Le mail vient d'un de vos clients habituels. L'objet reprend un devis en cours. Le ton est pressé, presque agacé : « Merci de régulariser le règlement sous 24h, IBAN mis à jour ci-joint. » Vous cliquez. Vous ne remarquez pas que l'adresse se termine par .co et non .fr. Deux jours plus tard, 18 400 € ont quitté votre compte, et votre banque vous explique qu'elle ne peut rien faire si vous avez validé vous-même le virement.
Cette scène, je l'ai vue trois fois en cinq ans chez des PME clientes. Trois fois un faux fournisseur. Trois fois un comptable pressé qui n'a pas relu l'adresse. La cybersécurité en entreprise ne se joue presque jamais sur un grand braquage spectaculaire : elle se joue sur trente secondes d'inattention dans une boîte mail saturée.
Alors voici ce que je vais vous donner : un plan concret, chiffré, applicable même sans informaticien en interne, et ce que la loi vous impose désormais. Pas de discours anxiogène. Des décisions que vous pouvez prendre cette semaine.
Points clés à retenir
- La majorité des incidents commencent par un mail, un mot de passe réutilisé ou une sauvegarde non testée — pas par un piratage sophistiqué.
- Protéger son entreprise des menaces en ligne coûte, pour une PME, l'équivalent de quelques centaines d'euros par mois. Une attaque réussie coûte bien plus.
- Le RGPD impose une notification à la CNIL sous 72 heures en cas de fuite de données. L'ignorer, c'est ajouter une sanction à l'incident.
- Un RSSI externalisé à temps partiel suffit souvent à couvrir 80 % des risques réels d'une structure de moins de 50 salariés.
- La sensibilisation des équipes rapporte plus que n'importe quel logiciel installé sur un poste mal utilisé.
Quelles menaces visent réellement votre entreprise en 2026 ?
Quand j'ai commencé à m'intéresser à ce sujet, je m'imaginais des hackers dans un sous-sol, ciblant les banques. La réalité est plus plate et plus efficace. Les attaquants d'aujourd'hui industrialisent : ils achètent des listes d'identifiants volés, envoient des milliers de mails et attendent que quelqu'un clique. Leur cible idéale n'est pas une grande entreprise — c'est une PME qui n'a ni DSI ni plan de reprise.
Les trois portes d'entrée que je vois le plus souvent
Sur les interventions que j'ai menées, deux schémas reviennent en boucle : l'hameçonnage ciblé (le fameux faux fournisseur) et le rançongiciel arrivé par une pièce jointe ou un accès distant mal protégé.
- L'hameçonnage au dirigeant : un mail soi-disant du patron demandant un virement urgent. Coût typique constaté : entre 8 000 et 40 000 €.
- Le rançongiciel : toutes les données chiffrées, rançon demandée en cryptomonnaie. Une PME de 30 personnes que j'accompagne a mis onze jours à redémarrer son activité.
- Le vol d'identifiants via un service tiers mal sécurisé, puis la réutilisation du même mot de passe partout.
- Enfin, l'attaque par déni de service, plus rare mais paralysante pour un site e-commerce.
Le point commun ? Aucune de ces attaques ne nécessite de compétence exceptionnelle. Elles exploitent l'organisation, pas la technique.
Un exemple concret de cyberattaque en entreprise
Prenons le cas que je connais le mieux. Un cabinet de conseil, douze salariés, un serveur de fichiers local, aucune sauvegarde hors du bureau. Un vendredi soir, un poste est infecté par un rançongiciel via une pièce jointe Excel. Le lundi, tout est chiffré, y compris trois ans de dossiers clients.
Résultat : 4 800 € de rançon payés (mauvaise décision, j'y reviens), deux semaines d'activité au ralenti, et un client parti chez un concurrent. Le coût total réel a dépassé les 30 000 €. La mesure qui aurait tout évité — une sauvegarde déconnectée du réseau — coûte moins de 20 € par mois.
Voilà pourquoi je répète à chaque dirigeant que je croise : le calcul n'est pas « combien coûte la sécurité », c'est « combien coûte l'arrêt de mon activité ».
Un plan d'action concret, sans jargon
Beaucoup d'articles vous donnent des listes d'outils. Le problème, c'est l'ordre. Investir dans un pare-feu avant d'avoir une sauvegarde testée, c'est repeindre la façade d'une maison sans toit. Voici la séquence que j'applique, dans cet ordre précis.
Étape 1 : des sauvegardes testées, hors ligne
C'est la seule mesure qui vous sauve d'un rançongiciel. La règle de référence s'appelle 3-2-1 : trois copies des données, sur deux supports différents, dont une externalisée. Et surtout — testez la restauration. Une sauvegarde jamais restaurée est une croyance, pas une protection.
Étape 2 : l'authentification multifacteur partout
Le MFA bloque l'immense majorité des connexions frauduleuses par identifiants volés. Mail, banque, espace client, accès distant : tout. Cela prend une demi-journée à déployer et coûte souvent zéro euro avec les outils déjà inclus dans vos abonnements.
Étape 3 : cloisonner et mettre à jour
Un poste infecté ne doit pas pouvoir chiffrer tout le réseau. Segmentation, comptes à privilèges limités, correctifs appliqués automatiquement. La mise à jour automatique est probablement le geste le plus rentable qui existe : elle ferme des failles connues que les attaquants exploitent encore des mois après la publication du correctif.
Étape 4 : un plan de réponse à incident écrit
Qui appelle-t-on ? À qui parle-t-on en premier ? Faut-il couper le réseau ? Un simple document d'une page, connu de trois personnes, change tout le jour J. Sans plan, on perd les premières heures — celles qui comptent le plus.
Ce que la réglementation française vous impose
Ici, pas de zone grise. Si vous traitez des données personnelles — clients, salariés, prospects — vous êtes soumis au RGPD. En cas de violation de données, la notification à la CNIL doit intervenir dans les 72 heures. Pas dans la semaine. Dans les 72 heures.
Pour les secteurs critiques et un nombre croissant d'entreprises de taille intermédiaire, la directive NIS2, transposée en droit français, ajoute des obligations de gestion des risques, de notification des incidents et de responsabilité personnelle des dirigeants. Oui, personnelle.
Ce que beaucoup ignorent : ne pas déclarer une fuite est une infraction distincte. On m'a déjà demandé « et si on ne dit rien ? ». Mauvaise stratégie. Une fuite se découvre toujours par un tiers.
Ça s'applique aussi aux petites structures ?
Le RGPD, oui, dès le premier salarié et le premier fichier client. NIS2 vise des catégories plus larges qu'avant, mais tout le monde n'est pas concerné. Vérifiez votre statut — et si vous êtes sous-traitant d'un grand groupe, attendez-vous à ce que vos donneurs d'ordre vous imposent des exigences contractuelles de sécurité, quelles que soient vos obligations légales propres.
Combien ça coûte, et quels outils choisir ?
Il existe des logiciels de cybersécurité gratuits, et ils sont souvent excellents : antivirus inclus dans le système, gestionnaire de mots de passe open source, outils de sauvegarde gratuits. Le gratuit couvre une bonne partie des besoins d'une TPE. Au-delà, il faut mettre un budget.
| Brique | Solution gratuite possible | Version payante / externalisée | Budget indicatif PME |
|---|---|---|---|
| Sauvegardes 3-2-1 | Oui, disque externe + outil système | Service cloud chiffré | 20-80 €/mois |
| MFA | Souvent inclus | Rarement nécessaire en plus | 0 € |
| Antivirus / EDR | Antivirus système | EDR managé | 5-15 €/poste/mois |
| Supervision | Non | SOC managé | 500-2 500 €/mois |
| Accompagnement | Non | RSSI externalisé à temps partiel | 800-2 000 €/mois |
Mon avis, et je le défends : pour une structure de moins de 50 salariés, un RSSI externalisé quelques jours par mois vaut mieux qu'un gros logiciel que personne ne paramètre. La technologie sans pilotage humain, c'est de la décoration.
Le facteur humain : votre meilleure et votre pire défense
Vous pouvez empiler les outils. Si la personne qui reçoit le faux mail du fournisseur clique, tout tombe. La bonne nouvelle, c'est que ça s'entraîne.
Une formation à la cybersécurité utile ne ressemble pas à un diaporama de deux heures. Elle ressemble à des exercices de faux hameçonnage envoyés tous les deux mois, suivis d'un débriefing de dix minutes en réunion. Chez les clients où j'ai instauré ce rythme, le taux de clic sur les simulations est passé de plus de 30 % à moins de 5 % en un an. C'est la mesure la plus rentable de toute la liste.
Et un détail culturel : il faut que vos équipes puissent signaler une erreur sans craindre d'être blâmées. J'ai vu un salarié cacher une infection pendant quatre jours par peur de la réaction de son manager. Ces quatre jours ont coûté plus cher que n'importe quel logiciel.
Faut-il former tous les salariés ou seulement l'informatique ?
Tous. Le phishing ne vise pas les informaticiens, il vise le service comptabilité, les assistants de direction, les commerciaux pressés. La sensibilisation est un enjeu collectif, avec des exercices courts et réguliers.
Par où commencer dès cette semaine
Si vous ne faites rien d'autre, faites ceci, dans cet ordre : vérifiez que vous avez une sauvegarde déconnectée et testez-la. Activez le MFA sur votre messagerie et votre banque. Rédigez une page de plan d'incident. Trois actions, une journée de travail.
Inutile de tout sécuriser d'un coup. J'ai vu des dirigeants paniquer après un article alarmiste, dépenser 15 000 € en trois semaines, et se retrouver avec un système que personne n'utilisait correctement. La sécurité efficace est ennuyeuse : régulière, testée, répétée.
Reste une question que personne n'aime poser : si demain matin vos fichiers étaient chiffrés, depuis quand n'avez-vous pas vérifié que votre sauvegarde fonctionne vraiment ? La réponse à cette question vaut plus que tout ce que vous venez de lire.
