Les attaques elles-mêmes
Comment on entre chez vous, huit scénarios concrets, et les dix domaines à passer en revue dans votre entreprise. C'est le contenu de cette page.
Accueil › Les risques
Ce que votre entreprise risque vraiment
Les cyberattaques ne visent pas que les grands groupes. Les petites structures sont même des cibles privilégiées : elles disposent de données et de trésorerie, mais rarement de défenses. Voici ce qui arrive concrètement, et ce qu'il faut passer en revue chez vous.
Trois volets
Le risque ne se limite pas à l'attaque
Une cyberattaque produit trois ordres de conséquences, qu'il faut regarder séparément. Cette page traite du premier ; les deux autres font l'objet de pages dédiées.
La continuité d'activité
Ce qui arrive vraiment après un rançongiciel : clients, fournisseurs, salariés, trésorerie — et le patrimoine personnel du dirigeant selon la forme juridique.
Voir les conséquences →Le risque juridique
Obligations RGPD et CNIL, actions des personnes concernées, et recours possible de votre client ou de son assureur si l'attaque a rebondi chez lui.
Voir le risque juridique →Si vous vendez en ligne
Faux site à votre nom, dropshipping frauduleux, avis Google détruits par des clients que vous n'avez jamais eus. Un risque spécifique aux commerçants.
Voir le risque boutique →La réalité du terrain
Pourquoi les petites entreprises sont visées
La majorité des attaques ne sont pas ciblées. Les attaquants ratissent en masse, à la recherche d'une porte ouverte : un accès distant sans double authentification, un logiciel non mis à jour, une messagerie mal protégée. Votre entreprise n'a pas besoin d'être intéressante pour être touchée, elle a juste besoin d'être accessible.
La différence entre une grande entreprise et une TPE ne se joue pas sur la probabilité d'être attaquée, mais sur la capacité à encaisser. Un grand groupe a des équipes, des sauvegardes testées et une assurance. Une TPE de cinq salariés qui perd son fichier clients, sa comptabilité et ses devis un lundi matin peut ne jamais s'en relever.
À retenir
Trois portes d'entrée expliquent l'essentiel des attaques réussies contre les petites structures : la messagerie (un message piégé ouvert par un salarié), les accès distants (télétravail, maintenance, VPN sans double authentification) et les logiciels non mis à jour (serveur, site web, pare-feu, NAS).
Les huit scénarios
Les attaques qui touchent les TPE et PME
Chaque scénario est décrit par ce qui se passe, puis par ce que ça coûte réellement à l'entreprise. Le coût n'est presque jamais informatique : il est commercial, humain et juridique.
Rançongiciel
Tous les fichiers sont chiffrés
Un programme malveillant chiffre l'ensemble des documents de l'entreprise — comptabilité, devis, plans, fichier clients — puis réclame une rançon. Il arrive par pièce jointe, par un accès distant mal protégé ou par une faille non corrigée. Les sauvegardes branchées en permanence sont chiffrées en même temps.
Impact réelArrêt total de l'activité pendant plusieurs jours à plusieurs semaines. Perte de chiffre d'affaires, retards de livraison, salariés sans travail. Payer ne garantit rien et finance la suite.
Fraude au virement
Le faux fournisseur ou le faux dirigeant
Un courriel annonce un changement de coordonnées bancaires d'un fournisseur habituel, ou un « dirigeant » demande un virement urgent et confidentiel. Le message est crédible parce que l'attaquant a lu vos échanges après avoir compromis une boîte mail — la vôtre ou celle du fournisseur.
Impact réelPerte financière sèche, souvent irrécupérable et rarement couverte. Pour une petite structure, un seul virement détourné peut représenter plusieurs mois de résultat.
Hameçonnage
Le message qui vole les identifiants
Un courriel ou un SMS imite la banque, l'URSSAF, les impôts, un transporteur ou votre propre outil de messagerie. Le lien mène à une copie fidèle de la page de connexion. Les identifiants saisis partent directement chez l'attaquant, qui s'en sert dans les minutes qui suivent.
Impact réelPorte d'entrée de presque tout le reste : lecture des échanges, fraude au virement, vol de données, usurpation de l'entreprise auprès de ses clients.
Compte compromis
Votre messagerie travaille pour quelqu'un d'autre
Une fois un compte professionnel piraté, l'attaquant reste discret : il crée une règle de redirection invisible, lit les échanges pendant des semaines, apprend le vocabulaire de l'entreprise, puis frappe au bon moment. Vos clients reçoivent des messages qui viennent réellement de votre adresse.
Impact réelAtteinte directe à la relation client et à la réputation. Vos partenaires deviennent à leur tour des victimes, et vous en êtes le vecteur.
Fuite de données
Les données personnelles se retrouvent dehors
Fichier clients, dossiers du personnel, coordonnées bancaires, données de santé pour certains métiers. La fuite provient d'un vol, d'un partage mal configuré ou d'un espace de stockage en ligne laissé accessible sans mot de passe.
Impact réelObligation de notifier la CNIL sous 72 heures et, souvent, d'informer les personnes concernées. Perte de confiance durable et exposition à des sanctions.
Faux support
Le technicien qui n'en est pas un
Un écran se bloque avec une alerte et un numéro à appeler, ou un appel annonce un problème sur votre poste. Le « technicien » fait installer un outil de prise en main à distance, puis facture une intervention inutile — ou installe un accès permanent qu'il revendra.
Impact réelAccès complet au poste et à tout ce qui est ouvert dessus : messagerie, banque en ligne, logiciel de gestion, serveur partagé.
Prestataire
L'attaque passe par un tiers de confiance
Votre prestataire informatique, votre expert-comptable, votre éditeur de logiciel métier ou votre agence web disposent d'accès à vos systèmes. S'ils sont compromis, l'attaquant hérite de ces accès — souvent des accès privilégiés, permanents et peu surveillés.
Impact réelVous subissez une attaque que vous n'auriez pas pu détecter chez vous. La responsabilité reste pourtant la vôtre vis-à-vis de vos clients et de la réglementation.
Indisponibilité
Le site ou l'outil de gestion tombe
Panne d'un service en ligne dont dépend l'activité, attaque par saturation du site de commande, ou perte d'un serveur sans plan de reprise. Beaucoup d'entreprises découvrent à ce moment-là qu'elles ne savent pas travailler sans leur outil principal.
Impact réelCommandes non prises, production arrêtée, clients qui vont voir ailleurs. Le coût se compte en journées d'activité perdues.
La revue de fond
Les dix domaines à passer en revue
Cette grille est celle qu'utilisent les professionnels pour faire l'état des lieux d'une entreprise. Elle est ici traduite en questions simples, que tout dirigeant peut poser à son prestataire informatique ou à son responsable interne. Si une réponse est « je ne sais pas », c'est déjà un résultat utile.
01Organisation et règles du jeu
Sans règles écrites, chacun improvise. Il ne s'agit pas de produire un classeur de procédures, mais de savoir qui décide et qui fait quoi.
- Qui est responsable de l'informatique et de sa sécurité dans l'entreprise ? Est-ce écrit quelque part ?
- Existe-t-il une charte d'usage des outils informatiques, signée par les salariés ?
- Sait-on qui appeler, et dans quel ordre, en cas de problème grave ?
- Quelles obligations s'appliquent à votre secteur (RGPD pour tous, réglementations santé, finance, transport) ?
02Comptes et accès
C'est le premier domaine à traiter : la quasi-totalité des attaques passe par un compte légitime détourné.
- La double authentification est-elle activée sur la messagerie, la banque en ligne et les accès distants ?
- Chaque salarié a-t-il son propre compte, ou des comptes sont-ils partagés à plusieurs ?
- Quand un salarié part, ses accès sont-ils réellement coupés le jour même ? Qui le vérifie ?
- Qui dispose de droits d'administration, et ces droits sont-ils utilisés au quotidien pour lire ses mails ?
- Existe-t-il encore des comptes de stagiaires, d'anciens prestataires ou de salariés partis il y a deux ans ?
03Postes de travail et mobiles
- Tous les postes sont-ils équipés d'une protection antivirus à jour, y compris les portables des commerciaux ?
- Les disques des ordinateurs portables sont-ils chiffrés ? En cas de vol dans une voiture, que perd-on vraiment ?
- Les mises à jour de Windows, macOS et des logiciels s'installent-elles automatiquement ?
- Les salariés sont-ils administrateurs de leur propre poste, et peuvent-ils installer n'importe quel logiciel ?
- Les téléphones utilisés pour les mails professionnels sont-ils protégés par un code et effaçables à distance ?
04Réseau et accès à distance
- Le pare-feu ou la box est-il à jour ? Depuis quand n'a-t-il pas été mis à jour ?
- Quels services de l'entreprise sont accessibles depuis internet, et est-ce vraiment nécessaire ?
- Le Wi-Fi invité est-il séparé du réseau de l'entreprise, ou tout le monde est-il sur le même réseau ?
- Le télétravail passe-t-il par un accès sécurisé, avec double authentification ?
- Les caméras, imprimantes et objets connectés sont-ils sur un réseau à part, avec leurs mots de passe d'usine changés ?
05Serveurs et services en ligne
- Utilisez-vous encore un système en fin de vie, qui ne reçoit plus de correctifs de sécurité ?
- Qui applique les mises à jour des serveurs, du NAS, du site web ? À quelle fréquence ?
- Vos services en ligne (messagerie, stockage, logiciel métier) sont-ils configurés avec un minimum de sécurité, ou laissés par défaut ?
- Savez-vous où sont physiquement stockées vos données, et ce qui se passerait si le fournisseur disparaissait ?
06Site web et applications
- Qui maintient votre site internet ? Est-il à jour, extensions comprises ?
- Si vous vendez en ligne, les paiements et les comptes clients sont-ils protégés correctement ?
- Le site est-il en HTTPS, avec un certificat valide et renouvelé automatiquement ?
- Le nom de domaine est-il bien à votre nom, avec une date de renouvellement surveillée ?
07Données et sauvegardes
C'est le domaine le plus important pour la survie de l'entreprise. Une sauvegarde jamais testée n'est pas une sauvegarde.
- Sauvegardez-vous vos données ? À quelle fréquence, et sur quel support ?
- Au moins une copie est-elle déconnectée ou impossible à effacer ? Un rançongiciel chiffre tout ce qui est branché.
- Avez-vous déjà restauré un fichier pour vérifier que ça marche ? Quand, et par qui ?
- Combien de temps l'entreprise peut-elle fonctionner sans son informatique, et combien de données pouvez-vous accepter de perdre ?
- Savez-vous quelles données personnelles vous détenez, et où elles se trouvent ?
08Messagerie et outils collaboratifs
- Votre messagerie filtre-t-elle les pièces jointes et les liens dangereux, ou fait-elle le minimum ?
- Votre nom de domaine est-il protégé contre l'usurpation, pour empêcher qu'on envoie des courriels en votre nom ?
- Les documents partagés en ligne sont-ils accessibles seulement aux bonnes personnes, ou par n'importe quel lien ?
- Des règles de redirection automatique existent-elles sur des boîtes, sans que personne ne le sache ?
09Détection et réaction
- Si quelqu'un se connectait ce soir à vos systèmes, quelqu'un s'en apercevrait-il ? En combien de temps ?
- Les traces de connexion sont-elles conservées, et pendant combien de temps ?
- Existe-t-il un numéro à appeler en cas d'incident, connu de tous les salariés ?
- Avez-vous déjà réfléchi, même trente minutes, à ce que vous feriez un lundi matin si rien ne démarrait ?
10Les femmes et les hommes
Le facteur humain n'est pas le maillon faible : c'est le premier système de détection de l'entreprise, à condition de le traiter comme tel.
- Vos salariés ont-ils été sensibilisés au moins une fois, et quand ?
- Un nouvel arrivant reçoit-il les consignes de sécurité dès son arrivée ?
- Les personnes exposées — comptabilité, direction, RH — savent-elles reconnaître une demande de virement frauduleuse ?
- Un salarié qui a cliqué sur un lien piégé ose-t-il le dire, ou craint-il d'être sanctionné ?
Culture juste
Traitez les victimes d'hameçonnage comme des détecteurs, pas comme des coupables. Une entreprise où l'on ose signaler une erreur découvre les attaques en quelques minutes. Une entreprise où l'on a peur les découvre trois semaines plus tard.
Trois angles
Un risque ne se regarde jamais sous un seul angle
Une entreprise bien équipée mais mal organisée reste vulnérable, et une entreprise bien organisée dont personne n'est sensibilisé aussi. L'un sans les autres donne une image tronquée.
Angle technique
Les machines
- Ce qui est exposé sur internet
- L'état des mises à jour
- La couverture antivirus et chiffrement
- La protection de la messagerie
- Les comptes à privilèges
Angle organisationnel
Les processus
- L'arrivée et le départ des salariés
- La gestion des incidents
- Les tests réels de restauration
- Le suivi des prestataires
- La conservation des traces
Angle humain
Les personnes
- Le niveau de vigilance réel
- La connaissance du canal d'alerte
- La sensibilisation des postes exposés
- La date de la dernière action de prévention
- La liberté de signaler une erreur
Ce que dit la loi
Vos obligations, même en tant que TPE
Beaucoup de dirigeants pensent que la réglementation ne concerne que les grandes entreprises. C'est faux pour la protection des données, et partiellement faux pour le reste.
RGPD — pour toutes les entreprises
Dès lors que vous détenez des données personnelles — clients, salariés, prospects — vous êtes concerné, quelle que soit votre taille. En cas de violation de données présentant un risque pour les personnes, la notification à la CNIL doit intervenir sous 72 heures, et les personnes concernées doivent être informées si le risque est élevé.
NIS 2 — pour certains secteurs, et par ricochet pour leurs fournisseurs
Cette réglementation européenne impose à des milliers d'entités des mesures minimales : politique de sécurité, analyse de risques, gestion des incidents, continuité d'activité, sécurité de la chaîne d'approvisionnement, formation à l'hygiène cyber, chiffrement, contrôle d'accès et authentification à plusieurs facteurs.
Même si votre entreprise n'est pas directement assujettie, elle peut l'être indirectement : vos clients concernés par NIS 2 devront s'assurer de la sécurité de leurs fournisseurs. Attendez-vous à recevoir des questionnaires de sécurité, et à ce qu'ils deviennent un critère de sélection.
Le détail du risque juridique fait l'objet d'une page dédiée →
Cette page présente les grands principes à titre d'information générale. Elle ne constitue pas un avis juridique. Pour votre situation précise, référez-vous aux textes officiels et, si nécessaire, à un conseil qualifié.