Une idée reçue circule encore dans beaucoup de PME : "on n'est pas assez important pour être attaqué". C'est faux. Les attaquants ne ciblent pas les entreprises parce qu'elles sont stratégiques — ils les ciblent parce qu'elles sont vulnérables et mal protégées. Voici les 5 menaces les plus fréquentes que je rencontre sur le terrain.
1. Le ransomware
Le ransomware reste la menace numéro un pour les PME. Le principe : un email malveillant, une pièce jointe ouverte, et quelques heures plus tard l'ensemble de vos fichiers est chiffré. Vous recevez une demande de rançon en cryptomonnaie.
Ce qui permet d'y résister :
- Sauvegardes quotidiennes hors ligne (règle 3-2-1)
- Segmentation réseau (un ransomware ne peut pas se propager hors de son VLAN)
- Filtrage mail et antivirus à jour
- Formation des équipes sur le phishing
2. Le phishing ciblé (spear phishing)
L'email classique du prince nigérian, tout le monde le reconnaît maintenant. Mais le phishing a évolué. Les attaquants font leurs recherches sur LinkedIn, consultent votre site, et envoient un email parfaitement contextualisé qui semble venir de votre banque, de votre comptable, ou d'un client.
Ce qui permet de s'en protéger :
- Processus de validation pour les virements (jamais sur simple email)
- Authentification double facteur (MFA) sur tous les comptes importants
- Formation régulière des équipes avec des tests de phishing simulé
3. Les accès non contrôlés
Dans beaucoup de PME que j'audite, les anciens employés ont encore accès aux outils internes. L'ex-commercial peut toujours se connecter au CRM. Le prestataire qui a quitté l'entreprise il y a 6 mois a encore ses accès VPN.
Ce n'est pas malveillant en soi, mais c'est une surface d'attaque inutile.
Ce qu'il faut faire :
- Procédure de départ qui inclut la révocation immédiate de tous les accès
- Revue trimestrielle des comptes actifs
- SSO et gestion centralisée des identités
4. Les équipements réseau obsolètes
Un firewall ou un routeur en fin de vie, c'est une porte ouverte. Les mises à jour de sécurité ne sont plus publiées par le fabricant, et les vulnérabilités connues ne sont jamais corrigées.
J'ai vu des PME avec des Fortigate ou des Cisco en fin de support depuis 3 ans, encore en production, sans que personne ne le sache.
Ce qu'il faut vérifier :
- Date de fin de support de vos équipements réseau
- Firmware des switches, bornes Wi-Fi, firewalls : sont-ils à jour ?
- Règles de firewall : y en a-t-il une qui dit "allow any any" quelque part ?
5. L'absence de sauvegardes testées
Beaucoup d'entreprises font des sauvegardes. Très peu les testent. Une sauvegarde dont la restauration n'a jamais été vérifiée, c'est une sauvegarde dont on ne sait pas si elle fonctionne.
Ce qu'il faut faire :
- Tester la restauration au moins une fois par trimestre
- Conserver une copie hors ligne et hors site
- Documenter le Plan de Reprise d'Activité (PRA)
Et maintenant ?
Si vous lisez cet article en vous reconnaissant dans plusieurs de ces points, c'est normal. C'est la réalité de la grande majorité des PME.
La bonne nouvelle, c'est que se protéger ne nécessite pas un budget de grand groupe. Un audit de sécurité sérieux, suivi de quelques mesures concrètes, change radicalement votre exposition au risque.