Ransomware chez un hébergeur mutualisé : anatomie d'une crise à 380 000 €

Pour rendre les chiffres tangibles, partons d'un cas reconstitué à partir des sinistres documentés par l'ANSSI et le rapport annuel cybermalveillance.gouv.fr. L'hébergeur fictif que nous suivrons :

• Effectif : 8 personnes (3 ops, 2 support, 2 dev, 1 dirigeant) ;
• Chiffre d'affaires annuel : 1,4 M€ ;
• EBITDA : 240 000 € ;
• Parc : 14 hyperviseurs, 380 VPS, 240 clients PME en mutualisé et VPS ;
• SLA contractuel : 99,9 % de disponibilité mensuelle, pénalités de 10 % du forfait par tranche de 30 minutes d'indisponibilité au-delà du seuil.

Le scénario qui suit est une compilation d'incidents réels observés en France entre 2022 et 2025. Les montants sont des ordres de grandeur réalistes, validés par les retours d'expérience des prestataires de réponse à incident (PRIS) référencés ANSSI.

L'astreinte est réveillée par un déclenchement Prometheus : le taux d'I/O disque s'effondre sur trois nœuds NFS simultanément. À 3 h 24, deux clients ouvrent un ticket pour signaler un site qui retourne une note README_DECRYPT.txt. À 3 h 31, le dirigeant est appelé. À 3 h 42, l'équipe coupe l'accès Internet du pool concerné — décision qui sera saluée par les forensics : sans confinement immédiat, le ransomware aurait probablement atteint les sauvegardes en ligne.

Premier réflexe à intégrer dans tout plan de réponse :

1. Confinement — isoler le réseau touché, couper les VPN admin, suspendre les sauvegardes pour éviter l'écrasement de versions saines ;
2. Photographie — snapshot des disques affectés pour conserver les preuves (le ransomware sera analysé par un PRIS) ;
3. Activation de la cellule de crise — dirigeant, RSSI/responsable technique, juridique, communication, assureur Cyber.

À 4 h 10, l'hébergeur appelle le numéro 24/7 de son assureur Cyber. C'est la décision la plus rentable de la nuit : le déclenchement immédiat de la cellule fournie par l'assureur évite les erreurs des premières heures (paiement de rançon précipité, communication maladroite, oubli de notification réglementaire).

Les 72 premières heures concentrent six décisions à fort enjeu :

1. Faut-il payer la rançon ?

En l'espèce, 14 BTC sont demandés (environ 850 000 € au cours du jour). La réponse est non, pour trois raisons :

• la loi française via l'article 113-2 du Code des assurances depuis le 24 janvier 2023 (loi LOPMI) interdit le remboursement d'une rançon par l'assureur en l'absence de dépôt de plainte préalable sous 72 heures ;
• l'OFAC américain peut considérer le paiement à certains groupes (Conti, LockBit après sanctions) comme un financement du terrorisme, exposant à des sanctions secondaires ;
• moins de 60 % des entreprises ayant payé récupèrent l'ensemble de leurs données (chiffres Sophos State of Ransomware 2024).

2. Notification CNIL : 72 heures, pas une de plus

L'article 33 du RGPD impose à tout responsable de traitement (et au sous-traitant qu'est l'hébergeur, vis-à-vis de ses clients responsables) de notifier la CNIL dans les 72 heures après en avoir pris connaissance. La notification doit décrire :

• la nature de la violation et les catégories de données concernées ;
• les conséquences probables ;
• les mesures prises ou envisagées.

3. Communication clients

L'hébergeur doit informer ses 240 clients sans délai au titre de l'article 28-3-f du RGPD. La cellule de crise rédige un communiqué technique factuel, sans minimiser : un mensonge initial coûte plus cher qu'une faille assumée.

Le forensic identifie le vecteur d'entrée : un compte d'administration WHMCS dont le mot de passe avait fuité dans la brèche d'un fournisseur tiers en 2023. Le rebond a permis l'accès à un serveur de sauvegarde NFS et le déploiement de LockBit 3.0 via PsExec.

Phase de restauration :

• 240 clients à restaurer depuis des sauvegardes off-site (Wasabi + bande LTO) ;
• 72 clients ont perdu entre 6 et 18 heures de données (sauvegardes incrémentales toutes les 6 heures, dernière saine antérieure à l'infection) ;
• 4 clients exigent une expertise judiciaire indépendante avant de reprendre l'activité ;
• 11 clients résilient immédiatement leur contrat pour migrer chez la concurrence.

À J+14, l'hébergeur a annoncé un retour à la normale. La facture, elle, court encore.

Sans garantie Cyber dédiée, l'hébergeur aurait absorbé 380 000 € sur un EBITDA annuel de 240 000 €. Mathématiquement : une année et demie de résultat brut effacée, une situation financière proche de la cessation de paiement.

Une police Cyber n'est pas un parapluie magique. Les exclusions classiques chez les assureurs français en 2026 :

• la rançon elle-même n'est en pratique jamais remboursée sans dépôt de plainte préalable (article L. 12-10-1 Code des assurances, loi LOPMI) ;
• les sanctions administratives (CNIL, DSA) sont exclues par nature — l'assureur ne peut indemniser une sanction punitive ;
• les actes de guerre cyber (cyberwar exclusion) sont une zone grise : depuis l'incident NotPetya, les assureurs invoquent parfois cette exclusion ;
• les vulnérabilités connues non patchées au-delà d'un délai contractuel (souvent 30 jours après CVE critique) peuvent réduire l'indemnité.

Insurio négocie ces clauses point par point selon votre stack technique : un hébergeur cPanel à jour n'a pas le même profil de risque qu'un hébergeur custom multi-tenants ; les exclusions doivent refléter cette réalité, pas un template générique.