Le FBI vient de lever le voile sur le Kinetic Cyber Range, une installation sans équivalent public dans le monde : une ville entière, construite à l’intérieur de son campus de Huntsville (Redstone Arsenal), opérationnelle depuis février 2025. Environ 2 000 m² de maisons meublées, d’un hôtel, d’une station-service, d’un palais de justice, d’un hôpital et d’une compagnie d’électricité, avec routes et feux de signalisation. Chaque espace est câblé avec des systèmes en activité, des réseaux connectés et des appareils configurés pour se comporter exactement comme ils le feraient dans une vraie communauté américaine.
Un hôpital qui s’éteint vraiment, des serveurs qu’on peut tenir dans les mains
L’adjectif « kinétique » mérite une petite explication (le terme est peu usité dans nos contrées). Il désigne ici l’idée qu’un cyber incident produit des effets dans le monde physique, pas seulement dans des fichiers de logs. La notion est ancienne dans le milieu de la sécurité : Stuxnet, le logiciel malveillant qui avait physiquement endommagé des centrifugeuses nucléaires iraniennes en 2010, en avait posé les bases. Depuis, ransomwares sur les hôpitaux, sabotage de réseaux électriques et attaques sur des infrastructures d’eau ont progressivement démontré que la frontière entre une cyberattaque et ses conséquences concrètes est devenue poreuse.
C’est précisément ce que le FBI s’entraîne à gérer à Huntsville. Les agents peuvent simuler une attaque par rançongiciel sur l’hôpital de la ville fictive, dont les systèmes s’éteignent pour de vrai, et prendre les décisions qui s’imposent avant de fouiller un datacenter équipé de plus de 200 serveurs physiques sous Windows et Linux pour reconstruire l’intrusion. Depuis son ouverture, l’installation a formé plus de 1 400 agents fédéraux et partenaires d’autres agences. Le responsable de la structure résume la philosophie avec une formule qu’on ne peut pas vraiment contredire : « C’est aussi réel que ça peut l’être avant qu’on aille sur le terrain. »
Ce choix du physique sur le virtuel n’est pas qu’une décision budgétaire (l’esbroufe coûte cher, mais le campus de Huntsville dans son ensemble a de toute façon vu plusieurs centaines de millions de dollars y passer). C’est une réponse à un problème bien documenté : les agents formés uniquement sur simulateur logiciel arrivent sur le terrain incapables de gérer la combinaison de décisions humaines, de contraintes matérielles et de pression temporelle que représente un vrai incident sur une infrastructure critique. Les systèmes réels, comme disaient les informaticiens du dimanche, ont leurs lubies.
Et chez nous, on s’entraîne à quoi, exactement ?
La comparaison ne cherche pas à être cruelle, mais elle s’impose d’elle-même. En Europe, l’entraînement à la gestion de crise cyber passe principalement par les exercices Cyber Europe de l’ENISA, qui réunissent les agences nationales (dont l’ANSSI côté français) sur des scénarios virtuels. Des cyber ranges logicielles existent aussi en France, notamment via le Campus Cyber où figure une plateforme incluant un scénario de cyberattaque hospitalière. Les équipes sont compétentes, les exercices sérieux. Un exercice sur écran et 2 000 m² de fausse ville avec 200 serveurs qu’on peut tenir dans les mains restent deux choses assez différentes (même si personne n’aime se le faire dire).
764 incidents de cybersécurité ont été déclarés par des établissements de santé en 2025, et les attaques par rançongiciel y ont doublé sur l’année. Le coût moyen d’une attaque majeure sur un hôpital atteint 10 millions d’euros en gestion de crise et reconstruction, auxquels s’ajoutent 20 millions de perte d’exploitation. Le temps de récupération moyen après une attaque grave dépasse les 18 mois. Des hôpitaux français connaissent cette réalité de première main depuis Corbeil-Essonnes, Armentières et d’autres établissements. Et la transposition de la directive NIS 2, censée élever le niveau de cybersécurité de 15 000 entités françaises dont ces hôpitaux, est actuellement bloquée au Parlement sur un désaccord politique.
Les établissements de santé français allouent en moyenne 1,7 % de leur budget au numérique, contre 9 % pour le secteur bancaire. Le FBI, lui, a construit une ville. Ce n’est pas forcément le bon étalon, mais ça donne une idée de l’écart de priorité.
👉🏻 Suivez l’actualité tech en temps réel : ajoutez 01net à vos sources sur Google, et abonnez-vous à notre canal WhatsApp.
Source : FBI
