Sécurité informatique en PME : menaces, phishing et erreurs à éviter
Dans une PME, une cyberattaque commence rarement par un pirate de film. Elle commence par un e-mail qui ressemble à celui de la banque, un mot de passe réutilisé, une mise à jour repoussée ou une sauvegarde qui n’a jamais été testée. Ce guide réunit l’essentiel : les menaces qui visent réellement les petites entreprises, comment reconnaître une tentative de phishing, et les erreurs courantes que nous corrigeons le plus souvent chez nos clients en Haute-Loire et dans la Loire.
Les menaces qui visent vraiment les PME
Les petites structures ne sont pas « trop petites pour intéresser les pirates ». Elles sont au contraire des cibles de choix, parce qu’elles sont souvent moins protégées et qu’elles détiennent des données utiles : coordonnées bancaires, fichiers clients, accès aux boîtes mail.
Le phishing (hameçonnage)
C’est de loin la porte d’entrée la plus fréquente. Un message imite un expéditeur de confiance (banque, Microsoft, La Poste, impôts, un fournisseur) pour vous faire cliquer sur un lien, ouvrir une pièce jointe ou saisir vos identifiants sur une fausse page de connexion.
Le spear phishing et la fraude au président
Version ciblée du phishing : le message est personnalisé, il cite un collègue, un client ou un dossier en cours. La variante la plus coûteuse est la demande de virement urgent « de la part du dirigeant » ou le faux changement de RIB d’un fournisseur.
Le rançongiciel (ransomware)
Un logiciel malveillant chiffre les fichiers de l’entreprise, parfois aussi les sauvegardes accessibles depuis le réseau, puis une rançon est réclamée. Sans sauvegarde isolée et testée, l’activité peut être bloquée pendant des jours.
Le piratage de compte de messagerie
Un mot de passe volé suffit pour lire les échanges, envoyer de fausses factures à vos clients ou créer des règles de transfert discrètes. C’est aujourd’hui l’un des incidents les plus courants sur les comptes Microsoft 365 non protégés par la double authentification.
Reconnaître un e-mail de phishing
- L’adresse de l’expéditeur ne correspond pas exactement au domaine officiel (lettre en trop, domaine exotique, adresse Gmail pour une « banque »).
- L’urgence ou la menace : compte suspendu, colis bloqué, facture impayée, virement à faire « avant ce soir ».
- Le lien : survolez-le sans cliquer, l’adresse affichée ne mène pas au site attendu.
- La demande inhabituelle : saisir un mot de passe, changer un RIB, acheter des cartes cadeaux, ouvrir une pièce jointe compressée.
- Le ton ou la forme : formule générique, fautes, logo approximatif. Attention, les messages les mieux faits n’en ont plus aucune.
Au moindre doute, ne répondez pas au message : vérifiez par un autre canal (appel au numéro habituel du fournisseur ou du collègue). Vous pouvez aussi signaler le message sur la plateforme officielle cybermalveillance.gouv.fr, qui propose également une assistance aux victimes.
Les erreurs de sécurité les plus courantes en entreprise
1. Pas de double authentification sur la messagerie
Activer l’authentification multifacteur (MFA) sur Microsoft 365 ou Google Workspace bloque la grande majorité des piratages de comptes par mot de passe volé. C’est la mesure la plus rentable qui soit.
2. Des mots de passe réutilisés ou partagés
Un même mot de passe pour la messagerie, le site du fournisseur et le Wi-Fi : une seule fuite suffit. Un gestionnaire de mots de passe d’équipe règle le problème sans compliquer la vie des salariés.
3. Des mises à jour repoussées
Postes Windows, navigateurs, box, NAS, site WordPress : les correctifs comblent des failles connues et activement exploitées. Les mises à jour doivent être automatiques ou suivies.
4. Des sauvegardes jamais testées
Une sauvegarde n’existe vraiment que si on a déjà réussi à restaurer un fichier à partir d’elle. Appliquez la règle 3-2-1 : trois copies, deux supports différents, dont une hors site ou hors ligne. Nous détaillons la méthode dans notre article sur les bonnes pratiques de sauvegarde informatique.
5. Tout le monde administrateur
Un compte utilisateur avec des droits d’administrateur permet à un logiciel malveillant de s’installer en profondeur. Les droits élevés doivent être réservés à un compte dédié, utilisé uniquement pour l’administration.
6. Aucune sensibilisation des équipes
La plupart des incidents démarrent par un clic. Quinze minutes d’explication sur les signes d’un phishing et une règle simple (« on vérifie par téléphone toute demande de virement ou de changement de RIB ») évitent beaucoup de dégâts.
7. Pas de plan en cas d’incident
Qui appeler, quels postes débrancher, où sont les sauvegardes, comment prévenir les clients ? Une page écrite à l’avance fait gagner des heures le jour où cela arrive.
Que faire si vous avez cliqué ?
- Déconnectez le poste du réseau (câble et Wi-Fi), sans l’éteindre.
- Changez immédiatement le mot de passe du compte concerné depuis un autre appareil et vérifiez que la double authentification est active.
- Vérifiez les règles de transfert et les connexions récentes de la messagerie.
- Prévenez votre prestataire informatique et, si un virement a été effectué, votre banque sans attendre.
- Conservez le message suspect : il servira à l’analyse et à un éventuel dépôt de plainte.
Sécuriser votre PME en Haute-Loire avec un seul interlocuteur
Basés au Puy-en-Velay, nous accompagnons les TPE et PME de Haute-Loire et de la Loire sur l’ensemble de ces points : configuration de la double authentification et de Microsoft 365, protection des postes, sauvegardes, sensibilisation des équipes. Découvrez notre offre de sécurité informatique au Puy-en-Velay et à Saint-Étienne, ou commencez par un audit IT pour savoir où vous en êtes.
Contactez-nous pour en parler.
