L'essentiel
- Activez d'abord la double authentification sur la messagerie et les accès à distance.
- Gardez une sauvegarde hors d'atteinte du réseau et testez la restauration.
- Protégez les postes avec une solution de détection (EDR) et des mises à jour automatiques.
- Entraînez les équipes à repérer hameçonnage et faux RIB.
- Préparez une fiche réflexe d'une page pour le jour de l'incident.
Pourquoi les PME sont visées
Les attaquants ne choisissent pas toujours leurs cibles : ils envoient des milliers d'e-mails piégés et exploitent les entreprises qui laissent une porte ouverte. Une PME a souvent les mêmes outils qu'une grande entreprise (messagerie en ligne, banque à distance, logiciels métiers), mais rarement une personne dédiée à la sécurité. C'est cet écart que visent la fraude au virement, le vol de compte de messagerie et le rançongiciel.
La bonne nouvelle : les mesures qui bloquent la majorité de ces attaques sont connues, peu coûteuses et compatibles avec le quotidien d'une petite équipe. L'Agence nationale de la sécurité des systèmes d'information (ANSSI) et le dispositif Cybermalveillance.gouv.fr publient d'ailleurs des recommandations gratuites qui vont dans le même sens que les cinq règles ci-dessus.
1. Une sauvegarde 3-2-1, testée
La sauvegarde est le dernier filet quand tout le reste a échoué. La règle 3-2-1 reste la référence :
- 3 copies des données : l'original et deux sauvegardes ;
- 2 supports différents, par exemple un NAS au bureau et un stockage en ligne ;
- 1 copie hors site et hors d'atteinte du réseau de l'entreprise, pour qu'un rançongiciel ne puisse pas la chiffrer.
Une sauvegarde n'a de valeur que si elle se restaure : planifiez un test de restauration régulier et notez-en le résultat.
2. Protéger les postes au-delà de l'antivirus
Un antivirus classique reconnaît des menaces connues. Une solution de détection et de réponse sur les postes (EDR) observe les comportements suspects, comme un programme qui chiffre des fichiers en masse, et peut isoler l'ordinateur. Elle s'accompagne de mises à jour automatiques du système et des logiciels, et de droits administrateur réservés à l'informatique.
3. La double authentification sur tous les accès
La double authentification (MFA) demande une seconde preuve, souvent une validation sur le téléphone. Un mot de passe volé ne suffit alors plus. Activez-la en priorité sur :
- la messagerie et Microsoft 365 ou Google Workspace ;
- les accès à distance (VPN, bureau à distance) ;
- la banque en ligne, la comptabilité et les outils d'administration.
4. Des équipes sensibilisées
Hameçonnage, faux RIB, faux support technique : les attaques visent d'abord les personnes. Des exercices courts et réguliers fonctionnent mieux qu'une formation annuelle. Le Cyber Lab propose des mises en situation gratuites à faire en quelques minutes.
5. Un plan de réponse aux incidents
Le jour d'un incident, chaque minute compte. Une fiche réflexe d'une page suffit souvent :
- isoler le poste concerné (débrancher le câble, couper le WiFi) ;
- prévenir le prestataire informatique et la direction ;
- ne rien payer et conserver les preuves ;
- changer les mots de passe exposés ;
- restaurer depuis une sauvegarde saine ;
- déclarer l'incident si des données personnelles sont touchées (CNIL, sous 72 heures).
Trois scénarios fréquents et la règle qui les arrête
Cas types pour illustrer la démarche : ce ne sont pas des références clients.
- Le faux changement de RIB. Un fournisseur « habituel » envoie ses nouvelles coordonnées bancaires. La règle : toute modification de RIB se vérifie par téléphone, au numéro déjà connu, jamais à celui du message. La sensibilisation (règle 4) fait la différence.
- La messagerie piratée. Un mot de passe réutilisé fuit sur un autre site ; l'attaquant lit les échanges et crée une règle de transfert discrète. La double authentification (règle 3) rend le mot de passe volé inutile.
- Le rançongiciel. Une pièce jointe ouvre la porte, les fichiers du serveur sont chiffrés. La protection des postes (règle 2) limite la propagation, la sauvegarde isolée (règle 1) permet de repartir sans payer.
Mettre en place les cinq règles en quelques semaines
Dans une PME de quelques postes à quelques dizaines, l'ordre qui donne le plus de protection rapidement est souvent le suivant :
- Semaine 1 : inventaire des comptes et des accès, activation de la double authentification sur la messagerie.
- Semaine 2 : mise en place ou vérification de la sauvegarde isolée, premier test de restauration.
- Semaine 3 : déploiement de la protection des postes et des mises à jour automatiques.
- Semaine 4 : courte session de sensibilisation et fiche réflexe affichée.
Le rythme dépend évidemment de la taille du parc et des outils ; l'essentiel est de traiter d'abord ce qui limite le plus les dégâts.
Se faire accompagner sur la Côte d'Azur
AroData réalise des états des lieux de cybersécurité pour les TPE et PME de Cannes, Nice, Antibes, Mougins et Sophia Antipolis : vérification des comptes, des droits, des sauvegardes et de la messagerie, puis un plan d'actions écrit et priorisé. Pour une première idée de votre niveau, le diagnostic cyber indicatif pose 15 questions sans rien scanner. Le détail de l'accompagnement est sur la page cybersécurité.
Questions fréquentes
Par quoi commencer quand on n'a rien en place ?
Par la double authentification sur la messagerie et une sauvegarde isolée testée : ce sont les deux mesures qui limitent le plus les dégâts.
Un audit de cybersécurité est-il intrusif ?
Non. L'état des lieux AroData vérifie les configurations et les pratiques avec votre accord, sans test d'intrusion. Le diagnostic en ligne donne un premier aperçu en 15 questions.
Faut-il un antivirus payant dans une PME ?
L'outil compte moins que la façon dont il est géré : une protection des postes avec détection des comportements suspects, des alertes surveillées et des mises à jour automatiques protège mieux qu'un antivirus installé puis oublié.
Que faire en cas de rançongiciel ?
Débrancher le poste du réseau, ne pas payer, prévenir votre prestataire et la direction, conserver les preuves, puis restaurer depuis une sauvegarde saine. Si des données personnelles sont touchées, la notification à la CNIL doit intervenir dans les 72 heures.
Où trouver de l'aide officielle ?
Le site Cybermalveillance.gouv.fr propose des fiches pratiques et une assistance aux victimes ; l'ANSSI publie un guide d'hygiène informatique. AroData peut vous accompagner pour les appliquer.