Une petite entreprise de fabrication à Osaka s'est fait frapper par un ransomware en novembre dernier.
L'attaquant avait accédé en utilisant un mot de passe que le propriétaire utilisait à la fois pour son email et son panneau d'administration. Ce mot de passe avait été compromis lors d'une fuite de données en 2019. Il n'avait pas été notifié de la fuite. Personne ne vérifiait. Quatre ans plus tard, quelqu'un a utilisé le mot de passe pour le bloquer de sa propre entreprise.
Coût de la récupération : 2,3 millions de yen en temps d'arrêt, nettoyage et négociation de rançon.
La correction aurait pris 15 minutes : activer l'authentification à deux facteurs.
Ce n'est pas une entreprise technologique — c'est un petit fabricant avec 12 employés. Ils n'ont pas de personne informatique dédiée. Ils ne devraient pas avoir à être des experts en sécurité. Et pourtant, la grande majorité des brèches dans les petites entreprises se produisent à cause de négligences évitables, pas d'exploits zero-day sophistiqués.
La bonne nouvelle ? Vous n'avez pas besoin d'un CISO ou d'un budget de six chiffres. Vous avez besoin de 10 étapes concrètes qui bloquent les vecteurs d'attaque qui ciblent réellement les petites entreprises.
La réalité : la plupart des attaques ne nécessitent pas du génie technique
Voici la vérité inconfortable : 91% des brèches commencent par du phishing. Pas des exploits zero-day. Pas des groupes APT sophistiqués. Un email convaincant qui trompe quelqu'un pour qu'il entre son mot de passe.
Le deuxième vecteur le plus courant ? Les mots de passe réutilisés ou faibles. Compromis lors d'une brèche chez une autre entreprise, puis utilisés pour entrer dans la vôtre.
Le troisième ? Les logiciels non corrigés. Vous avez ignoré cette notification de mise à jour Windows. Quelqu'un a trouvé la vulnérabilité il y a deux ans. Vous êtes maintenant exposé.
Ce sont tous évitables. Aucun d'eux ne nécessite d'embaucher quelqu'un. Aucun ne nécessite d'outils coûteux. Ce qu'ils nécessitent, c'est de comprendre les menaces réelles et de prendre des actions spécifiques et simples.
Allons-y.
10 Victoires Rapides pour la Cybersécurité des PME
1. Activer l'authentification à deux facteurs (2FA) sur tout ce qui est critique
Email, services bancaires, panneaux d'administration, stockage cloud — tout ce qui contient de l'argent ou des données opérationnelles.
La plupart des 2FA est gratuite (Google Authenticator, Microsoft Authenticator, Authy). Certains services supportent SMS, ce qui est moins idéal mais mieux que rien.
Pourquoi ça marche : Même si quelqu'un a votre mot de passe, il ne peut pas entrer sans le deuxième facteur. L'entreprise de fabrication d'Osaka fonctionnerait toujours aujourd'hui.
Temps : 30 minutes. Coût : ¥0.
2. Appliquer des mots de passe uniques et forts — ou utiliser un gestionnaire de mots de passe
Vos employés réutilisent des mots de passe entre comptes professionnels et personnels. C'est garanti.
Arrêtez d'essayer qu'ils mémorisent des mots de passe complexes. Ça ne marche pas. Donnez-leur un gestionnaire de mots de passe à la place.
Options gratuites : Bitwarden (fonctionne entre appareils, simple). Payant : 1Password, LastPass (plus soigné, meilleur support).
Le gestionnaire génère et stocke des mots de passe uniques. Les employés ne doivent mémoriser qu'un mot de passe maître. Vous pouvez auditer et révoquer l'accès depuis un tableau de bord centralisé.
Pourquoi ça marche : Quand le mot de passe Netflix de l'Employé A est piraté, l'attaquant l'essaie sur votre email, votre banque, votre base de données clients. Avec des mots de passe uniques, la fuite Netflix n'a pas d'importance.
Temps : 2 heures pour configurer et former le personnel. Coût : ¥0-5,000/an pour une équipe de 10.
3. Maintenir les systèmes d'exploitation et les logiciels à jour
Oui, les mises à jour sont ennuyeuses. Oui, elles prennent du temps. Oui, parfois elles cassent les choses.
Les mises à jour sont aussi là où vivent les correctifs de sécurité.
Configurez Windows, Mac et les systèmes Linux pour se mettre à jour automatiquement. Pour les logiciels que vous contrôlez (pas les navigateurs web, qui doivent se mettre à jour automatiquement), créez un rappel calendaire pour vérifier les mises à jour mensuellement.
Si vous exécutez Windows 7 ou 8, arrêtez immédiatement. Windows 7 n'a pas reçu de correctifs de sécurité depuis 2020. Vous exploitez une entreprise avec un bâtiment sans serrures.
Pourquoi ça marche : La plupart des attaquants n'inventent pas de nouvelles vulnérabilités. Ils trouvent celles connues et les exploitent avant que l'entreprise ne les corrige. Les mises à jour automatiques ferment ces lacunes avant que les attaquants ne puissent les utiliser.
Temps : 1 heure pour configurer les mises à jour automatiques. Coût : ¥0.
4. Configurer l'authentification email (SPF, DKIM, DMARC)
Les attaquants se font souvent passer pour l'adresse email de votre entreprise pour inciter les clients à envoyer de l'argent ou à ouvrir des pièces jointes malveillantes.
Si quelqu'un reçoit un email qui semble venir de votre PDG demandant un virement urgent, il pourrait vraiment envoyer l'argent — jusqu'à ce qu'il réalise que c'était un hacker.
L'authentification email indique au serveur du destinataire : « Tout email de @votreentreprise.com qui ne correspond pas à ces signatures cryptographiques est faux. »
La plupart des registraires de domaine et des fournisseurs d'email ont des assistants intégrés pour mettre cela en place. C'est une configuration unique de 30 minutes.
Pourquoi ça marche : Cela arrête 90% des attaques d'usurpation d'identité avant qu'elles ne puissent commencer. Même si l'attaquant parvient à envoyer l'email, il arrive marqué comme suspect ou est complètement rejeté.
Temps : 30 minutes. Coût : ¥0.
5. Exiger un VPN pour l'accès à distance — ou utiliser un VPN sans confiance zéro
Si les employés travaillent à partir de chez eux, ils accèdent à votre réseau depuis des réseaux non fiables (cafés, hôtels, etc.).
Utilisez un VPN (Virtual Private Network) pour chiffrer tout le trafic entre leur appareil et le réseau de votre bureau.
Option gratuite pour petites équipes : WireGuard (open source, léger). Payant : Cloudflare Zero Trust, Tailscale (plus facile à configurer, meilleur pour les équipes moins techniques).
Pourquoi ça marche : Même s'ils sont sur un réseau WiFi piraté, l'attaquant ne peut pas voir leur trafic ou l'intercepter. Le chiffrement se produit au niveau de l'appareil.
Temps : 2-3 heures pour configurer. Coût : ¥0-5,000/an.
6. Sauvegarder les données critiques (hors ligne et automatisé)
Les ransomwares chiffrent vos fichiers et demandent le paiement. Mais si vous avez une sauvegarde que l'attaquant ne peut pas atteindre, vous ignorez leur demande et restaurez à partir de la sauvegarde.
Configurez des sauvegardes automatiques quotidiennes vers : 1. Un service cloud (Google Drive, Dropbox, OneDrive) — chiffré, hors site 2. Un disque dur externe gardé débranché quand il n'est pas utilisé (pour que les ransomwares ne puissent pas l'atteindre)
Beaucoup de petites entreprises utilisent Backblaze (¥150/mois par appareil) ou Acronis True Image (achat unique ¥6,000-8,000).
Pourquoi ça marche : Vous perdez quelques heures de travail, pas votre entreprise entière. Les demandes de rançon deviennent sans dents.
Temps : 1-2 heures pour configurer. Coût : ¥0-2,000/mois.
7. Installer et configurer un pare-feu (ou vérifier que vous en avez un)
Un pare-feu se situe entre vos appareils et Internet, bloquant le trafic entrant non sollicité.
Si vous êtes sur un réseau d'entreprise, vous en avez probablement déjà un. Si vous êtes une équipe distante ou avez un petit bureau : vérifiez que votre routeur a un pare-feu activé (c'est probablement le cas par défaut — confirmez simplement).
Pour plus de contrôle, des outils comme pfSense, OPNsense (gratuit, open source) ou Firewalla (¥1,000-5,000, plug-and-play) vous donnent un contrôle granulaire sur le trafic autorisé.
Pourquoi ça marche : La plupart des attaquants commencent par analyser votre plage IP à la recherche de ports ouverts et de services qu'ils peuvent exploiter. Un pare-feu correctement configuré rend cela beaucoup plus difficile.
Temps : 30 minutes pour vérifier que vous en avez un. Coût : ¥0-5,000.
8. Créer un programme de sensibilisation au phishing
Vos employés sont la première ligne de défense. Une personne cliquant sur un lien suspect peut donner à un attaquant l'accès à tout.
Passez 30 minutes chaque mois avec votre équipe sur à quoi ressemble le phishing : - Les erreurs grammaticales dans les emails officiels - Les demandes inhabituelles (virements, changements de credentials) qui contournent le processus normal - Les adresses d'expéditeur suspectes qui sont *presque* correctes ([email protected] au lieu de company.com) - Les liens qui ne correspondent pas au texte de l'URL
Des outils comme Knowbe4, Gophish (version gratuite), ou même des vidéos YouTube sur la sécurité peuvent aider.
Pourquoi ça marche : Les employés formés détectent les attaques de phishing évidentes que les employés non formés cliquent. Vous n'éliminez pas le phishing, mais vous réduisez le taux de réussite de 5% à 0,5%.
Temps : 30 minutes/mois. Coût : ¥0-3,000/mois.
9. Surveiller et auditer l'accès utilisateur
Qui a les droits d'admin ? Qui a accès aux données sensibles ? Si quelqu'un quitte l'entreprise, ses comptes sont-ils toujours actifs ?
Créez une feuille de calcul (ou utilisez un outil simple comme Okta, Azure AD) qui répertorie : - Chaque compte utilisateur - Les systèmes auxquels ils peuvent accéder - Leur niveau de permission - Date de dernière connexion
Révisez-la trimestriellement. Désactivez ou réduisez les droits des comptes qui n'ont plus besoin d'accès complet.
Pourquoi ça marche : La majorité des menaces internes (accidentelles ou intentionnelles) se produisent parce que quelqu'un a accès à plus qu'il ne devrait. Un ancien sous-traitant a toujours le mot de passe de votre base de données. Un employé junior a accès aux informations de paiement des clients dont il n'a jamais eu besoin.
Temps : 1-2 heures/trimestre. Coût : ¥0-5,000/an.
10. Avoir un plan de réponse aux incidents (écrit, pratiqué)
Malgré tout cela, quelque chose pourrait mal tourner. Et alors ?
Notez : 1. Qui contacter en cas d'incident de sécurité (personne IT interne, support IT externe, compagnie d'assurance) 2. Quoi faire immédiatement (arrêter le système affecté, ne pas redémarrer, sauvegarder les logs) 3. Qui doit être notifié (personnel, clients, autorités si requis par la loi) 4. Comment communiquer (emails modèles, déclarations préparées)
Pratiquez cela une fois par an, même si c'est juste un exercice de simulation.
Pourquoi ça marche : La différence entre une brèche contenue et une catastrophique est souvent la vitesse de votre réaction dans la première heure. Un plan signifie que vous ne prenez pas de décisions en panique.
Temps : 2-3 heures pour écrire. Coût : ¥0.
Le coût de ne pas faire cela
Voici ce qui se passe généralement à une petite entreprise qui n'a pas ces bases en place :
- Attaque par ransomware : ¥500,000 - 5,000,000 en temps d'arrêt + rançon
- Compromission d'email : L'attaquant se fait passer pour le propriétaire, trompe un employé pour virer ¥200,000 - 500,000
- Vol de données : Les informations des clients sont volées et vendues sur le dark web. Amendes RGPD/PPC : ¥200,000 - 2,000,000+
- Vol de credentials : Quelqu'un accède à votre email en utilisant un mot de passe d'une autre fuite. Il réinitialise les mots de passe dans tous vos outils et vous verrouille de votre propre entreprise.
Le fabricant d'Osaka a payé 2,3 millions de yen parce qu'ils n'avaient pas activé 2FA.
Le coût de la mise en place de ces 10 éléments ? Peut-être ¥100,000 au total (et la plupart sont gratuits ou presque gratuits). Le ROI est évident.
Commencez cette semaine
Vous n'avez pas besoin de faire les 10 à la fois. Choisissez les trois qui semblent les plus urgents :
- Activer 2FA sur email, services bancaires et panneaux d'administration (30 minutes)
- Configurer les sauvegardes automatiques (1 heure)
- Créer une liste à jour de qui a accès à quoi (2 heures)
La semaine prochaine, faites les trois suivants. D'ici la fin du mois, vous avez fermé les lacunes qui causeraient 90% des attaques pour réussir.
Les petites entreprises sont des cibles précisément parce qu'on suppose qu'elles ont une sécurité faible. Au moment où vous prenez ces mesures, vous n'êtes plus la cible la plus facile du pâté.
---
Chez SolidTech, nous offrons des audits de sécurité IT et du support informatique géré pour les petites entreprises. Nous passerons en revue votre configuration actuelle, identifierons quelles étapes vous sont les plus urgentes, et vous aiderons à les mettre en place sans perturber vos opérations.
L'objectif n'est pas une sécurité au niveau militaire. C'est faire en sorte que les attaquants cherchent des cibles plus faciles. Et c'est bien moins cher à réaliser que vous ne le penseriez.
Prêt à évaluer votre position ? Parlons-en.
