Ransomware par rebond : quand l'attaque d'un client remonte jusqu'à votre cabinet

Pendant des années, les administrateurs systèmes pensaient travailler en périphérie du risque : le ransomware, c'était pour les hôpitaux, les collectivités, les grandes entreprises. La donne a changé. Depuis 2021, les groupes ransomware ont compris qu'attaquer un infogérant rapportait beaucoup plus qu'attaquer un client final. Une seule intrusion bien menée dans un MSP donne accès à vingt, cinquante, parfois cent réseaux clients simultanément.

L'ANSSI a documenté à plusieurs reprises ce schéma dans ses publications sur la menace, parlant explicitement de supply chain attack via les prestataires de services managés. Les vecteurs sont quasiment toujours les mêmes : une console RMM exposée sur Internet sans authentification forte, un VPN d'administration mal segmenté, un compte technique partagé entre plusieurs clients, ou un poste d'administrateur infecté qui sert ensuite de pivot.

Le résultat est mécanique : quand l'attaquant chiffre simultanément les sauvegardes de douze TPE, ce ne sont pas douze petits dossiers qui s'ouvrent, c'est un seul dossier massif qui désigne l'infogérant comme responsable structurel de l'incident.

Le scénario qui suit est composite, anonymisé, mais représentatif des dossiers traités par les assureurs cyber sur le segment des prestataires IT. Il illustre comment, en moins de six semaines, un incident technique se transforme en contentieux à six chiffres.

Jour J — 23h47. Un administrateur d'un cabinet d'infogérance de 4 salariés clique sur un faux mail de renouvellement de licence Microsoft envoyé à son adresse professionnelle. Le malware installé ouvre un tunnel persistant vers une infrastructure de commande et de contrôle.

J+3. Les attaquants utilisent ses identifiants pour se connecter à la console RMM utilisée par le cabinet pour superviser ses clients. La console n'a pas de double authentification activée pour les comptes techniques. Ils cartographient les 27 environnements clients accessibles.

J+11. Déploiement simultané du chiffrement sur 6 clients sélectionnés (ceux dont le chiffre d'affaires est le plus élevé). Les sauvegardes locales sont également chiffrées car elles étaient accessibles depuis le réseau d'administration.

J+12 au matin. Six clients appellent le cabinet en panique. Le téléphone ne désemplit pas. Le cabinet déclenche son contrat cyber.

Voici, en synthèse, la facture qui s'accumule au fil des semaines suivantes :

À ce stade, deux clients sur les six envisagent de rompre le contrat et de réclamer en sus une indemnité de transfert. Le cabinet, lui, doit reconstruire sa réputation et ses propres outils internes. Sans assurance cyber et RC Pro adaptée, la majorité des structures de cette taille ne survivent pas à un tel choc.

Quand le forensic démarre, l'objectif est de répondre à trois questions : par où est passé l'attaquant, depuis quand est-il dans le système, et qu'a-t-il fait ? Les analystes remontent la timeline en suivant les journaux d'authentification, les processus inhabituels et les flux réseau. Sur un parc géré par un infogérant, cette remontée pointe presque toujours vers la même catégorie de comptes : ceux à privilèges, c'est-à-dire les vôtres.

Ce n'est pas un biais de l'enquête, c'est une réalité technique. Pour déployer un ransomware sur un parc complet, il faut un compte avec des droits étendus. Or, dans la pratique, ce sont les comptes service-msp, admin-infogerance, technicien-rmm qui disposent de ces droits. Ils sont, par construction, le chemin le plus court vers le contrôle du parc.

Cette logique expose les pratiques internes du prestataire à un examen forensique très détaillé. Les questions qui reviennent sont les suivantes : la rotation des mots de passe administrateurs était-elle automatique ? Le MFA était-il appliqué à tous les comptes techniques, y compris ceux des intégrations ? Les sessions d'administration étaient-elles enregistrées ? Les comptes étaient-ils dédiés par client ou partagés ? Le bastion d'administration était-il segmenté du reste du SI ?

Chaque réponse négative est une pièce qui s'ajoute au dossier de mise en cause. C'est précisément pour cela qu'un infogérant doit pouvoir documenter ses pratiques par écrit, et les avoir réellement mises en œuvre.

Au-delà des bonnes pratiques techniques, certaines décisions opérationnelles ont un impact direct sur le coût final du sinistre et sur la position juridique de l'infogérant. Voici les six points sur lesquels les dossiers se gagnent ou se perdent :

1. Le MFA partout, vraiment partout. Y compris sur les comptes de service, les API et les accès de secours. L'absence de MFA sur un seul compte technique est devenue l'argument numéro un des assureurs pour réduire l'indemnisation.
2. Le bastion d'administration isolé. Pas de console RMM accessible depuis Internet sans pré-authentification. Un bastion avec PAM (Privileged Access Management) trace les sessions et permet de reconstituer ce qui a été fait, ce qui sert la défense le jour de l'enquête.
3. Les sauvegardes immuables et hors-ligne. Une sauvegarde accessible depuis le compte d'administration sera chiffrée avec le reste. Le standard 3-2-1-1-0 (3 copies, 2 supports, 1 hors-site, 1 hors-ligne, 0 erreur de test) devient le minimum exigible pour un MSP.
4. Le plan de réponse à incident écrit et testé. Un exercice annuel coûte une journée et démontre, en cas d'incident, que vous étiez préparé. C'est un élément qui réduit la prime cyber et qui peut, devant un juge, limiter le quantum.
5. Le contrat de prestation aligné sur la réalité. Si vous vendez de la haute disponibilité, vendez aussi de la haute sécurité, et facturez-la. Un SLA premium adossé à un budget sécurité minimaliste est un risque structurel.
6. L'assurance cyber qui couvre les actions du prestataire. Vérifiez que votre police ne se limite pas à « atteintes à vos propres systèmes ». Vous avez besoin que la garantie cyber couvre aussi les dommages causés aux SI clients via votre point d'entrée.

L'erreur classique consiste à penser qu'une seule garantie couvre l'ensemble du sinistre. Dans la pratique, les deux jouent en complémentarité et se déclenchent sur des postes différents. Voici comment les sinistres ransomware par rebond sont généralement répartis entre les deux contrats :

L'architecture idéale pour un infogérant combine une RC Pro avec extension dommages immatériels élevés et une garantie cyber au plafond cohérent avec le portefeuille clients. Pour un cabinet qui gère 30 clients de taille intermédiaire, un plafond cyber inférieur à 1 M€ devient rapidement insuffisant.