Black-out cyber : la Suède a préparé ses caisses de supermarché, la France a publié un PDF

Le jeudi 29 octobre, en une vingtaine de minutes, 6,36 milliards de dollars ont quitté les portefeuilles de Binance, la première plateforme mondiale d'échange de cryptoactifs. L'intrusion était partie d'un ordinateur portable compromis. Binance a suspendu dépôts et retraits, et des millions de clients se sont retrouvés sans accès à leurs fonds, au moins jusqu'à ce dimanche, date annoncée de la reprise sous réserve de contrôles de sécurité. Le FBI a attribué le vol à la Corée du Nord dès samedi. Deux jours plus tôt, Anthropic avait décrit comment son modèle d'IA Claude avait écrit en 53 minutes un exploit donnant un accès root à distance sur des serveurs Linux, par une faille du noyau notée 9,8 sur 10 que ni Ubuntu ni Red Hat n'avaient encore corrigée le 29 octobre.

Une semaine plus tôt, le mardi 20 octobre, c'est Revolut qui avait cessé de fonctionner dans plusieurs pays européens du début de matinée jusqu'à 19 h 39, parce que son fournisseur Google Cloud était en panne. Cartes refusées en caisse, virements bloqués, application inaccessible, pour une banque qui revendique plus de huit millions de clients en France.

Je racontais dimanche dernier ma retraite dans un ashram en Italie, au moment même où le secteur déclarait un bain de sang de CVE. Ce que je n'avais pas dit, c'est que j'y ai passé trois jours sans téléphone ni Internet, et que c'est pendant cette coupure volontaire que la question du black-out cyber m'est apparue le plus nettement. Se déconnecter trois jours ne coûte presque rien quand tout continue de fonctionner autour de soi. Un black-out cyber renverse la situation : on reste dépendant de tout, et c'est le monde autour qui se déconnecte, la carte bancaire, la pompe à essence, la pharmacie, le supermarché.

Un black-out cyber en France est possible, et sa probabilité n'a rien de marginal. Chacun des maillons qui le composeraient a déjà cédé quelque part au cours des dix dernières années. Ils n'ont simplement pas encore cédé en même temps.

Chaque maillon a déjà cédé

En mai 2021, le rançongiciel qui frappe Colonial Pipeline conduit l'opérateur à arrêter l'oléoduc qui achemine près de la moitié du carburant de la côte Est américaine, et six jours suffisent pour que des stations entières se retrouvent à sec, surtout parce que les automobilistes se précipitent pour faire le plein. En janvier 2022, sur la scène de mon TEDx, je prenais déjà cet exemple pour montrer que la cybersécurité produit des effets bien réels, avec celui, tout juste survenu, d'une prison du Nouveau-Mexique où un rançongiciel avait mis hors service les caméras de surveillance et privé les détenus de sortie de cellule pendant des jours. Quatre ans plus tard, la liste s'est allongée au point de couvrir presque tout ce dont une société a besoin pour fonctionner.

En juillet 2021 déjà, la chaîne suédoise Coop avait dû fermer environ 800 magasins, une attaque visant un logiciel de gestion informatique utilisé par le prestataire de ses caisses l'empêchant tout simplement d'encaisser. Au printemps 2025, Co-op a affiché des rayons vides au Royaume-Uni et Marks & Spencer a suspendu ses ventes en ligne pendant plus de six semaines. En octobre 2026, c'est la chaîne du froid de quelque 700 de nos supermarchés qui s'est révélée pilotable, et déréglable, depuis Internet.

La santé et l'argent ont connu les mêmes ruptures. En février 2024, l'attaque contre Change Healthcare a empêché pendant des semaines une partie des pharmacies américaines de traiter la prise en charge des ordonnances. En juin, des hôpitaux londoniens privés de leur prestataire d'analyses, Synnovis, ont reporté des opérations et appelé les donneurs de sang O négatif. En juillet de la même année, une mise à jour défectueuse de l'éditeur de sécurité CrowdStrike a bloqué 8,5 millions d'ordinateurs Windows, et avec eux des compagnies aériennes, des banques et des terminaux de paiement.

Les réseaux eux-mêmes ont lâché. Le 24 février 2022, jour de l'invasion de l'Ukraine, l'attaque contre le réseau satellitaire de Viasat a coupé des dizaines de milliers de modems en Europe et privé de supervision à distance 5 800 éoliennes allemandes. En décembre 2023, Kyivstar, premier opérateur ukrainien, a perdu pendant plusieurs jours le mobile et l'Internet de ses 24 millions d'abonnés, huit ans après qu'une première attaque eut privé de courant quelque 225 000 clients ukrainiens. Cet été, des responsables américains ont attribué à l'Iran des attaques contre les réseaux d'eau municipaux d'au moins sept États. Au début de la guerre ouverte le 28 février, l'Iran lui-même est tombé à 1 à 4 % de sa connectivité Internet pendant plus de soixante heures, sous l'effet de frappes et d'attaques informatiques, pendant que des drones endommageaient trois centres de données d'Amazon aux Émirats.

Certains de ces épisodes viennent d'États, d'autres du crime organisé, d'autres encore d'un simple accident, et c'est ce qui rend le risque si sérieux, puisqu'il dispose de plusieurs chemins pour se réaliser. En février 2024, les agences américaines de cybersécurité et de renseignement ont écrit que des acteurs liés à la Chine s'étaient installés dans les réseaux d'infrastructures critiques américaines pour pouvoir les perturber en cas de crise ou de conflit. La Corée du Nord vient de signer le plus gros vol de l'histoire des cryptoactifs, et une IA a montré cette semaine qu'elle pouvait écrire en moins d'une heure l'exploit d'une faille critique du noyau Linux, le système qui fait tourner l'essentiel des serveurs de la planète. Quant à l'accident, la panne de Revolut a montré qu'il suffit d'un fournisseur défaillant pour produire un effet comparable.

La situation me rappelle celle d'avant 2020. La pandémie figurait dès 2008 dans le Livre blanc sur la défense et la sécurité nationale, et nous l'avons affrontée en manquant de masques. Le black-out cyber figure aujourd'hui dans les registres de risques des entreprises comme de l'État, et presque personne ne s'y prépare au niveau où il frappera, celui des foyers et des commerces.

À quoi ressemblerait un black-out cyber en France ?

On imagine volontiers un pays plongé d'un coup dans le noir. Ce que nous avons déjà vécu ressemble davantage à des pannes locales qui se propagent par une dépendance commune. Quelques fournisseurs de cloud, de paiement, de logiciels de caisse ou de sécurité équipent des milliers d'entreprises à la fois, et lorsque l'un d'eux tombe, toutes ses clientes s'arrêtent ensemble. Dans les plans de continuité que je relis en audit, le scénario où toute l'informatique disparaît pendant une semaine est rarement traité, alors que c'est lui qui se dessine.

Concrètement, la première journée verrait les cartes refusées en caisse et aux pompes, les pharmacies incapables de traiter les ordonnances et les distributeurs de billets pris d'assaut. Dès le lendemain, les commandes de réapprovisionnement, qui passent par les mêmes systèmes, cesseraient de partir et les rayons frais se videraient. Au bout de quelques jours, ceux qui ont du liquide achèteraient pour ceux qui n'en ont pas, et les réseaux mobiles s'éteindraient peu à peu à mesure que les batteries des antennes s'épuisent, comme en Espagne et au Portugal lors de la grande panne électrique d'avril 2025.

Le supermarché, par lequel la population se nourrit, échappe pourtant à l'essentiel des obligations. Dans le secteur alimentaire, la directive européenne NIS2 ne vise que la distribution en gros et la production industrielle, si bien que le magasin dont les chambres froides ont été déréglées le 12 octobre n'a aucune obligation de cybersécurité propre. Sa capacité à fonctionner sans réseau dépend entièrement de ses propres choix.

Ce que l'État a écrit sans le dire

Le risque n'est pas ignoré en haut lieu. Le 20 novembre 2025, le Secrétariat général de la défense et de la sécurité nationale a publié « Tous responsables », un guide de vingt-sept pages qui recommande à chaque foyer de pouvoir tenir 72 heures en autonomie, mentionne les cyberattaques et conseille de garder du liquide en cas de panne des distributeurs. Le contenu tient la route. Le guide a pourtant été mis en ligne sans grande campagne et sans être distribué dans les boîtes aux lettres, ce qui revient à confier un manuel de survie sans réseau à la seule infrastructure qui aura disparu le jour où il servira.

La Suède a choisi une autre voie. Elle envoie à tous ses foyers, depuis 1943 et avec une longue interruption après la guerre froide, une brochure de préparation aux crises et à la guerre, rééditée en 2024. Elle a surtout réglé la question de la caisse. Depuis le 1er juillet 2026, sous la conduite de la Riksbank, sa banque centrale, une carte bancaire physique et son code permettent d'acheter de la nourriture, des médicaments et du carburant même lorsque les communications sont coupées, pour des interruptions pouvant aller jusqu'à sept jours. Le gouvernement suédois a proposé d'obliger les épiceries et les pharmacies avec personnel à accepter les espèces, et la Riksbank conseille à chaque adulte de garder environ 1 000 couronnes chez lui. Un pays qui paie presque tout par carte a pris au sérieux l'hypothèse de ne plus pouvoir le faire.

Comment tenir dix jours sans réseau ?

Je suis par nature survivaliste. J'ai passé mon brevet de premiers secours à la Croix-Rouge, et il y a chez moi un sac prêt pour un départ en urgence, avec des vêtements, de l'argent liquide et la copie de mes documents. Je raconte souvent en conférence qu'à chaque coupure de courant dans un immeuble, on trouve deux sortes de voisins, celui qui a des bougies et en prête aux autres, et celui qui frappe à la porte d'à côté pour demander s'il n'y en aurait pas une à dépanner. J'ai toujours préféré être celui qui a des bougies en stock.

C'est dans cet esprit que je donne ici les conseils que je m'applique. Le guide officiel vise 72 heures, alors qu'une crise de ce type durerait vraisemblablement davantage, et l'Allemagne recommande déjà dix jours de réserves. Mes conseils visent donc dix jours, et se mettent en place en un week-end.

L'argent

Le liquide redevient le dernier moyen de paiement, encore faut-il en avoir avant que les distributeurs ne s'arrêtent. Une semaine de courses en petites coupures suffit, car personne ne rendra la monnaie sur un billet de cinquante euros au troisième jour. Je garde aussi un peu d'or en petit format, des lingotins de 5 ou 10 grammes et pas davantage, parce qu'ils restent faciles à utiliser et à convertir si besoin. Un second compte dans une autre banque, idéalement d'un autre type, une banque traditionnelle pour un client de néobanque et inversement, évite de dépendre d'une seule infrastructure : le 20 octobre, les clients de Revolut qui avaient une autre carte ont pu continuer à payer. Pour la même raison, l'épargne de précaution n'a rien à faire sur une plateforme de cryptoactifs, dont les retraits peuvent être suspendus du jour au lendemain, comme chez Binance le 29 octobre. La carte physique et son code doivent rester à portée de main, puisque le paiement par téléphone dépend du réseau et que les dispositifs de secours, là où ils existent, passent par la puce et le code. Un relevé récent de chaque compte, téléchargé ou imprimé, et les numéros de la banque et du service d'opposition notés sur papier complètent l'ensemble.

L'eau, la nourriture et l'énergie

Les stations de pompage et de traitement de l'eau sont pilotées à distance et ne tiennent sur groupe électrogène qu'un temps limité, ce qui fait de l'eau la première réserve à constituer. Le guide officiel compte six litres par personne pour trois jours, il en faut donc une vingtaine pour dix jours, davantage avec des enfants ou des animaux. Pour la nourriture, le plus simple est de stocker ce que l'on mange déjà, conserves, pâtes, riz, de quoi se passer de réfrigérateur, en faisant tourner le stock. Un réchaud à cartouches, des lampes, des piles, une batterie externe chargée et un petit panneau solaire pliable pour le téléphone et la radio couvrent l'énergie. Mieux vaut aussi ne jamais laisser le réservoir de la voiture descendre sous la moitié, puisqu'en 2021 les stations de la côte Est américaine se sont vidées bien avant que le carburant ne manque.

La santé

Deux semaines d'avance sur les traitements réguliers, si le médecin l'accepte, et une copie papier de chaque ordonnance évitent la situation qu'ont connue des patients américains en 2024, face à des pharmacies qui avaient les médicaments en rayon sans pouvoir traiter leur prise en charge. Pour ce qui doit rester au froid, l'insuline en particulier, une glacière et des pains de glace font l'affaire. La question mérite d'être posée dès maintenant à son pharmacien : comment travaille-t-il quand son logiciel ne répond plus ?

L'information et les proches

Quand le mobile et Internet tombent, la radio à piles ou à manivelle reste la seule source fiable, et c'est par elle que passeront les consignes des autorités. Les numéros importants, famille, médecin, école, employeur, banque, doivent exister sur papier, puisque plus personne ne les connaît par cœur. Il est utile de convenir d'un point de rendez-vous familial pour le cas où personne ne pourrait se joindre, les antennes mobiles ne tenant que quelques heures sur batterie.

Les papiers et les données

Des copies papier des pièces d'identité, de la carte Vitale, des contrats d'assurance et du RIB évitent de dépendre d'un portail en ligne, et le plus simple est de les ranger dans un sac prêt au départ, avec quelques vêtements et un peu de liquide. Les photos et documents importants gagnent à être sauvegardés sur un disque externe que l'on débranche ensuite. Les codes de secours de la double authentification de sa messagerie, imprimés et rangés avec les papiers, permettront de tout récupérer une fois la crise passée.

Les voisins

Sur plusieurs jours, un immeuble ou une rue tient mieux qu'un foyer isolé, et c'est là que celui qui a des bougies devient utile aux autres. Il vaut la peine de savoir qui dispose d'un groupe électrogène, d'une compétence médicale ou d'une voiture, et qui vit seul, âgé ou dépendant, car les plus exposés sont ceux qui n'ont qu'un seul canal, le parent qui paie tout avec son téléphone ou le voisin dont les médicaments arrivent au jour le jour.

L'après

Chaque grande panne est suivie d'une vague de messages frauduleux qui se présentent comme la banque, l'opérateur ou l'administration et promettent un remboursement ou réclament une vérification de compte, exactement comme après chaque grande fuite de données. La règle reste la même : aucun lien, aucune pièce jointe, on rappelle soi-même le numéro officiel, et on surveille ses comptes pendant les semaines suivantes.

Pour les commerçants

Un commerce capable de vendre sans son système de caisse reste ouvert quand les autres ferment, et c'est faute d'en être capable que Coop a dû baisser le rideau de 800 magasins en 2021. Un fond de caisse en espèces, une liste de prix imprimée, un carnet de ventes et un terminal de paiement qui fonctionne hors ligne permettent de tenir plusieurs jours. Le régulateur frigorifique n'a rien à faire en accès libre sur Internet, pas plus qu'aucune autre interface d'administration.

Défendre le billet de banque

Face à ce type de risque, la réponse habituelle consiste à réclamer davantage de budget pour la cybersécurité. Elle ne suffira pas. Aucun budget ne rendra invulnérables les systèmes des banques, des fournisseurs cloud ou des supermarchés, et la résilience d'un pays se joue aussi sur ce qui continue de fonctionner une fois qu'ils sont tombés.

L'argent liquide en fait partie, et nous l'abandonnons depuis des années sans y penser. Les distributeurs disparaissent, certains commerces refusent les espèces et le sans-contact est devenu un réflexe. Refuser un billet ayant cours légal reste pourtant une contravention en France, rarement sanctionnée. Un commerce qui ne sait plus encaisser autrement que par carte fermera le jour du black-out, et un foyer sans liquide dépendra des autres. La Suède, qui était allée plus loin que tout le monde dans l'abandon des espèces, est en train de revenir en arrière au nom de la préparation aux crises. La France devrait regarder le billet de banque pour ce qu'il est devenu, une infrastructure de résilience.

Ce que l'État doit décider maintenant

La Banque de France peut reproduire ce que la Riksbank a obtenu en neuf mois, en réunissant le groupement des cartes bancaires, les banques, les acquéreurs et la grande distribution autour d'un accord qui garantit le paiement par carte hors ligne pour l'alimentation, les médicaments et le carburant pendant plusieurs jours. L'accord suédois a été signé en octobre 2025 et appliqué le 1er juillet 2026, et rien n'empêche la France de tenir un calendrier comparable.

Le législateur peut, de son côté, obliger les commerces d'alimentation, les pharmacies et les stations-service avec personnel à accepter les espèces et à savoir fonctionner en mode dégradé, avec un fond de caisse, une procédure papier et un test annuel, de la même manière qu'on teste l'alarme incendie. Le supermarché, absent du champ de NIS2, entrerait ainsi dans la résilience nationale par la porte qui compte pour la population, celle de la caisse.

Le guide « Tous responsables », enfin, devrait être imprimé et envoyé à chaque foyer, avec chaque année un exercice national au cours duquel chacun vérifierait, le temps d'un week-end, s'il pourrait tenir dix jours sans réseau.

Mes trois jours sans réseau, je les ai choisis, dans un lieu où tout continuait de fonctionner autour de moi. Le 20 octobre, les clients de Revolut ont subi une coupure qu'ils n'avaient pas choisie, une journée seulement, avec des supermarchés ouverts, des pompes en service et d'autres cartes qui passaient. Depuis le 29 octobre, ceux de Binance attendent de retrouver l'accès à leurs fonds. Le jour où tout cela s'arrêtera en même temps, la différence entre ceux qui tiendront et les autres se sera faite bien avant, chez eux.

À lire également

• On corrige ce qui fait du bruit
• On accepte le risque cyber comme on choisit la plante de la réception
• Le Parlement n'a jamais été votre RSSI
• La seule sauvegarde qui compte est celle qu'on a déjà restaurée
• Free : l'amende se discute au Conseil d'État, le hameçonnage continue
• Les gestes pratiques pour se protéger sur etrecyber.fr

Sources

• iGeneration, Grosse panne chez Revolut : les paiements et d'autres services de retour après une journée d'interruption, et Journal du Geek, Votre carte Revolut est refusée ce matin ?, 20 octobre 2026.
• CNBC, Binance says 90% of $6.3 billion hack losses are now covered, 31 octobre 2026, pour l'attribution du FBI ; NBC News, Binance targeted in $6.3 billion crypto heist, the largest ever, et CBC News, 30 octobre 2026, pour le montant, la durée et l'origine de l'intrusion.
• BleepingComputer, Critical Linux kernel flaw allows remote root attacks on MPTCP servers, 30 octobre 2026 ; The Hacker News, Linux Kernel TCP Flaw With 9.8 CVSS Score Affects Ubuntu, Red Hat and Other Distributions, 29 octobre 2026.
• StateScoop et AFP, janvier 2022, pour la prison du comté de Bernalillo, au Nouveau-Mexique.
• CISA, NSA et FBI, avis conjoint AA24-038A sur Volt Typhoon, 7 février 2024.
• Wikipédia, Cyberwarfare during the 2026 Iran war, octobre 2026, pour la connectivité iranienne relevée par NetBlocks, les centres de données d'Amazon et les attaques contre les réseaux d'eau américains rapportées par le New York Times.
• Secrétariat général de la défense et de la sécurité nationale, Tous responsables, 20 novembre 2025, présenté sur info.gouv.fr.
• Sveriges Riksbank, Offline card payments should be possible no later than 1 July 2026, octobre 2025, et page Offline payments ; Myndigheten för samhällsskydd och beredskap, Om krisen eller kriget kommer, novembre 2024.
• Directive (UE) 2022/2555 du 14 décembre 2022, dite NIS2, annexe II ; Code pénal, article R642-3.