Cybersécurité en entreprise : 4 conseils concrets pour les PME

Beaucoup de dirigeants de PME pensent que leur entreprise est trop petite pour intéresser des cybercriminels. Les chiffres disent l’inverse : les petites structures sont aujourd’hui les premières victimes des attaques les plus coûteuses. La bonne nouvelle, c’est que l’essentiel de la protection repose sur quelques réflexes simples. Voici nos 4 conseils de cybersécurité en entreprise, appuyés sur les recommandations officielles.

Les menaces qui visent réellement les PME

Avant de choisir des outils, il faut savoir contre quoi on se protège. Le rapport d’activité 2025 de Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes, donne une image précise des demandes d’aide des entreprises et associations :

• Le piratage de compte arrive en tête, avec 21 % des demandes d’assistance, en hausse de 52 % sur un an. Il s’agit de la prise de contrôle d’une messagerie ou d’un compte en ligne par un tiers.
• L’hameçonnage (ou phishing), ces messages qui imitent un fournisseur, une banque ou un collègue pour obtenir un mot de passe ou un clic, représente 16 % des demandes.
• La fraude au virement entre dans le trio de tête avec 13,5 % des demandes, un volume presque doublé (+93 %) : faux changement de RIB d’un fournisseur, arnaque au président, fausse facture.
• Le rançongiciel, un logiciel qui chiffre vos données pour exiger une rançon, ne vient qu’en 4e position (8,1 %), mais le rapport le décrit comme la menace « la plus redoutable et la plus impactante pour une organisation ».

L’Agence nationale de la sécurité des systèmes d’information (ANSSI) fait le même constat dans son Panorama de la cybermenace 2025 : les PME, TPE et ETI restent la catégorie la plus touchée par les rançongiciels, et les vols de données ont nettement augmenté.

Le point commun de ces menaces ? Elles commencent presque toujours par un compte, un mot de passe ou un clic. C’est donc là qu’il faut agir en premier.

Conseil n°1 : protéger les comptes avant tout

Un compte de messagerie piraté sert ensuite à tromper vos clients et vos fournisseurs avec votre propre adresse. Le guide de l’ANSSI et de la Direction générale des entreprises La cybersécurité pour les TPE/PME en 13 questions recommande notamment :

• Un mot de passe différent pour chaque service, et jamais le même pour la messagerie personnelle et la messagerie professionnelle.
• Des mots de passe longs : au moins 9 caractères pour les services peu critiques et au moins 15 pour les services critiques. Une phrase de passe, composée de plusieurs mots choisis au hasard, est plus facile à retenir.
• Un coffre-fort de mots de passe, qui génère et stocke des mots de passe robustes à votre place.
• L’authentification multifacteur, qui ajoute une seconde vérification (code sur le téléphone, application dédiée) dès que le service le permet. Face au piratage de compte, c’est l’une des mesures les plus efficaces : un mot de passe volé ne suffit plus.

Commencez par la messagerie, les outils de banque en ligne et les accès administrateurs : ce sont les comptes dont la compromission coûte le plus cher.

Conseil n°2 : sensibiliser vos équipes, IA comprise

Les outils techniques ne bloquent pas tout. Un message bien imité, un appel pressant d’un « dirigeant » ou une demande de changement de RIB urgente passent souvent les filtres. La vigilance de vos collaborateurs reste la dernière ligne de défense.

Pour la fraude au virement, une règle simple désamorce la plupart des tentatives : toute demande de modification de coordonnées bancaires ou de virement inhabituel se vérifie par un autre canal, par exemple en rappelant l’interlocuteur à un numéro déjà connu, jamais à celui indiqué dans le message.

L’IA générative change aussi la donne. L’ANSSI la décrit comme un « potentiel accélérateur » des capacités des attaquants, et a déjà identifié des sites d’apparence légitime générés par IA pour piéger leurs visiteurs. Les fautes d’orthographe ne suffisent donc plus à repérer un message frauduleux.

L’IA est aussi un risque côté entreprise. Selon l’ANSSI, l’intégration d’outils d’IA générative dans les processus de travail peut augmenter la surface d’attaque en l’absence de cloisonnement. Une question revient souvent en formation : « Est-ce que je peux coller cet e-mail client dans ChatGPT pour préparer ma réponse ? ». Si vos collaborateurs se la posent, c’est qu’ils ont besoin de règles claires. Notre formation Sensibilisation aux risques liés à l’IA en entreprise traite justement des fuites de données via les outils d’IA et des fraudes qui exploitent l’IA.

Le guide de l’ANSSI insiste sur la régularité : messages internes, rappels en réunion, et une charte informatique remise à chaque nouvel arrivant, qui précise les usages à respecter et comment signaler un incident.

Conseil n°3 : sauvegarder, mettre à jour et tester

Face à un rançongiciel, seule l’existence de sauvegardes intactes permet de redémarrer rapidement. Le guide de l’ANSSI et de la DGE propose une règle simple, dite « 3-2-1 » :

• 3 copies de vos données ;
• sur 2 supports différents ;
• dont 1 hors ligne, c’est-à-dire déconnectée du réseau, pour qu’un attaquant ne puisse pas la chiffrer elle aussi.

Une sauvegarde qui n’a jamais été restaurée n’est qu’une promesse : le guide recommande de tester régulièrement la restauration. Pensez aussi aux mises à jour des postes, des logiciels et des équipements réseau, qui corrigent des failles connues et exploitées par les attaquants.

Conseil n°4 : préparer la réaction et encourager le signalement

Plus un incident est détecté et contenu tôt, plus ses conséquences sont limitées. Deux choses font la différence.

D’abord, un climat de confiance. Un salarié qui pense avoir cliqué sur un lien douteux doit pouvoir le dire immédiatement, sans crainte. Le guide de l’ANSSI recommande explicitement une réponse « non coercitive », pour éviter que les incidents ne soient cachés.

Ensuite, une procédure écrite, connue de tous. Les recommandations officielles en cas d’incident sont les suivantes :

1. Déconnecter le poste ou le système touché d’Internet, sans l’éteindre : il sera utile aux enquêteurs.
2. Ne jamais payer de rançon.
3. Tenir une main courante : chaque action et chaque événement, avec la date, l’heure et la personne concernée.
4. Demander de l’aide : le 17Cyber et Cybermalveillance.gouv.fr orientent les victimes vers des prestataires de proximité.
5. Porter plainte et, si des données personnelles sont concernées, notifier la violation à la CNIL, en principe dans les 72 heures après en avoir pris connaissance.

Imprimez cette procédure : si votre informatique est bloquée, une version uniquement numérique ne servira à rien.

À retenir

• Les menaces les plus fréquentes pour les PME sont le piratage de compte, l’hameçonnage et la fraude au virement ; le rançongiciel reste la plus dévastatrice.
• L’authentification multifacteur et des mots de passe uniques protègent vos comptes, premier point d’entrée des attaquants.
• Toute demande de virement ou de changement de RIB se vérifie par un autre canal.
• L’IA générative rend les arnaques plus crédibles et crée de nouveaux risques de fuite de données : vos équipes doivent y être formées.
• Une sauvegarde hors ligne testée et une procédure d’incident imprimée font la différence le jour de l’attaque.