Cyberattaque sur un transporteur : ce qui se passe vraiment en entrepôt

Quand un transporteur ou un prestataire logistique est frappé par un rançongiciel, la presse spécialisée raconte toujours la même histoire : le vecteur d'entrée, la famille de malware, le montant demandé, la communication de crise. C'est l'histoire vue depuis la direction des systèmes d'information.

Ce qui manque, c'est l'autre récit : celui du quai. Parce que dans le transport, l'informatique ne « supporte » pas l'activité — elle est l'activité. Un TMS à l'arrêt, ce n'est pas une gêne administrative, c'est une remorque qu'on ne sait plus à qui affecter.

Voici comment ça se déroule réellement, heure par heure.

H+0 à H+2 : personne ne pense à une attaque

Le premier symptôme n'est jamais « nous sommes attaqués ». C'est un cariste qui n'arrive pas à valider une sortie sur son terminal. Puis un deuxième. L'exploitation appelle l'informatique, l'informatique répond qu'elle regarde.

Pendant ce temps, le quai continue. Les chauffeurs se présentent, on les fait patienter « cinq minutes, le système rame ». Les camions déjà à quai restent à quai, ceux qui arrivent se garent sur le parking. Personne n'a encore pris de décision, parce que personne n'a encore compris que ce n'est pas un ralentissement.

C'est la fenêtre la plus coûteuse de toute la crise, et c'est celle qu'on peut le plus facilement raccourcir. Une règle écrite du type « au-delà de vingt minutes d'indisponibilité du WMS, on bascule en mode dégradé, sans attendre de diagnostic » fait gagner deux heures. Elle ne coûte rien à écrire.

H+2 à H+8 : le retour au papier, et ce qu'il révèle

À un moment, quelqu'un dit « on repasse en manuel ». C'est là qu'on découvre l'état réel de la préparation de l'entreprise.

Les documents que plus personne ne sait produire. Le bon de livraison, la lettre de voiture, le bordereau de suivi. Ces documents sortent d'un système depuis dix ans. Est-ce qu'il existe une liasse vierge quelque part ? Est-ce que quelqu'un sait encore la remplir à la main ? Dans beaucoup d'entrepôts, la réponse est non, et on improvise sur un tableur ou une feuille A4 photocopiée.

Les informations qui n'existent que dans le système. L'adresse exacte du client, le créneau de livraison négocié, les consignes particulières, le numéro du contact sur place. Sans accès au TMS, un chauffeur part avec une adresse approximative — ou ne part pas.

Les stocks. C'est le point le plus douloureux. Si le WMS est chiffré ou inaccessible, personne ne sait plus ce qu'il y a dans les emplacements. On peut charger un camion à vue pour des palettes complètes ; on ne peut pas faire de la préparation de détail sans localisation.

Et pendant ce temps, la donnée diverge. Chaque mouvement fait en manuel devra être ressaisi. C'est une dette qui se crée à chaque heure d'indisponibilité, et qui se paiera pendant des semaines.

H+8 à H+24 : les effets qui sortent de l'entreprise

Le premier téléphone qui sonne, c'est le client industriel dont la ligne de production attend une livraison. Le second, c'est le donneur d'ordre qui veut savoir si ses flux du lendemain sont assurés.

Trois conséquences apparaissent, dans cet ordre :

Les pénalités contractuelles. Beaucoup de contrats logistiques prévoient des pénalités de retard, parfois indexées sur l'heure. Une panne de quarante-huit heures peut coûter plus en pénalités qu'en frais de remise en état.

Les créneaux perdus chez les clients. Un rendez-vous de livraison manqué chez un grand distributeur ne se rattrape pas le lendemain : il se replanifie, parfois à quatre jours. L'effet de traîne dure bien plus longtemps que la panne elle-même.

La question de la clause de force majeure. Elle sera posée, et la réponse est rarement favorable : une cyberattaque n'est généralement pas considérée comme imprévisible et irrésistible pour une entreprise qui n'avait pas de mesures de protection raisonnables. C'est un point à faire vérifier par votre juriste avant l'incident, pas pendant.

H+24 à H+96 : le vrai coût n'est pas la rançon

À ce stade, l'attention se déplace vers la remise en service. Les chiffres qui circulent dans la presse — le montant de la rançon — sont les moins pertinents. Le coût réel se répartit à peu près ainsi :

• La perte d'exploitation pendant l'arrêt : le poste le plus lourd, de loin.
• La ressaisie de tout ce qui a été fait en manuel, avec les erreurs que ça génère.
• Le temps de management mobilisé en cellule de crise, retiré de l'activité normale.
• Les pénalités et les gestes commerciaux consentis pour conserver les comptes.
• La remise en état technique, qui est souvent le plus petit poste du tableau.

Et un coût différé, rarement chiffré : les clients qui ne reviennent pas, et les appels d'offres où l'incident sera évoqué pendant deux ans.

Les quatre mesures qui changent réellement quelque chose

Je ne vais pas vous vendre une refonte de votre système d'information. Voici ce qui, à mon avis, a le meilleur rapport effort/effet pour une PME du transport ou de la logistique.

1. Une exportation quotidienne, hors système, des données d'exploitation critiques. Un simple fichier déposé chaque nuit sur un stockage indépendant : plan de transport du lendemain, coordonnées clients, état des stocks par emplacement. Il tient sur une clé USB, il peut être imprimé, et il transforme une paralysie totale en journée dégradée. C'est la mesure la moins chère et la plus efficace de toute cette liste.

2. Des sauvegardes hors ligne, testées. Un rançongiciel moderne cherche et chiffre les sauvegardes accessibles depuis le réseau avant de déclencher. Une sauvegarde utile est déconnectée ou immuable, et surtout restaurée au moins une fois pour de vrai — c'est la leçon de l'incendie de Strasbourg, et elle vaut identiquement pour une attaque.

3. Une procédure de bascule écrite, tenant sur une page. Qui décide du passage en mode dégradé, à partir de quel délai, qui prévient les chauffeurs, qui prévient les clients, où sont les liasses papier. Affichée au bureau d'exploitation, pas rangée dans un classeur qualité.

4. La séparation des réseaux. Le poste bureautique qui ouvre les pièces jointes et le serveur qui fait tourner le WMS n'ont pas à être sur le même segment. C'est le seul point de cette liste qui demande un vrai travail technique, et c'est celui qui limite le plus l'ampleur d'une intrusion.

Ce que ça dit du reste de votre numérique

Un point pour finir, qui dépasse le sujet de l'attaque.

Beaucoup d'entreprises découvrent à cette occasion à quel point leur exploitation dépend d'outils dont personne n'a la maîtrise : un tableur partagé qui pilote les affectations, une base Access de 2009, un portail transporteur fourni par un client. Ces outils n'apparaissent sur aucun schéma d'architecture, et pourtant l'activité s'arrête quand ils s'arrêtent.

L'exercice le plus utile que vous puissiez faire cette année ne demande pas de budget : listez tout ce qui doit fonctionner pour qu'un camion sorte du quai, et notez à côté de chaque ligne qui en détient les accès. La liste sera plus longue que prévu, et elle contiendra au moins une dépendance dont vous ignoriez l'existence.

Et pendant que vous y êtes, vérifiez un point qui ne coûte rien et que presque personne ne regarde : votre nom de domaine est-il protégé contre l'usurpation ? Sur les 41 sites de transporteurs du Grand Est que j'ai relevés, trente-deux pouvaient être usurpés pour envoyer un e-mail parfaitement crédible depuis l'adresse de l'exploitation. C'est l'inverse d'une attaque spectaculaire — aucun système ne tombe — et ça déclenche pourtant de vrais mouvements de marchandise et de trésorerie.

C'est de ce même constat que part la question, plus large, de savoir jusqu'où un outil interne léger peut sécuriser vos flux sans toucher au système existant. J'y reviendrai — c'est le sujet que je connais le mieux, des deux côtés du quai.