Cyberattaques pendant les congés : pourquoi l'été et Noël sont des pics critiques

TL;DR — Les attaquants connaissent vos vacances. Selon plusieurs CERT européens, 40 à 60 % des ransomwares majeurs en Europe se déclenchent pendant les week-ends prolongés et les périodes de congés (été, Noël, ponts mai/août). Voici pourquoi, et comment se préparer concrètement.

Le fait : les pics saisonniers sont mesurables

Les CERT français (CERT-FR ANSSI), le CISA américain et les éditeurs cyber publient depuis plusieurs années des statistiques convergentes :

• Vendredi soir → dimanche matin : 40 % des incidents ransomware critique en France.
• Pic absolu : nuits du 24-25 décembre, 31 décembre - 1ᵉʳ janvier, 14-15 juillet, 15 août, ponts de mai (1ᵉʳ et 8 mai).
• Période juillet-août : volume mensuel d'incidents critique +35 % vs moyenne annuelle.
• Cas emblématiques : Colonial Pipeline (vendredi 7 mai 2021), Kaseya (vendredi 2 juillet 2021), MGM Resorts (week-end de septembre 2023).

Ce n'est pas une coïncidence. C'est de la stratégie attaquante.

Pourquoi les attaquants visent les congés

1. Les équipes de défense sont réduites

• SOC interne : 2-3 personnes en astreinte au lieu de 8-12 en jour ouvré.
• DSI / réseau / prod : équipes en congés, parfois injoignables.
• RSSI / direction : moins disponibles pour décisions rapides.
• Sous-traitants critiques : éditeurs, prestataires CTI, juristes — tous au ralenti.

2. Le temps de détection s'allonge

Une attaque qui aurait été repérée en 2h en jour ouvré met 8-24 h à être détectée le week-end ou en août. Cela laisse le temps à l'attaquant de :

• Pivoter latéralement.
• Exfiltrer 500 Go au lieu de 50.
• Désactiver les sauvegardes.
• Déclencher le chiffrement.

3. Les fenêtres de maintenance se chevauchent

Les déploiements de patchs critiques sont souvent reportés à « après les congés », ce qui laisse des CVE exploitables ouvertes pendant 2-4 semaines en été.

4. La pression de paiement de la rançon est maximale

Une entreprise paralysée à la veille de la rentrée scolaire (e-commerce), du Black Friday (retail), ou du closing de fin d'année (finance) paye plus vite et paye plus.

Le scénario type d'une attaque en congés

J-30 : Reconnaissance

L'attaquant scrape LinkedIn pour repérer les départs en congés annoncés (« je serai en congé du 14 au 30 août, ma collègue Sophie me remplace »). Il cible le CFO, RSSI, DSI.

J-15 : Compromission initiale

Phishing personnalisé envoyé à la collègue Sophie (qui sera moins vigilante en remplacement), ou achat de credentials infostealer sur Telegram (cf. surveillance Telegram credential exposure UniSOC).

J-7 : Persistence et reconnaissance interne

Attaquant pivote, énumère AD, repère les serveurs critiques, les sauvegardes, les comptes admin.

J-2 (vendredi 18h) : Exfiltration

500 Go partent vers des cloud providers (MEGA, pCloud) sur 36 heures, pendant que personne ne regarde le DPI.

J-0 (samedi 3h) : Déclenchement du ransomware

Chiffrement massif. Lundi matin, les équipes découvrent l'incident. Les sauvegardes ont été supprimées 6h avant le chiffrement (l'attaquant les a vues).

Demande de rançon : 1,2 M USD

Avec menace de publication des données exfiltrées si non-paiement sous 7 jours.

Pourquoi les sauvegardes ne suffisent pas (en congés)

Beaucoup de RSSI se rassurent : « on a des sauvegardes ». Mais en congés :

• Le point de restauration disponible est souvent J-7 (la dernière sauvegarde avant l'attaque silencieuse).
• La restauration complète prend 48-96h sans toute l'équipe (et certaines apps mal documentées).
• Les sauvegardes en ligne (NAS, snapshots cloud connectés) ont souvent été chiffrées avec le reste.
• Les sauvegardes hors ligne (tape, immutable storage) prennent 24-72h pour récupérer du datacenter de backup.

Sans plan de continuité d'activité testé et équipe d'astreinte structurée, la restauration prend 2 à 4 semaines.

Plan d'action concret : 12 mesures

Avant les congés (J-30 à J-15)

1. Cartographier les VIP en congés (RSSI, DSI, CFO, directeurs). Documenter les remplaçants et leurs droits temporaires.
2. Patcher les CVE critiques ouvertes (CVSS > 8.0) avant le départ. Pas de report.
3. Tester la restauration d'au moins une application critique depuis sauvegarde froide.
4. Renforcer la MFA sur les comptes admin et VIP (FIDO2 si pas déjà fait).
5. Vérifier le SOC : confirmer la couverture 24/7 réelle, les délais de notification, les contacts d'urgence du MSSP.
6. Réviser la cyber assurance : couverture, plafonds, conditions de déclenchement.

Pendant les congés

7. Astreinte cyber dédiée : minimum 1 personne joignable 24/7 avec autorité de décision (pas seulement « j'appelle Untel »).
8. Cellule de crise pré-mobilisée : RSSI, DSI, DG, juriste, comm, MSSP — joignables sous 2h.
9. SOC managé 24/7 avec SLA strict (15 min HIGH/CRITICAL) — c'est le plus gros levier (cf. notre article SOC managé : externaliser ou recruter ?).
10. Surveillance renforcée des comptes en congés (ils ne devraient pas se logger ; toute connexion = alerte immédiate).
11. Bloquer les déploiements non-critiques pendant la période sensible.
12. Communication interne : rappel court aux équipes (pas plus de 5 lignes) sur la vigilance phishing renforcée pendant les vacances.

Après les congés

• Audit post-période : a-t-on eu des alertes non-traitées ? Des connexions suspectes oubliées ?
• Patcher ce qui a été reporté.
• Réviser les leçons de la période et préparer la suivante.

Le rôle d'un SOC managé pendant les congés

Un SOC interne réduit en effectif est le point de défaillance #1 des congés. Un SOC managé externe résout 80 % du problème :

• Couverture 24/7 réelle (pas 24/7 marketing) avec analystes en rotation, jamais en congé synchronisé.
• Mutualisation : votre SOC managé voit les attaques sur 50-200 autres clients en parallèle. Si une vague RaaS frappe l'Europe à 4h du matin un 15 août, votre SOC est déjà en alerte.
• Capacité IR : forfait incident response inclus (généralement 8-40h/an), avec analystes prêts à intervenir le week-end.
• Threat intelligence : feeds CTI mis à jour 24/7, y compris pendant les vacances de votre équipe interne.

UniSOC garantit contractuellement la continuité 24/7 sans interruption période de fêtes — c'est le socle de la plateforme SOC managé UniSOC, pensée pour ne jamais avoir d'angle mort calendaire.

Checklist express RSSI : « êtes-vous prêt pour vos prochains congés ? »

Cochez chaque ligne :

• Les CVE critiques ouvertes sont patchées
• La MFA FIDO2 est active sur tous les comptes admin
• La sauvegarde immutable est testée et fonctionnelle
• L'astreinte cyber est nominative et écrite
• Le SOC managé a confirmé sa couverture 24/7 sur la période
• La cyber assurance couvre les rançons et la perte d'exploitation
• Le plan de continuité d'activité est documenté et lu par les remplaçants
• Les sous-traitants critiques (cloud, télécom, MSSP) ont confirmé leurs astreintes
• La cellule de crise est pré-formée et a un canal de communication hors-bande (Signal, téléphone direct)
• Les comptes en congés ont une alerte automatique sur toute connexion

Si vous avez 3 cases non cochées, prenez 2 jours pour les fermer avant votre prochain départ.

Conclusion

Les attaquants exploitent votre calendrier. Été, Noël, ponts : ce sont les moments où vos défenses humaines sont les plus faibles, et donc les meilleurs moments pour eux. La bonne nouvelle : c'est aussi prévisible et préparable.

Un SOC managé 24/7 + une astreinte interne structurée + des patchs et sauvegardes à jour + une MFA résistante au phishing = vous transformez une fenêtre de vulnérabilité en non-événement. C'est ce que recherchent en priorité les RSSI dans notre offre entreprises.

Sans ça, c'est un pari sur la chance — et la chance n'est pas une stratégie cyber.

---

Vérifier votre couverture SOC 24/7 avant les prochains congés : Demandez un audit gratuit → — 30 minutes, on cartographie vos angles morts en astreinte et on remet un plan d'action.