Cybersécurité en entreprise : les menaces réelles et les parades

La cybersécurité d’une entreprise, c’est l’ensemble des mesures qui empêchent un attaquant de voler ses données, de bloquer son activité ou de détourner son argent. Dans une petite ou moyenne structure, cinq menaces concentrent l’essentiel du risque : l’hameçonnage, le rançongiciel, la fraude au faux virement, le vol de comptes et l’attaque par un prestataire. Quatre parades simples en neutralisent une grande partie : la double authentification, des sauvegardes isolées, des mises à jour rapides et une règle de vérification des paiements.

Cybersécurité entreprise : de quoi parle-t-on ?

Trois mots reviennent sans cesse, et ils ne veulent pas dire la même chose. Une menace (ou cybermenace) est ce qui peut vous arriver : un escroc qui vise votre comptabilité, un logiciel malveillant qui circule. Une vulnérabilité est la porte ouverte : un mot de passe réutilisé, un logiciel pas à jour, un salarié qui n’a jamais vu un faux mail. Une cyberattaque est le moment où la menace passe par la porte.

La cybersécurité ne supprime pas les menaces, qui existent indépendamment de vous. Elle ferme les portes et prépare la suite au cas où l’une d’elles céderait. Pour une entreprise sans service informatique, cela tient en une poignée de décisions, détaillées plus bas, et non en une pile de logiciels.

Les cinq menaces qui touchent vraiment les entreprises

Les listes des éditeurs de sécurité alignent souvent dix ou quinze catégories. Pour une entreprise de quelques dizaines de personnes, ce tableau couvre l’essentiel de ce que décrivent les services de l’État dans leurs fiches d’assistance aux victimes.

L’hameçonnage, porte d’entrée de la plupart des attaques

L’hameçonnage consiste à tromper une personne pour qu’elle saisisse un mot de passe, ouvre un fichier ou paie. La version ciblée, dite spear phishing, utilise ce qui est public sur vous : organigramme, fournisseurs, salons. Un message qui reprend le nom de votre expert-comptable et un vrai numéro de facture n’a rien d’un mail mal écrit. Le bon réflexe n’est donc pas de chercher les fautes, mais de vérifier la demande par un autre canal.

Le rançongiciel, l’attaque qui arrête l’activité

Un rançongiciel chiffre vos fichiers, c’est-à-dire les rend illisibles sans une clé que l’attaquant détient. Les groupes criminels copient souvent les données avant de les chiffrer et menacent de les publier : c’est la double extorsion. Le payer ne garantit ni la restitution des fichiers ni la suppression des copies. La seule protection fiable reste une sauvegarde hors d’atteinte, c’est-à-dire déconnectée ou non modifiable, que vous avez déjà restaurée au moins une fois.

La fraude au président et au faux fournisseur

Ici, aucun virus : l’escroc se fait passer pour un dirigeant ou un fournisseur et obtient un virement. Les anglophones parlent de BEC, pour compromission de la messagerie professionnelle, quand l’attaquant écrit depuis une vraie boîte mail piratée. La parade est une procédure, pas un outil : tout changement de coordonnées bancaires ou tout virement inhabituel est confirmé par un appel à un numéro déjà connu, jamais celui du message.

Le vol de comptes

Messagerie, logiciel de facturation, banque en ligne, réseaux sociaux de l’entreprise : chaque compte est une cible. Les identifiants arrivent chez les attaquants par l’hameçonnage, par des fuites de bases de données d’autres sites, ou par des logiciels espions appelés infostealers, qui aspirent les mots de passe enregistrés dans le navigateur. Une fois dans la messagerie, l’attaquant observe en silence, puis lance une fraude au virement crédible.

L’attaque qui passe par un prestataire

Votre infogérant, votre éditeur de logiciel ou votre outil de prise de rendez-vous ont souvent un accès direct à vos systèmes. S’ils sont compromis, l’attaquant entre avec leurs droits. Demandez la liste des accès dont dispose chaque prestataire, coupez ceux qui ne servent plus et exigez des comptes nominatifs plutôt qu’un identifiant partagé.

Ce que l’IA change aux attaques

Les outils d’IA générative servent aussi aux escrocs : mails sans faute dans un français naturel, traduction instantanée, imitation de la voix d’un dirigeant à partir d’une vidéo publique. Ces nouveautés ne créent pas de nouvelle catégorie de menace, elles rendent l’hameçonnage et la fraude au président plus convaincants. Conséquence pratique : une procédure de vérification par contre-appel protège mieux qu’une formation qui apprend à repérer les fautes d’orthographe.

Les autres menaces citées par les grands panoramas, comme le déni de service (saturer un site pour le rendre inaccessible) ou les failles inconnues dites zero-day, concernent surtout les entreprises dont le site ou l’application sont le cœur de l’activité. Pour les autres, un hébergeur sérieux et des mises à jour appliquées vite couvrent l’essentiel.

Les dix mesures prioritaires, dans l’ordre

Cet ordre suit un principe simple : d’abord ce qui coûte peu et bloque beaucoup. Les mesures 1 à 5 se mettent en place en quelques semaines sans prestataire dans une petite structure.

1. Activer la double authentification (un code ou une application en plus du mot de passe) sur la messagerie, la banque, les outils en ligne et les accès à distance.
2. Sauvegarder selon la règle 3-2-1 : trois copies, sur deux supports différents, dont une hors site et déconnectée. Puis tester une restauration.
3. Appliquer les mises à jour des postes, téléphones, box, routeurs et logiciels, automatiquement quand c’est possible.
4. Écrire la règle des virements : contre-appel obligatoire pour tout nouveau RIB ou paiement urgent.
5. Équiper chacun d’un gestionnaire de mots de passe pour qu’aucun mot de passe ne soit réutilisé.
6. Retirer les droits administrateur des postes de travail : un compte sans droits installe moins de logiciels piégés.
7. Faire l’inventaire des accès : qui accède à quoi, salariés partis et prestataires compris.
8. Sécuriser le travail hors du bureau : postes chiffrés, accès par VPN ou par des services protégés par double authentification.
9. Former par l’exemple : montrer à l’équipe des tentatives réellement reçues, et rendre le signalement simple et sans reproche.
10. Préparer une fiche « incident » : qui appeler, quoi débrancher, où sont les sauvegardes, imprimée et rangée hors de l’ordinateur.

Une sauvegarde n’a de valeur que si sa restauration a été testée : c’est l’étape la plus souvent oubliée quand on cherche à sauvegarder ses données professionnelles. Pour les équipes en déplacement ou à domicile, les choix techniques sont développés dans l’article sur le travail à distance en entreprise, et le comparatif des VPN aide à choisir un service si vous n’en avez pas.

Combien coûte la cybersécurité d’une entreprise ?

Il n’existe pas de prix public fiable : le coût dépend du nombre de postes, des outils déjà en place et du niveau de service attendu. Les mesures 1, 3, 4 et 6 de la liste ci-dessus ne coûtent que du temps, car elles s’activent dans les outils que vous payez déjà. Les dépenses arrivent avec le gestionnaire de mots de passe, la sauvegarde externalisée, un antivirus de nouvelle génération (souvent appelé EDR, pour détection et réponse sur les postes) et l’accompagnement d’un prestataire.

Pour comparer des devis, demandez un prix par poste et par mois, ce qui est inclus (installation, supervision, intervention en cas d’incident), le délai d’intervention garanti, et la durée de conservation des sauvegardes. Un devis qui ne répond pas à ces quatre points ne se compare pas. Dans une petite structure, ces mesures se déclinent ensuite poste par poste (messagerie, ordinateurs, comptes, sauvegardes, prestataires) : c’est le cœur de la cybersécurité des PME.

NIS2 : votre entreprise est-elle concernée ?

NIS2 est une directive européenne qui impose des obligations de cybersécurité à de nombreuses organisations, selon leur secteur et leur taille. Elle concerne bien plus d’entités que la règle précédente, y compris des entreprises de taille moyenne. Les seuils et le calendrier français dépendent de la transposition en droit national : vérifiez votre situation sur le site de l’ANSSI, l’agence nationale de la sécurité des systèmes d’information, plutôt que sur la foi d’un commercial. Même si vous n’êtes pas concerné, un client soumis à NIS2 peut vous demander des garanties en tant que fournisseur.

Que faire en cas de cyberattaque

• Isoler les appareils touchés du réseau (câble et Wi-Fi), sans les éteindre si possible, pour préserver les traces.
• Ne pas payer de rançon et ne pas dialoguer seul avec l’attaquant.
• Demander de l’aide : le dispositif public 17Cyber et Cybermalveillance.gouv.fr orientent vers des prestataires référencés et décrivent la marche à suivre selon le type d’attaque.
• Porter plainte auprès de la police ou de la gendarmerie, ce que demande aussi votre assureur.
• Prévenir la CNIL si des données personnelles ont fuité : le RGPD fixe un délai de 72 heures après la découverte. Un juriste ou votre délégué à la protection des données vous dira si votre cas l’exige.
• Changer les mots de passe depuis un appareil sain, puis restaurer à partir d’une sauvegarde antérieure à l’intrusion.

Les outils de protection, du gestionnaire de mots de passe au VPN, relèvent de la cybersécurité au quotidien : ils se choisissent selon la taille de l’équipe et les logiciels déjà en place.

La réserve

Aucune de ces mesures ne rend une entreprise inattaquable. La double authentification par SMS peut être contournée par des pages d’hameçonnage qui relaient le code en direct ; les clés physiques ou les applications d’authentification résistent mieux, mais demandent un effort de déploiement. Une sauvegarde jamais testée donne un faux sentiment de sécurité. Et la contrainte a un prix : plus de vérifications, c’est un peu plus de friction au quotidien, ce qui pousse certains salariés à contourner les règles si personne n’explique pourquoi elles existent. Enfin, les chiffres de coût moyen d’une attaque circulent beaucoup, mais ils viennent souvent d’éditeurs qui vendent la parade : fiez-vous plutôt aux panoramas publiés par l’ANSSI.

Questions fréquentes

Quels sont les 10 types de cyberattaques les plus courants ?

On cite le plus souvent l’hameçonnage, le rançongiciel, les autres logiciels malveillants (cheval de Troie, logiciel espion), la fraude au président, le vol de mots de passe, le déni de service, l’attaque par un prestataire, l’interception de connexion dite homme du milieu, les injections sur les sites web et l’exploitation de failles inconnues. Pour une petite entreprise, les cinq premières pèsent le plus.

Quelles sont les menaces que l'on peut rencontrer sur Internet ?

Les plus fréquentes sont les faux messages qui volent des identifiants ou de l’argent, les logiciels malveillants téléchargés avec un fichier ou un faux logiciel, le piratage de comptes, les faux sites marchands et le chantage en ligne. Cybermalveillance.gouv.fr publie une fiche par menace avec les réflexes à adopter.

Quels sont les 4 types d'attaques sur le cyber monde ?

Une classification courante distingue la cybercriminalité (gagner de l’argent), l’atteinte à l’image (défigurer un site, diffuser de faux messages), l’espionnage (voler des informations) et le sabotage (rendre un système inutilisable). Une entreprise ordinaire est surtout exposée à la première.

Quelles sont les attaques de cybersécurité récentes ?

Les attaques récentes reprennent surtout des recettes connues, rendues plus crédibles par l’IA : hameçonnage personnalisé, fausses voix de dirigeants, vol d’identifiants par logiciels espions, rançongiciels avec vol de données. Pour un état des lieux sourcé, consultez les panoramas de la cybermenace de l’ANSSI et les alertes de Cybermalveillance.gouv.fr.