En juin 2026, la direction financière de la RATP a consacré une heure trente à une simulation de cyber-crise. Six volontaires en cellule de crise sur scène, près de 300 collaborateurs votant depuis la salle. Ce n’était pas une formation. C’était un miroir.
Une attaque par rançongiciel frappe les systèmes financiers un mardi après-midi. Plus de 1 200 virements fournisseurs, 184 millions d’euros, doivent partir avant 17 heures. La paie de dizaines de milliers de collaborateurs, générée la veille, est compromise. Six événements, six décisions à trancher, aucune bonne réponse évidente.
Le dispositif
Sur scène, six volontaires occupent les fonctions réelles d’une cellule de crise : direction financière, trésorerie, communication, comptabilité fournisseurs, DSI/RSSI, juridique. Ils décident à chaud, sous pression, devant leurs collègues.
Dans la salle, chacun vote avant chaque délibération. À froid, sans la pression des 184 millions ni l’adrénaline de la scène.
C’est là que se trouve le cœur du dispositif : cette asymétrie. Les écarts entre ce que décide la cellule et ce que vote la salle ne désignent pas un camp qui aurait raison. Ils révèlent ce qu’une organisation fait de la pression.
Ce que la salle a voté
241 participants ont voté sur les six décisions. Sur quatre d’entre elles, la salle a tranché à l’inverse de ce que le scénario prédisait.
Le résultat le plus frappant concerne la rançon. Au cinquième événement, la restauration des systèmes est estimée à huit ou quatorze jours. La paie ne passera pas. Un intermédiaire propose de ramener la demande de 20 à 10 millions d’euros contre la clé de déchiffrement. La doctrine de l’État français est de ne jamais payer. En face, des dizaines de milliers de salaires.
Le scénario pariait que la salle, dont la paie était en jeu, voterait pour payer. Résultat : 1,5 %. Ne jamais payer l’emporte à 48 %, négocier sans payer à 42 %.
L’intérêt personnel immédiat n’a pas dicté le vote. C’est l’enseignement le plus politique de la soirée.
Le piège que personne n’attendait
Au troisième événement, un sous-traitant industriel historique attend un virement de 11,8 millions d’euros, préparé et validé trois semaines avant l’attaque, à échéance le jour même. Compte habituel, relation ancienne, aucune anomalie.
Le réflexe attendu était la fraude au président. Elle n’est jamais venue. Le vrai piège était ailleurs : après une heure de crise, plus rien ne paraît crédible. 68 % de la salle a voulu bloquer, dont 42 % l’ensemble des virements sortants.
C’est le seul événement où la cellule a mieux répondu que la salle. Elle a su distinguer ce qui avait été validé à froid, avant l’attaque, de ce qui apparaissait pendant.
Une cyber-crise ne détruit pas que des systèmes. Elle détruit la capacité à distinguer le normal de l’anormal. L’organisation qui bloque tout par précaution s’inflige une seconde crise, opérationnelle et contractuelle.
Personne n’a choisi de subir
Au sixième événement, l’investigation révèle que le point d’entrée n’était pas l’entreprise elle-même mais un éditeur logiciel compromis six mois plus tôt. Cinq autres opérateurs publics sont touchés. Le récit bascule.
Après une heure quinze sous les projecteurs, malgré la fatigue décisionnelle, cellule et salle ont convergé sur la posture la plus exigeante : devenir force de proposition plutôt que rester en position de victime. 53 % dans la salle, et la même décision sur scène.
C’est rare. C’est précieux. Et cela ne se décrète pas : cela se constate.
Ce qu’une simulation produit
Un débriefing de seize pages, remis quelques jours plus tard : analyse du vote, cartographie des écarts, profilage comportemental, biais activés, marqueurs de résilience, recommandations.
Rien de tout cela n’aurait pu être obtenu par un questionnaire. Il fallait la scène, la pression, le compteur qui tourne, et 300 personnes qui regardent.
OSS101 Opération Ticket 14h32 a été conçue et animée par OLIFANT strategy.