Vous vous réveillez un matin, ouvrez votre ordinateur… et plus rien ne fonctionne. Les emails sont inaccessibles, les paiements bloqués, les données clients volatilisées. Ce cauchemar, trois des boroughs les plus riches de Londres viennent de le vivre en direct. Kensington & Chelsea, Westminster et Hammersmith & Fulham sont actuellement paralysés par une cyberattaque d’ampleur dont on ignore encore l’origine exacte.
Et pourtant, ces administrations partagent leurs systèmes informatiques depuis des années pour « faire des économies ». Résultat ? Une seule brèche et c’est tout un écosystème qui s’effondre. Ce qui arrive à Londres aujourd’hui est un avertissement brutal pour toutes les startups qui croient encore que « ça n’arrive qu’aux autres ».
Quand trois boroughs londoniens tombent en même temps
Le 26 novembre 2025, les sites internet des conseils de Kensington & Chelsea et de Westminster affichent le même message laconique : réseaux coupés, lignes téléphoniques hors service, plans d’urgence activés. Hammersmith & Fulham confirme quelques heures plus tard être touché par la même attaque.
Concrètement, des milliers d’habitants ne peuvent plus déclarer un changement d’adresse, payer leurs taxes locales, ni même signaler un problème de voirie. Les services sociaux, les bibliothèques, les collectes de déchets : tout est perturbé ou à l’arrêt.
Le plus inquiétant ? Les autorités refusent toujours de communiquer sur la nature exacte de l’attaque. On sait seulement que « la cause est désormais établie » et qu’une enquête est en cours avec la police britannique et le National Crime Agency.
Les premiers indices qui font peur
Plusieurs sources proches du dossier évoquent un ransomware particulièrement sophistiqué. Le fait que trois entités distinctes mais interconnectées soient touchées simultanément laisse penser à une attaque ciblée sur leur prestataire commun de services IT.
C’est exactement le même scénario que celui qui a paralysé la ville de Baltimore en 2019 ou l’hôpital de Düsseldorf en 2020. Une seule porte d’entrée mal protégée suffit à tout faire tomber.
« Une seule faille dans un système partagé peut contaminer des dizaines d’organisations en quelques minutes. »
Allan Liska, analyste ransomware chez Recorded Future
Pourquoi les startups sont les prochaines cibles idéales
Vous pensez que ça n’arrive qu’aux administrations ? Détrompez-vous. Les groupes de ransomware ont changé de stratégie depuis 2023. Ils ciblent désormais prioritairement les PME et startups en forte croissance pour trois raisons simples.
- Elles ont souvent des données clients très sensibles (SaaS, fintech, healthtech…)
- Elles investissent massivement dans le digital mais rarement dans la sécurité
- Elles payent plus vite les rançons pour ne pas perdre leurs investisseurs
En 2025, le coût moyen d’une attaque ransomware pour une startup européenne dépasse les 1,8 million d’euros selon le dernier rapport de Sophos. Et un tiers des entreprises touchées mettent la clé sous la porte dans les 12 mois.
Les 7 erreurs fatales que commettent 90 % des startups
L’histoire de Londres nous donne une liste terrifiante de ce qu’il ne faut surtout pas faire.
- Mutualiser les systèmes sans cloisonnement
Les trois boroughs partageaient la même infrastructure. Résultat : une attaque, trois victimes. - Sous-estimer les prestataires tiers
80 % des brèches viennent d’un fournisseur (étude Verizon 2025). - Ne pas faire de sauvegardes hors ligne
Les ransomwares modernes chiffrent aussi les backups connectés. - Laisser des accès administrateurs à trop de monde
Un seul compte compromis = game over. - Reporter les mises à jour de sécurité
45 % des attaques exploitent des vulnérabilités connues depuis plus de 2 ans. - Ne jamais simuler d’attaque
Seules 32 % des startups font des exercices de crisis. - Croire que « nous sommes trop petits »
67 % des entreprises victimes ont moins de 100 employés.
Le modèle Zero Trust : la seule réponse crédible en 2025
Ce qui se passe à Londres prouve que le vieux modèle « château fort » (périmètre sécurisé, intérieur de confiance) est mort. La seule architecture qui tient encore la route s’appelle Zero Trust.
Le principe est simple : on ne fait confiance à personne par défaut. Ni aux employés, ni aux prestataires, ni même aux appareils de l’entreprise. Chaque accès est vérifié en temps réel.
| Avant (modèle périmétrique) | Après (Zero Trust) |
| Un VPN = accès total | Accès granulaire par application |
| Mot de passe tous les 90 jours | Authentification continue |
| Sauvegardes sur le même réseau | Backups air-gapped + immutable |
| Administrateurs tout-puissants | Privilèges minimum + JIT |
Des startups comme Doctrine ou Alan ont adopté ce modèle dès leur série A. Résultat : zéro incident majeur en 5 ans malgré des valorisations à 9 chiffres.
Plan d’action immédiat pour votre startup
Voici ce que vous pouvez mettre en place dès la semaine prochaine, même avec un budget limité.
- Auditez tous vos prestataires SaaS (score de sécurité, SOC 2, clauses de responsabilité)
- Activez l’authentification multifacteur partout (même sur les comptes admin)
- Mettez en place des sauvegardes 3-2-1 (3 copies, 2 supports, 1 hors site)
- Segmentez vos réseaux (développement / production / finance)
- Formez vos équipes au phishing (1 exercice par trimestre minimum)
- Préparez un playbook de crise (qui appelle qui, quand, comment)
- Souscrivez une cyber-assurance… mais seulement après avoir réduit les risques
« La question n’est plus de savoir SI vous serez attaqués, mais QUAND. La seule variable que vous contrôlez, c’est la gravité des conséquences. »
Kévin Müller, CISO de Qonto
Ce que Londres nous apprend pour 2026
Cette attaque va marquer un tournant. On le sent déjà : les investisseurs commencent à poser des questions précises sur la cybersécurité dès le premier deck. Les due diligence incluent désormais des pentests obligatoires dès la série A.
Les startups qui comprendront que la cybersécurité est un avantage compétitif (et pas une contrainte) domineront leur marché. Celles qui continueront à faire l’autruche… risquent de disparaître aussi vite qu’elles sont apparues.
Londres pleure aujourd’hui ses illusions. Ne commettez pas la même erreur demain.
La cybersécurité n’est plus un poste de dépense. C’est la meilleure police d’assurance que votre startup puisse souscrire.
