Le mail est arrivé un mardi matin, 7h12. Un fournisseur habituel, facture en pièce jointe, montant cohérent, signature connue. Mon client — un cabinet d'expertise comptable de douze personnes — a cliqué. Trois jours plus tard, son serveur de fichiers était chiffré et une demande de rançon s'affichait sur tous les écrans. La facture n'avait jamais existé.
Ce genre d'histoire, je pourrais vous en raconter une dizaine. Pas parce que je les collectionne, mais parce que je passe mes journées à dépanner des TPE et des PME qui pensaient, sincèrement, que comprendre la cybersécurité était un sujet pour les banques et les ministères. Spoiler : non. Les attaquants ne cherchent pas les grosses prises. Ils cherchent les portes ouvertes.
Ce qui a changé ces derniers mois, ce n'est pas le nombre d'attaques. C'est leur coût en temps pour l'attaquant. L'IA générative a fait s'effondrer la barrière d'entrée : un mail de phishing crédible en français impeccable, avec le bon logo et le bon ton, ça se génère en quinze secondes.
Points clés à retenir
- La double authentification reste la mesure qui bloque le plus d'attaques pour le moins d'effort — je la place avant l'antivirus dans mes priorités.
- Les identifiants volés (via phishing ou fuites) alimentent l'immense majorité des intrusions que je traite en intervention.
- Les menaces générées par IA — deepfakes vocaux, phishing synthétique, faux profils — sont la catégorie qui progresse le plus vite, et la plus difficile à repérer à l'œil nu.
- Un plan de réponse à incident vaut mieux qu'un pare-feu haut de gamme : sans procédure, la panique fait plus de dégâts que l'attaque.
- Les bonnes pratiques publiques (Cybermalveillance.gouv.fr, guides CNIL) sont solides, mais elles ne suffisent pas sans arbitrage budgétaire concret.
Les menaces actuelles ne ressemblent plus à celles d'il y a cinq ans
Quand j'ai commencé à accompagner des PME sur ces sujets, l'image d'Épinal de l'attaquant, c'était le hacker solitaire dans un garage. Aujourd'hui, je fais face à des structures organisées, avec des process RH, des services client, et parfois des horaires de bureau.
Le phishing n'a plus de fautes d'orthographe
Le signal qui sauvait la mise il y a quelques années — le mail mal écrit, la tournure bizarre, les fautes — a presque disparu. Les modèles de langage écrivent un français meilleur que la moitié de vos collègues. J'ai vu passer des tentatives imitant le directeur financier d'une société, avec le bon jargon, les bonnes références internes, et une urgence calibrée pile comme il faut. Le déclencheur : "Peux-tu valider ce virement avant que je parte en réunion ?"
Ce qui doit vous alerter, ce n'est plus la forme du message. C'est le canal et le contexte. Une demande inhabituelle, même parfaitement rédigée, reste une demande inhabituelle.
Les deepfakes vocaux, le truc que personne ne voyait venir
Il y a deux ans, je considérais les deepfakes comme un sujet de conférence, pas de terrain. Je me trompais. Une assistante de direction m'a raconté avoir reçu un appel de son "PDG", en déplacement, voix reconnaissable, qui lui demandait de préparer un virement urgent. Elle a raccroché, rappelé le vrai numéro. Le PDG était au bureau.
Franchement, je ne sais pas si j'aurais tilté à sa place. La copie vocale était bonne. Et c'est ça le problème : ces attaques ne se repèrent pas par la méfiance naturelle, elles se repèrent par la procédure. Une vérification par un second canal, systématique, sans exception.
La compromission d'identifiants, le vieux classique qui marche toujours
Avouons-le : la majorité des incidents que je gère ne sont pas des exploits techniques sophistiqués. Ce sont des mots de passe. Réutilisés, faibles, partagés en clair dans un fichier Excel ou pire, dans un groupe WhatsApp. Un identifiant valide qui tombe entre de mauvaises mains, et vous n'avez plus attaqué un système : vous y êtes entré avec la clé.
Sur le terrain, je constate qu'une part massive des violations de données trouve son origine dans des identifiants compromis. Pas besoin d'une statistique pour le voir : c'est ce que je débogue semaine après semaine.
Le tableau ci-dessous résume ce que je vois le plus souvent, et l'effort réel pour s'en protéger.
| Type de menace | Comment ça arrive | Effort de protection | Priorité pour une PME |
|---|---|---|---|
| Phishing par e-mail | Message crédible + pièce jointe ou lien piégé | Formation + filtrage | Haute |
| Vol d'identifiants | Réutilisation, fuite, partage en clair | Gestionnaire + 2FA | Critique |
| Deepfake vocal / vidéo | Usurpation d'un dirigeant ou d'un fournisseur | Procédure de double validation | Moyenne (mais croissante) |
| Rançongiciel | Accès initial + chiffrement des données | Sauvegardes déconnectées + segmentation | Critique |
| Compromission de logiciel tiers | Mise à jour piégée d'un outil que vous utilisez | Veille + délai avant déploiement | Moyenne |
Les bonnes pratiques cybersécurité, une fois traduites en actions réelles
Vous avez déjà lu la liste classique : mots de passe forts, mises à jour, sauvegardes. Je ne vais pas la répéter bêtement. Ce qui manque sur quasiment toutes les pages que je consulte, c'est l'ordre. Par quoi commencer quand on part de zéro et qu'on n'a pas un budget illimité ?
Ma feuille de route 30/60/90 jours
Voici l'ordre que j'applique, et je défendrai cet ordre bec et ongles : chaque étape réduit le risque réel, pas le risque théorique.
- Jours 1 à 30 : activez la double authentification partout où c'est possible, en commençant par la messagerie et les accès bancaires. C'est la mesure au meilleur rapport protection/effort que je connaisse.
- Ensuite : vérifiez vos sauvegardes. Pas "est-ce qu'on en a une", mais "est-ce que je peux restaurer un fichier tout seul, sans appeler quelqu'un". Une sauvegarde jamais testée n'existe pas.
- Jours 31 à 60 : déployez un gestionnaire de mots de passe d'équipe et supprimez les fichiers de mots de passe partagés en clair. Oui, ça frustre au début. Tenez bon.
- Jours 61 à 90 : écrivez une procédure de réponse à incident — une page, pas un roman. Qui appeler, quoi isoler, comment prévenir les clients.
- En parallèle, étalé : une session de sensibilisation courte tous les deux mois. Quinze minutes, avec un exemple réel.
Un client a suivi exactement cet ordre. Six mois plus tard, un de ses commerciaux a cliqué sur un lien piégé. La double authentification a bloqué la tentative d'accès. Aucun dégât. C'est ce genre de victoire invisible qui n'a jamais fait la une.
Ce que disent les institutions, et ce qu'il faut en garder
Les ressources publiques — je pense notamment aux fiches réflexes de Cybermalveillance.gouv.fr et aux guides de la CNIL — sont sincèrement utiles. Elles sont à jour sur les obligations et donnent des repères juridiques que je ne suis pas toujours à même de fournir. Ce qu'elles ne font pas, c'est arbitrer à votre place en fonction de vos contraintes.
Une PME de quinze personnes et un cabinet de conseil de cent salariés n'ont pas les mêmes priorités. La première devrait investir d'abord dans la 2FA et les sauvegardes. La seconde peut se permettre une démarche plus large, avec un plan de continuité documenté.
Combien ça coûte, vraiment ?
La question qu'on me pose à chaque audit : "combien je mets ?" Honnêtement, il n'y a pas de chiffre magique. Ce que je peux dire, c'est que le coût d'une attaque réussie — arrêt d'activité, pertes de données, remédiation, éventuelle notification — dépasse presque toujours ce qu'aurait coûté une prévention minimale.
Pour une structure de dix à trente personnes, je constate qu'un budget annuel modeste, bien réparti, suffit à couvrir l'essentiel : solution de sauvegarde sérieuse, gestionnaire de mots de passe, un peu de formation, et éventuellement un accompagnement ponctuel. Le reste est souvent du confort.
Que faire après une attaque ? La partie que personne ne prépare
Personne ne prépare la réponse à incident. C'est l'angle mort absolu, et c'est ce qui transforme un incident gérable en catastrophe. Une attaque, ça se gère froidement. Sauf que sans procédure, on ne gère pas : on panique.
Les premières heures comptent plus que tout
Ce que je conseille, dans cet ordre :
- Isolez la machine ou le serveur concerné — coupez le réseau, pas l'alimentation, pour préserver les traces.
- Ne payez pas. Le paiement n'a jamais garanti une restauration, et il vous désigne comme une cible rentable.
- Notez l'heure et ce qui s'est passé, du mieux possible. La mémoire des témoins s'efface vite.
- Prévenez votre prestataire informatique et, si des données personnelles sont concernées, il y a des délais légaux à respecter pour déclarer à la CNIL.
Le point sur lequel j'insiste le plus : la communication interne. Si vos collaborateurs découvrent l'incident par les journaux ou, pire, par un client, la confiance s'effondre. Un message court, factuel, dès les premières heures, fait des merveilles.
Le maillon humain, celui qu'aucun outil ne remplace
J'ai testé des campagnes de phishing simulé sur plusieurs équipes. Les résultats sont instructifs : ce n'est pas le niveau technique des salariés qui prédit qui clique. C'est la charge mentale du moment. Un commercial en fin de trimestre, un comptable en pleine clôture, une assistante débordée : ce sont eux qui cliquent. Pas parce qu'ils sont naïfs. Parce qu'ils sont pressés.
Donc la formation, oui. Mais la formation qui marche, ce n'est pas une vidéo annuelle. C'est un rappel court, concret, qui tombe au bon moment, avec un exemple qui ressemble à leur quotidien.
Comprendre la cybersécurité, c'est arrêter de chercher la solution parfaite
La cybersécurité n'est pas un état à atteindre. C'est une série d'arbitrages à refaire régulièrement, en fonction de ce que vous protégez et de ce que vous risquez. Chercher la solution parfaite, c'est le meilleur moyen de ne rien faire.
Ce que je vois chez les structures qui s'en sortent bien, ce n'est ni un budget énorme ni une équipe dédiée. C'est une discipline modeste mais constante : la 2FA partout, des sauvegardes testées, une procédure écrite, et quelqu'un qui rappelle de temps en temps que le prochain mail bizarre, il faudra le signaler au lieu de cliquer.
Le mail de mardi, celui de mon client cabinet comptable, aurait pu être arrêté par une seule chose : une double authentification sur la boîte du fournisseur usurpé. C'est tout. Pas de la technologie de pointe. Juste une vérification supplémentaire que personne n'avait pris la peine d'activer.
La vraie question n'est pas "sommes-nous assez protégés". C'est "si ça nous arrive demain matin, est-ce qu'on sait quoi faire dans l'heure qui suit". Si vous ne savez pas répondre, c'est par là qu'il faut commencer.
