de sauvegarde. Le disque USB de vendredi est dans le tiroir de Mme Delmas.
09 h 10	La note de rançon précise : « Nous avons aussi copié vos données clients ; elles seront publiées si vous ne payez pas ».
09 h 40	Un client appelle : il vient de recevoir un courriel du cabinet avec une pièce jointe suspecte, qu'il n'a pas ouverte.
10 h 30	Le prestataire informatique arrive. Il propose de « nettoyer » les postes et de restaurer le serveur depuis le NAS.
11 h 00	Un journaliste local appelle : il a eu connaissance d'une « fuite de données chez un cabinet comptable ».