Fin septembre 2026, l’un de nos clients, Next One, est victime d’une attaque par ransomware.
En quelques heures, son système d’information est brutalement paralysé. La base de données SQL Server de son ERP WAVESOFT est chiffrée. Les serveurs de sauvegarde sont également touchés.
Pour les équipes, les conséquences sont immédiates : plus de devis, plus de facturation, plus d’accès à la base clients et prospects.
L’activité, notamment commerciale, est à l’arrêt.
Chez CRIF Informatique, nous n’administrons pourtant pas l’infrastructure informatique de Next One. Notre mission concerne l’accompagnement fonctionnel et technique de son ERP WAVESOFT.
Mais le lundi matin, lorsque nous apprenons ce qui vient de se passer, la question n’est pas de savoir si l’incident entre ou non dans le périmètre de notre contrat.
La question est beaucoup plus simple :
Comment pouvons-nous aider notre client à reprendre son activité le plus rapidement possible ?
Une mobilisation immédiate
Dès l’annonce de l’incident, notre équipe se mobilise pour rechercher une solution.
La situation est particulièrement complexe :
- les fichiers SQL Server MDF et LDF sont chiffrés ;
- les serveurs de sauvegarde ont eux aussi été touchés ;
- l’activité de l’entreprise est fortement perturbée ;
- aucune solution immédiate de restauration n’est disponible.
Nous n’avons aucun contrat de maintenance ou d’infogérance sur cette infrastructure.
Mais rester spectateurs n’est tout simplement pas envisageable.
Moins de 48 heures pour remettre un ERP en fonctionnement
Notre priorité est alors de trouver une solution permettant aux équipes de Next One de retravailler au plus vite.
Après plusieurs heures de recherches et d’échanges, nous préparons un environnement de secours.
Dès le mercredi, moins de 48 heures après la découverte du problème, un serveur temporaire est livré à Next One.
Nous décidons de le mettre gratuitement à disposition pendant un mois, le temps nécessaire aux opérations de récupération et à la remise en état de l’environnement de production.
Cette décision ne répond à aucune obligation contractuelle.
Elle correspond simplement à notre conception du métier : la qualité d’une relation avec un client ne se mesure pas uniquement lorsque tout fonctionne. Elle se révèle surtout lorsque les difficultés surviennent.
Pendant ce temps, commence la récupération des données
En parallèle, RECOVEO, spécialiste de la récupération de données, intervient sur les éléments touchés.
Ses équipes travaillent notamment sur l’extraction bas niveau des données, le contournement du chiffrement avec un travail spécifique de R&D autour de Veeam, puis sur la récupération et la reconstruction de la base de données endommagée.
Mais récupérer les données ne constitue qu’une partie du problème.
Car pendant ce temps, Next One a recommencé à travailler sur notre serveur de secours.
De nouvelles informations sont donc créées : clients, devis, commandes, factures et autres données de gestion.
Lorsque la base historique est finalement récupérée, un nouveau défi apparaît :
Comment réunir les données historiques restaurées avec celles créées pendant la période de fonctionnement sur le serveur de secours ?
Réconcilier deux environnements sans perdre le travail réalisé
C’est probablement l’une des étapes les plus techniques de l’opération.
Nos équipes développent des mécanismes spécifiques permettant de transférer et de resynchroniser les données entre l’environnement temporaire et l’environnement restauré.
L’objectif est essentiel : préserver les données récupérées tout en conservant le travail effectué par les équipes de Next One pendant plusieurs semaines.
Il ne suffit donc plus de remettre un serveur en fonctionnement.
Il faut reconstruire une continuité entre l’avant, le pendant et l’après de la cyberattaque.
Un mois plus tard : retour à la normale
Après plusieurs semaines de travail collaboratif entre les équipes de Next One, RECOVEO et CRIF Informatique, l’environnement de production est de nouveau opérationnel.
Les données ont été récupérées, les traitements métiers peuvent reprendre normalement et l’entreprise retrouve progressivement son fonctionnement habituel.
Et pour nous, c’est probablement là l’essentiel.
Ce que cette expérience nous rappelle
Une cyberattaque est évidemment un événement technique.
Mais lorsqu’elle survient, ses conséquences sont avant tout opérationnelles et humaines : des collaborateurs qui ne peuvent plus travailler, des commandes qui ne peuvent plus être traitées, des factures qui ne peuvent plus être émises et une entreprise dont l’activité peut soudainement être fragilisée.
Cette expérience nous rappelle quelques principes essentiels :
- aucune entreprise n’est totalement à l’abri d’une cyberattaque ;
- une sauvegarde n’a réellement de valeur que si sa restauration est régulièrement testée ;
- un plan de reprise d’activité se prépare avant la crise, pas lorsqu’elle survient ;
- dans les moments difficiles, la réactivité et la coopération entre partenaires peuvent faire toute la différence.
Chez CRIF Informatique, notre cœur de métier reste l’accompagnement des entreprises autour de leurs solutions de gestion, et notamment de WAVESOFT.
Mais derrière les logiciels, les serveurs et les bases de données, il y a surtout des entreprises et des personnes qui doivent pouvoir continuer à travailler.
Cette expérience avec Next One résume finalement assez bien les valeurs que nous voulons porter au quotidien :
Engagement. Réactivité. Sens du service.
Et elle confirme une conviction :
La valeur d’un partenaire ne se mesure pas uniquement lorsque tout va bien. Elle se révèle surtout lorsque tout semble s’arrêter.
