TEST. BlackOut, un serious-game pour apprendre les bons réflexes face aux cyber-attaques

Une fois n’est pas coutume, je vais vous parler d’un jeu qui ne vous propose pas de sauver une princesse ou le monde face à des hordes de démons ou monstres… Mais de défendre votre entreprise face à une cyberattaque. Alors que les attaques de ce type se multiplient (tandis que j’écris ce test, j’apprends que le site impots.gouv.fr vient de se faire pirater et voler les données de 678 000 contribuables français), on n’a pas vraiment de doute sur le bien-fondé de ce serious-game signé BlueSecure. Alors, en toute objectivité, on va surtout s’intéresser à son aspect ludique. Et c’est parti pour cette critique originale, par rapport à ce que nous vous proposons d’habitude…

Lundi matin après le café… C’est « demande de rançon » !

La croissance d’internet et de l’IA, et une situation géopolitique mondiale tendue depuis des années, sont deux facteurs qui, mis ensemble, constituent le parfait cocktail pour un développement plus marqué, ces dernières années, de la cybercriminalité. Elle revêt plusieurs visages en réalité. Mais si l’on s’intéresse particulièrement au milieu de l’entreprise, la forme qui donne de vraies sueurs froides aux patrons et dirigeants, ce sont les ransomwares. Autrement dit, un (ou des) hacker(s) parvient à pénétrer le système d’une société, et menace de lâcher des données personnelles de l’entreprise dans la nature… Sauf si la direction accepte de payer une rançon, qui s’élève généralement à plusieurs millions d’euros.

Les cas sont de plus en plus fréquents : une attaque par déni de service distribué (DDoS) pour le groupe La Poste fin 2025, Cegedim Santé en février 2026, Free en octobre 2024, les Hospices civils de Lyon (HCL) via un prestataire ce mois d’août, ou encore le spécialiste français du diagnostic médical Biosynex cet été 2026… Les cas sont très fréquents. Dans le milieu de la banque, de l’information ou même le fisc dernièrement… Les hackers sont partout. Et pendant ce temps, les sociétés mènent de grandes campagnes de sensibilisation des salariés. Pour leur apprendre par exemple à ne pas cliquer sur n’importe quelle pièce jointe, ou à ne pas répondre à un mail douteux…

► Sur le même thème : TEST. Aussi étrange que brillant, Looking for Fael va vous retourner le cerveau

Et c’est ici que j’en viens à vous parler de BlueSecure, un cabinet de conseil en cybersécurité basé à Paris. Plus précisément, BlueSecure est une marque de BlueDigital, société française créée en 2017, aujourd’hui installée à La Défense. Son activité consiste principalement à mettre les salariés dans des situations de cyberattaque simulées pour mesurer leurs réactions et améliorer leur vigilance. Elle propose notamment diverses simulations, du micro-learning, de l’e-learning, des jeux interactifs, des escape games et de la réalité virtuelle. Bref… plutôt que d’expliquer pendant deux heures à un salarié qu’il ne faut pas cliquer sur « Vous avez gagné un iPhone », on lui envoie un faux message et on regarde s’il clique. La pédagogie par la petite sueur froide, en somme.

En juin dernier, BlueSecure a annoncé le lancement commercial de BlackOut, assez différent d’un simple jeu de sensibilisation au phishing. BlueSecure l’a conçu comme une véritable simulation de gestion de crise cyber, avec une approche « jeu vidéo narratif ». Destiné aux entreprises, il est disponible sur votre navigateur sous plusieurs formats : en solo en ligne (chaque collaborateur se connecte à son rythme, depuis n’importe quel site), en mode exercice de crise en présentiel (il peut également servir de support à des simulations immersives en présentiel, avec rôles distribués, chronomètre, mises en situation concrètes et animation en direct), ou en mode collaboratif multijoueur (en présentiel ou à distance, les participants jouent ensemble, débattent des choix et confrontent leurs réflexes).

20 minutes pour sauver votre entreprise

Une fois votre compte créé et votre session lancée, vous devenez Manu Sotrin, employé de la société Demotex, spécialisée dans la fabrication de pièces essentielles aux réseaux électriques. Manu pensait passer une journée aussi monotone que les autres ? Pas de bol ! Aujourd’hui, il va beaucoup transpirer, et peut-être même voir son augmentation lui filer sous le nez. Car lorsqu’il consulte sa boîte mail, notre homme clique par mégarde sur la pièce jointe d’un mail qui, à bien y regarder, présente quelques signes qui permettent d’avoir quelques doutes.

Mais c’est trop tard ! Évidemment, le mail était piégé, et le petit clic de Manu déclenche une attaque par ransomware. L’employé (le joueur) doit maintenant faire un premier choix parmi plusieurs propositions : soit il ferme la fenêtre, soit il débranche les câbles éternet pour se couper du réseau, soit il redémarre son PC… Quoi qu’il en soit, le mal est fait : les serveurs commencent à tomber et le compte à rebours démarre : vous avez 20 minutes pour limiter la casse et reprendre le contrôle d’une boîte qui s’apprête à perdre quelques millions d’euros. « Pas de pression ! Juste l’avenir de votre entreprise qui est en jeu » lance le narrateur !

► Sur le même thème : TEST. Tides of Tomorrow : une aventure narrative à suivre à la trace

L’originalité de BlackOut est que l’on ne joue pas seulement Manu. Pendant ces 20 minutes, on va aussi endosser successivement plusieurs rôles : Liam le RSSI (responsable sécurité des systèmes d’informations), confronté aux décisions techniques ; Georges le DPO (délégué à la protection des données), avec les questions liées aux données personnelles ; Marc le DRH, qui doit gérer les salariés ; Mathilde, à la communication, face aux médias et aux rumeurs ; Anna de la direction générale, qui doit arbitrer dans l’urgence… Les décisions prises à chaque étape modifient le déroulement de la crise. Il faut donc gérer simultanément la technique, la communication, les obligations réglementaires, les salariés et la continuité d’activité.

C’est là que le concept devient intéressant. BlackOut est avant tout destiné aux entreprises et à leurs collaborateurs. Notamment aux personnes qui ne sont pas spécialistes de la cybersécurité. L’idée est de faire comprendre une chose assez difficile à enseigner avec un PowerPoint : une cyberattaque ne concerne pas uniquement le service informatique. Une décision apparemment anodine peut avoir des conséquences en cascade. Face à ses choix et à leurs conséquences, le joueur comprend ainsi concrètement pourquoi certaines décisions sont particulièrement problématiques. Et force est de reconnaître que ça fonctionne : la dimension ludique du soft nous aide autant à apprendre qu’à comprendre.

Ce n’est pas un jeu

Techniquement, la réalisation est bonne : on est face à un film interactif, fluide. Avec des comédiens qui s’expriment dans la langue de Molière. Le joueur suit le récit, et doit faire des choix lors de situations bien précises. Des choix qui peuvent avoir de lourdes conséquences pour votre société (et c’est le game over, alors on recommence)… Ou bien, vous prenez la bonne décision, et l’aventure se poursuit.

Le point fort de ce serious game, c’est son côté immersif particulièrement réussi. Ceci grâce à une ambiance crédible, un propos qui vous prend au sérieux… Devant son clavier, le joueur a vraiment la sensation de prendre des décisions capitales. Et à tous les échelons de la hiérarchie. Et comme je l’ai déjà écrit plus haut, la dimension ludique du soft transforme une situation chaotique en véritable expérience pédagogique. On apprend et surtout on retient des gestes essentiels. Et qui ne nous incombent pas, généralement. Si vous êtes simple cadre, vous n’aurez à priori pas à prendre les décisions d’un DRH ou d’un responsable de communication… Sauf ici.

► Sur le même thème : TEST. Formula Legends : une pole prometteuse, un Grand Prix sous drapeau jaune

Avec un concept aussi simple et seulement 20 minutes de jeu, difficile de se planter. Pourtant, j’ai relevé deux points qui, techniquement, m’ont sorti du délire. Tout d’abord l’acting. S’il tient la route la plupart du temps, j’ai noté un ou deux passages où le jeu des acteurs est trop « artificiel ». Ce n’est pas aussi catastrophique que certains titres mal doublés par une mauvaise IA… Mais lors de quelques situations en particulier… J’ai relevé des acteurs qui jouent un rôle, plus qu’ils ne vivent l’implosion de Demotex.

Autre petit point à soulever : les réactions face à cette crise sont souvent simplifiées, et manquent de nuances, de développement. L’exemple précis qui me vient en tête : la gestion en un mail de la presse qui s’interroge sur cette attaque virale. Dans la réalité, croyez moi, si les médias s’emparent d’une telle attaque, ils ne vont pas lâcher après un mail qui ne dit pas grand chose. Ils vont insister, contacter d’autres salariés voire les syndicats de l’entreprise… Bref, ce n’est pas en une minute que la responsable de communication va se débarrasser des journalistes… Même remarque pour le DRH, qui devra sans doute gérer beaucoup plus de réactions différentes chez les employés, allant de la nonchalance à la panique… Mais je pense qu’en réalité, cette simplification de certains aspects de l’histoire s’explique par un simple choix pragmatique : la simu doit tenir en 20 minutes…

Au final

Franchement, j’ai hésité à vous parler de BlackOut, puisqu’il n’est pas un produit comme nous vous en présentons habituellement. Comprenez des jeux vidéo accessibles au grand public. BlackOut est une solution professionnelle commercialisée par BlueSecure, dans le cadre de programmes de sensibilisation à la cybersécurité pour les entreprises. Pourtant, BlackOut m’a semblé intéressant car, dans un contexte où les cyberattaques se multiplient, on ne fait jamais assez de prévention. Et ici, avec un produit qui se situe à la frontière entre le serious game, la formation professionnelle et le jeu vidéo… La méthode est efficace, pertinente. J’ai passé un bon moment, j’ai aussi appris… Et je pense que vous devriez à votre tour en parler à votre patron…

BlackOut n’est pas un « jeu vidéo sur la cybersécurité » au sens classique. C’est une simulation qui utilise les mécanismes du jeu vidéo pour faire vivre une crise cyber plutôt que de simplement l’expliquer. Pour info, il a d’ailleurs remporté, fin 2025, le Coup de cœur du jury de la Cybernight 2025, dans la catégorie des solutions innovantes. Nous aurions pu passer à côté de BlackOut, mais pour son approche pédagogique, son caractère immersif et sa capacité à reproduire les dilemmes d’une véritable cellule de crise… Il m’a semblé pertinent de vous en parler, en le testant comme n’importe quel autre jeu vidéo.

► Sur le même thème : TEST. F1 25 – 2026 Season Pack : la formule gagnante pour EA Sports ?

BlackOut a le mérite de prendre son sujet au sérieux sans oublier qu’un apprentissage passe parfois mieux par une bonne dose de stress que par 80 diapositives PowerPoint. Son compte à rebours de 20 minutes, ses choix à conséquences et sa mise en scène parviennent à créer une vraie tension. On se surprend même à réfléchir avant de cliquer. Ce qui est plutôt ironique pour un jeu censé nous apprendre à ne plus cliquer n’importe où.

En revanche, il ne faut pas lui demander ce qu’il n’est pas. BlackOut reste avant tout un outil de formation. Ses mécaniques sont simples, son expérience relativement courte et sa rejouabilité limitée une fois les ficelles du scénario découvertes. Mais jugé avec les critères d’un serious game, BlackOut remplit plutôt bien sa mission. Il transforme un sujet anxiogène et souvent austère en expérience interactive. Avec suffisamment de pression pour faire passer son message sans sortir le sempiternel PowerPoint.

---

BlackOut

• Par : BlueSecure
• Sur : navigateur web (création de compte nécessaire, dans le cadre d’une formation)
• Genre : simulation préventive/formation
• Classification : –
• Prix : tarif disponible sur demande auprès de BlueSecure
• Conditions de test : testé sur plusieurs runs, grâce à un accès fourni par le développeur