Un virement détourné, un fichier clients chiffré, une messagerie bloquée un lundi matin : les cyberattaques contre les petites et moyennes entreprises n’ont rien de théorique. Elles sont le plus souvent automatisées et opportunistes, et exploitent des failles banales. La bonne nouvelle, c’est que la majorité d’entre elles se prévient avec des mesures simples, que tout dirigeant peut engager dès cette semaine.
À retenir
- Les attaques visent d’abord les failles humaines et les négligences : mots de passe faibles, pièces jointes piégées, logiciels non mis à jour.
- Une double authentification et des sauvegardes déconnectées et testées neutralisent une grande partie des scénarios les plus coûteux.
- La fraude au président et le changement de RIB frauduleux se déjouent par une procédure de contre-appel systématique.
- Préparez à l’avance un plan de réaction : qui appeler, quoi isoler, quand prévenir la banque et les autorités.
- La sécurité est un processus continu, pas un achat unique : quelques heures par trimestre suffisent à entretenir l’essentiel.
Les menaces les plus courantes
Avant de se protéger, il faut savoir ce qui menace réellement une entreprise de taille modeste. Les scénarios se répètent d’un secteur à l’autre.
| Menace | Comment elle se manifeste | Premier réflexe |
|---|---|---|
| Hameçonnage | Courriel ou SMS imitant une banque, un fournisseur ou l’administration pour obtenir des identifiants | Ne pas cliquer ; vérifier l’expéditeur et l’adresse du lien |
| Rançongiciel | Fichiers chiffrés, message de demande de rançon affiché à l’écran | Débrancher la machine du réseau, ne pas payer sans conseil |
| Fraude au président | Faux ordre de virement urgent, présenté comme émanant d’un dirigeant ou d’un partenaire | Rappeler la personne sur un numéro connu |
| Faux changement de RIB | Demande de modification des coordonnées bancaires d’un fournisseur | Valider auprès du fournisseur par un second canal |
| Usurpation de compte | Messages étranges envoyés depuis une adresse de l’entreprise, connexions inhabituelles | Changer le mot de passe, activer la double authentification |
« Nous sommes trop petits pour intéresser les pirates. » La plupart des attaques ne ciblent pas une entreprise en particulier : elles balaient Internet à la recherche de systèmes mal protégés, quelle que soit la taille de la structure.
Sécuriser les accès
Des mots de passe solides, sans effort
Un mot de passe solide est long, unique et impossible à deviner : une phrase de passe d’au moins douze à quinze caractères vaut mieux qu’un mot court agrémenté d’un chiffre. Surtout, il ne doit jamais être réutilisé d’un service à l’autre : une fuite sur un site de peu d’importance permet sinon d’accéder à votre messagerie ou à votre banque.
La solution pratique consiste à déployer un gestionnaire de mots de passe, qui génère, stocke et remplit automatiquement des mots de passe uniques. L’équipe n’a plus à retenir qu’un seul mot de passe maître, solide, ce qui supprime les post-it et les tableurs d’identifiants.
La double authentification partout où c’est possible
La double authentification demande, en plus du mot de passe, un second élément : un code temporaire, une application d’authentification, une clé physique. Même si un mot de passe est volé, l’intrus reste bloqué. Activez-la en priorité sur la messagerie, les comptes bancaires, les outils de comptabilité, les espaces d’administration et le stockage de fichiers en ligne.
Des droits d’accès au plus juste
Chaque collaborateur ne doit accéder qu’aux données dont il a besoin. Réservez les comptes administrateurs à quelques personnes, et supprimez immédiatement les accès d’un salarié qui quitte l’entreprise ou d’un prestataire dont la mission est terminée. Un audit annuel des comptes actifs suffit souvent à repérer les oublis.
Protéger les données
Des sauvegardes selon la règle 3-2-1
La sauvegarde est le dernier rempart contre le rançongiciel, la panne ou l’erreur humaine. La règle 3-2-1 est simple :
- 3 copies de vos données importantes : l’original et deux sauvegardes ;
- sur 2 supports différents : disque externe, serveur, stockage en ligne ;
- dont 1 copie hors site, déconnectée du réseau, pour qu’une attaque ne la chiffre pas aussi.
Une sauvegarde qui n’a jamais été restaurée ne prouve rien : testez régulièrement la restauration d’un dossier réel pour vérifier qu’elle fonctionne et mesurer le temps nécessaire.
Des mises à jour régulières
Les attaquants exploitent des failles connues, pour lesquelles un correctif existe déjà. Mettez à jour sans tarder les systèmes d’exploitation, les navigateurs, les logiciels métier, les routeurs et les téléphones, et activez les mises à jour automatiques lorsque c’est possible. Désinstallez ce qui n’est plus utilisé ou n’est plus supporté par son éditeur.
Des postes et un réseau protégés
Un antivirus à jour, le chiffrement des ordinateurs portables, un pare-feu activé et un réseau Wi-Fi invité distinct du réseau de l’entreprise complètent le dispositif. Pour le télétravail, privilégiez les connexions sécurisées et évitez les réseaux publics non protégés.
Le facteur humain
La plupart des incidents commencent par un clic. La meilleure défense est donc une équipe vigilante, informée et à l’aise pour signaler une erreur sans crainte de reproche.
Reconnaître l’hameçonnage
Quelques signaux doivent alerter : une urgence artificielle, une menace de blocage de compte, une faute de langue, une adresse d’expéditeur légèrement différente de l’adresse officielle, un lien qui n’affiche pas l’adresse annoncée, une pièce jointe inattendue. En cas de doute, ne cliquez pas : contactez l’expéditeur par un autre moyen.
Former et sensibiliser
Une heure de sensibilisation à l’embauche, puis un rappel chaque semestre, change durablement les habitudes. Des exercices d’hameçonnage simulés, des fiches de réflexes affichées et un canal simple pour signaler un message suspect entretiennent la vigilance. Chacun doit savoir qui prévenir, immédiatement, en cas d’erreur.
Fraude au président et changement de RIB
Ces fraudes ne piratent aucun ordinateur : elles piratent la confiance. Un correspondant se fait passer pour un dirigeant, un associé, un expert-comptable ou un fournisseur, exige un virement urgent et confidentiel, ou communique de nouvelles coordonnées bancaires. Les sommes peuvent être importantes et rapidement perdues.
Un dispositif simple les met en échec :
- Règle du contre-appel : toute demande de virement exceptionnel ou de changement de RIB est vérifiée par un appel à un numéro déjà connu, jamais celui indiqué dans le message.
- Double validation : au-delà d’un certain montant, deux personnes approuvent le paiement.
- Prudence face à l’urgence et à la confidentialité : ce sont les deux leviers favoris des fraudeurs.
- Information des équipes comptables, qui sont les premières visées.
Si un message semblant émaner de notre cabinet vous demande un virement inhabituel ou un changement de coordonnées, appelez-nous avant d’agir. Nous préférons toujours une vérification de trop.
Les dix pratiques en un coup d’œil
Voici la liste de contrôle à imprimer et à passer en revue chaque trimestre.
- Mots de passe uniques et solidesPhrases de passe longues, jamais réutilisées, gérées par un gestionnaire dédié.
- Double authentificationActivée sur la messagerie, la banque, la comptabilité et tous les accès à distance.
- Sauvegardes 3-2-1 testéesTrois copies, deux supports, une hors site, avec une restauration vérifiée.
- Mises à jour automatiquesSystèmes, logiciels, routeurs et téléphones à jour, sans logiciel obsolète.
- Vigilance face à l’hameçonnageAucun clic ni pièce jointe sans vérification, signalement systématique des messages douteux.
- Contre-appel pour tout virement inhabituelValidation par téléphone et double approbation des paiements importants.
- Droits d’accès limitésComptes administrateurs restreints, accès supprimés dès un départ.
- Formation de l’équipeSensibilisation à l’embauche, rappels réguliers, culture du signalement sans reproche.
- Plan de réaction écritContacts d’urgence, procédure d’isolement et responsabilités définies à l’avance.
- Couverture d’assurance adaptéeGaranties examinées, conditions de prévention connues, interlocuteur identifié.
Réagir en cas d’attaque
Même bien préparé, personne n’est à l’abri. Les premières heures sont décisives : un plan écrit évite la panique et les décisions hâtives.
- Isoler : débranchez du réseau les machines touchées, sans les éteindre brutalement si vous souhaitez conserver des traces, et coupez les accès compromis.
- Prévenir : informez votre prestataire informatique, votre dirigeant et votre assureur. En cas de virement frauduleux, contactez immédiatement votre banque pour tenter un rappel de fonds.
- Conserver les preuves : courriels, captures d’écran, journaux de connexion, relevés bancaires.
- Porter plainte auprès des services de police ou de gendarmerie, démarche souvent nécessaire pour faire jouer l’assurance.
- Notifier si nécessaire : en cas de violation de données personnelles, le règlement européen impose, dans la plupart des cas, une notification à la CNIL dans un délai de 72 heures, et parfois une information des personnes concernées.
- Se faire accompagner : la plateforme publique cybermalveillance.gouv.fr permet de diagnostiquer un incident et d’être mis en relation avec des professionnels.
Ne payez pas une rançon sans avoir pris conseil : le paiement ne garantit ni la restitution des données ni l’absence de nouvelle attaque.
Et l’assurance cyber ?
Une assurance cyber peut couvrir les frais d’assistance technique, la perte d’exploitation, la restauration des données, la gestion de crise et la responsabilité civile en cas de fuite. Elle ne remplace jamais la prévention : les assureurs exigent de plus en plus la preuve de mesures de base (sauvegardes, double authentification) et peuvent refuser ou réduire une indemnisation lorsqu’elles faisaient défaut. Lisez attentivement les exclusions, les plafonds et les délais de déclaration avant de signer.
Questions fréquentes
Par où commencer si je n’ai aucune protection ?
Trois actions à fort effet dès cette semaine : activer la double authentification sur la messagerie et la banque, mettre en place une sauvegarde déconnectée et mettre à jour tous les appareils. Le reste suivra par étapes.
Un gestionnaire de mots de passe est-il vraiment sûr ?
Bien configuré et protégé par un mot de passe maître solide et une double authentification, il est considérablement plus sûr que la réutilisation de mots de passe ou leur notation sur papier. Choisissez un éditeur reconnu et à jour.
Mon prestataire informatique est-il responsable en cas d’attaque ?
Cela dépend du contrat : périmètre des services, obligations de moyens, sauvegardes incluses ou non. Relisez le contrat pour savoir ce qui est réellement couvert, et ne présumez pas que tout l’est.
Faut-il prévenir ses clients après une attaque ?
Si des données personnelles sont concernées et présentent un risque pour les personnes, une information peut être obligatoire en plus de la notification à la CNIL. Faites évaluer la situation rapidement avec un conseil juridique ou votre délégué à la protection des données.
Le télétravail augmente-t-il le risque ?
Il l’élargit : réseaux domestiques, appareils personnels, partage d’écrans. Il se gère avec des règles claires : appareils à jour, connexion sécurisée, double authentification et séparation des usages professionnels et personnels.
Information généraleCet article présente des recommandations de bonnes pratiques à la date de sa publication. Il ne constitue pas un audit de sécurité : pour un diagnostic adapté à votre structure, faites appel à un professionnel de la sécurité informatique.
