Cybersécurité : cinq réglages à faire ce soir dans votre entreprise
Les petites entreprises sont des cibles faciles. Cinq mesures simples suffisent à bloquer la grande majorité des attaques courantes.
Pour protéger votre entreprise d’une cyberattaque, cinq réglages suffisent à fermer l’essentiel des portes d’entrée : activer la double authentification, adopter un gestionnaire de mots de passe, appliquer les mises à jour, sauvegarder selon la règle 3-2-1 avec une copie hors ligne, et former votre équipe à l’hameçonnage et à la fraude au virement. Aucun ne demande de compétence technique poussée ni de budget important. Chacun peut être lancé en une soirée.
L’essentiel
- Activez la double authentification en priorité sur la messagerie et la banque en ligne.
- Utilisez un mot de passe unique par service, stocké dans un gestionnaire : l’ANSSI recommande au moins 15 caractères pour les services critiques.
- Activez les mises à jour automatiques sur tous les appareils et sur le site web.
- Sauvegardez selon la règle 3-2-1 : trois copies, deux supports, dont une hors ligne, et testez la restauration.
- Vérifiez par téléphone, au numéro habituel, toute demande de virement ou de changement de RIB.
- En cas d’attaque : isolez, ne payez pas de rançon, portez plainte, prévenez votre assureur et, si des données personnelles sont touchées, la CNIL sous 72 heures.
Les attaquants visent rarement une petite entreprise en particulier. Ils envoient des courriels piégés en masse, testent des mots de passe volés, cherchent des logiciels jamais mis à jour. Ils ne choisissent pas leur cible : ils trouvent la porte ouverte. Une TPE sans service informatique, qui a accumulé les outils en ligne au fil des années, en laisse souvent plusieurs.
Ce guide détaille chacun des cinq réglages, étape par étape, avec les erreurs à éviter. Il explique ensuite la conduite à tenir en cas de rançongiciel ou de fraude au virement, le rôle de l’assurance et les dispositifs publics d’accompagnement, avant une check-list à imprimer.
Pourquoi les petites entreprises sont-elles visées ?
Les petites structures cumulent trois fragilités. Elles disposent rarement d’une personne dédiée à l’informatique. Leurs outils se sont empilés sans politique d’accès : comptes partagés, anciens salariés jamais désactivés, mots de passe réutilisés. Et elles manipulent pourtant des actifs de valeur : trésorerie, fichiers clients, accès à la banque en ligne, coordonnées de fournisseurs.
Dans son guide consacré aux TPE et PME, l’ANSSI, l’Agence nationale de la sécurité des systèmes d’information, souligne qu’en l’absence de dispositifs de protection, les structures de petite et moyenne taille sont une cible de choix. La question n’est donc pas de savoir si votre entreprise intéresse un attaquant, mais combien d’efforts il lui faudra pour entrer.
Les attaques les plus courantes contre une TPE sont rarement sophistiquées :
- le piratage d’un compte, à partir d’un mot de passe deviné, volé ou réutilisé ;
- l’hameçonnage, un faux message qui pousse à cliquer, à saisir des identifiants ou à ouvrir une pièce jointe ;
- le rançongiciel, un logiciel qui chiffre vos fichiers et exige un paiement ;
- la fraude au faux ordre de virement, qui détourne un paiement en usurpant l’identité d’un dirigeant ou d’un fournisseur.
Les cinq réglages qui suivent répondent directement à ces quatre menaces.
Comment protéger son entreprise d’une cyberattaque ?
Avant d’entrer dans le détail, voici la vue d’ensemble. Le tableau classe les mesures par priorité et par effort, pour vous permettre de commencer par ce qui protège le plus au moindre coût.
Check-list de sécurité (informations vérifiées en novembre 2026)
| Mesure | Priorité | Effort | Ce qu’elle bloque |
|---|---|---|---|
| Double authentification sur messagerie et banque | Très haute | Faible : quelques minutes par compte | Le piratage de compte avec un mot de passe volé |
| Gestionnaire de mots de passe | Très haute | Moyen : une soirée pour migrer les comptes | La réutilisation d’un mot de passe compromis |
| Mises à jour automatiques | Haute | Faible : un réglage par appareil | L’exploitation de failles connues |
| Sauvegardes 3-2-1 avec une copie hors ligne | Très haute | Moyen : achat d’un disque, organisation | La perte de données, le rançongiciel |
| Règle de vérification des virements | Très haute | Faible : une procédure écrite | La fraude au président et au faux RIB |
| Sensibilisation de l’équipe | Haute | Faible à moyen : une réunion, puis des rappels | L’hameçonnage |
| Inventaire des comptes et des accès | Moyenne | Moyen : une demi-journée | Les accès oubliés d’anciens salariés ou prestataires |
| Fiche réflexe en cas d’incident | Moyenne | Faible : une page | La panique et les mauvaises décisions le jour J |
Comment activer la double authentification ?
Un mot de passe seul ne protège plus grand-chose. La double authentification, ou authentification multifacteur, ajoute une seconde preuve : un code généré par une application, une notification à approuver sur votre téléphone, une clé de sécurité physique ou un code reçu par SMS. Un mot de passe volé ne suffit alors plus à entrer. L’ANSSI recommande de l’activer chaque fois que le fournisseur de service la propose.
Étape 1 : lister vos comptes par ordre d’importance
Commencez par ceux qui ouvrent les autres portes :
- la messagerie professionnelle, qui permet de réinitialiser les mots de passe de presque tous vos services ;
- la banque en ligne et les outils de paiement ;
- les outils de gestion : facturation, comptabilité, CRM, stockage en ligne ;
- le nom de domaine, l’hébergement et le site web ;
- les réseaux sociaux de l’entreprise.
Étape 2 : activer l’option dans chaque service
Le réglage se trouve généralement dans les paramètres de sécurité du compte, sous l’intitulé « validation en deux étapes », « authentification à deux facteurs » ou « authentification multifacteur ». Préférez une application d’authentification ou une clé physique au SMS, plus facile à détourner. Le SMS reste néanmoins bien préférable à l’absence de second facteur.
Étape 3 : mettre les codes de secours à l’abri
À l’activation, la plupart des services fournissent des codes de secours. Conservez-les dans votre gestionnaire de mots de passe ou imprimés dans un endroit sûr. Sans eux, la perte d’un téléphone peut vous bloquer hors de vos propres comptes.
Erreur fréquente : approuver machinalement une notification de connexion que l’on n’a pas déclenchée. Certains attaquants multiplient les demandes en espérant un clic de lassitude. Une demande inattendue doit être refusée, puis le mot de passe du compte changé.
Comment gérer ses mots de passe en entreprise ?
Les règles de l’ANSSI
Dans son guide destiné aux TPE et PME, l’ANSSI recommande d’adapter la longueur du mot de passe à la criticité du service : au moins 9 caractères pour les services peu critiques, au moins 15 caractères pour les services critiques. Elle préconise un mot de passe différent pour chaque service, sans élément personnel comme une date de naissance ou un prénom. Une phrase de passe, plus facile à retenir, est une option.
Personne ne peut retenir des dizaines de mots de passe de cette longueur. D’où l’intérêt du gestionnaire de mots de passe, que l’ANSSI appelle coffre-fort de mots de passe. Il génère des mots de passe robustes, les stocke dans un fichier chiffré et les remplit à votre place. Vous n’avez plus qu’un seul mot de passe à retenir, le mot de passe maître. L’agence indique qu’il est préférable d’utiliser un coffre-fort certifié par ses soins.
Étape 1 : choisir et installer le gestionnaire
Pour une équipe, retenez une offre qui permet de partager des accès entre collaborateurs sans les envoyer par e-mail. Protégez le compte par un mot de passe maître long et inédit, et par la double authentification.
Étape 2 : migrer vos comptes
Commencez par les comptes critiques identifiés plus haut. Remplacez chaque mot de passe par un mot de passe généré, puis enregistrez-le dans le gestionnaire. Traitez ensuite les autres comptes au fil de l’eau, à chaque connexion.
Étape 3 : faire le ménage
Supprimez les mots de passe notés dans les tableurs, les carnets et les navigateurs personnels. Fermez les comptes que vous n’utilisez plus. Changez les mots de passe par défaut des box, imprimantes et caméras.
Étape 4 : organiser les départs
Quand un salarié ou un prestataire quitte l’entreprise, retirez ses accès le jour même et changez les mots de passe partagés auxquels il avait accès. L’ANSSI recommande de tenir un inventaire des accès pour vérifier qu’aucun accès indu n’est maintenu. Si vous confiez cette tâche à un collaborateur, encadrez-la : notre méthode pour déléguer sans perdre le contrôle s’applique aussi à la gestion des accès.
Pourquoi faut-il faire les mises à jour sans attendre ?
La plupart des attaques exploitent des failles déjà connues et déjà corrigées par les éditeurs. Elles ne réussissent que chez ceux qui n’ont pas installé le correctif. Mettre à jour, c’est fermer une porte que d’autres ont déjà signalée. Cybermalveillance.gouv.fr recommande d’appliquer les mises à jour de sécurité de manière régulière et systématique, en particulier sur les équipements exposés à internet.
Ce qu’il faut mettre à jour
- les ordinateurs : système d’exploitation, navigateur, suite bureautique, logiciels métier ;
- les téléphones et tablettes professionnels, et personnels s’ils accèdent à vos données ;
- le site web : moteur, thème et extensions, souvent oubliés ;
- la box internet, le pare-feu, les imprimantes et caméras connectées ;
- l’antivirus, à garder actif sur tous les postes.
Comment s’organiser
Activez les mises à jour automatiques partout où elles existent. Pour le reste, inscrivez un rendez-vous mensuel dans votre agenda. Ne téléchargez vos logiciels que sur les sites officiels des éditeurs ou dans les magasins d’applications officiels. Un appareil qui ne reçoit plus de mises à jour de son fabricant doit être remplacé ou tenu à l’écart de vos données sensibles.
Comment bien sauvegarder ses données ?
Un rançongiciel chiffre vos fichiers et exige un paiement pour les rendre. Une panne de disque, un vol d’ordinateur ou une fausse manipulation peuvent avoir le même effet. Dans tous les cas, seule une sauvegarde récente et intacte vous remet sur pied.
La règle 3-2-1
L’ANSSI recommande d’appliquer la règle 3-2-1 : trois copies de sauvegarde, sur deux supports différents, dont une hors ligne. Les sauvegardes en ligne, sur un disque réseau ou dans le cloud, sont pratiques mais exposées : un attaquant qui accède à votre réseau peut les atteindre, voire les chiffrer. La copie déconnectée, par exemple un disque dur externe débranché après chaque sauvegarde, lui échappe.
Étape 1 : identifier les données essentielles
Fichiers clients, factures, comptabilité, devis, savoir-faire, messagerie, site web, mais aussi licences, fichiers d’installation et configurations des logiciels : tout ce qui vous serait nécessaire pour redémarrer.
Étape 2 : fixer le rythme
L’ANSSI indique que la fréquence dépend du volume de données produites. Une entreprise artisanale peut choisir une sauvegarde mensuelle de ses factures et de son fichier client ; une entreprise de services dont les échanges numériques constituent la valeur pourra opter pour une sauvegarde hebdomadaire, voire quotidienne.
Étape 3 : tester la restauration
Une sauvegarde qui n’a jamais été restaurée est une hypothèse, pas une garantie. L’ANSSI recommande des tests réguliers. Restaurez un dossier, ouvrez quelques fichiers, chronométrez l’opération.
Exemple : plan de sauvegarde d’un cabinet de conseil de six personnes
| Copie | Support | Fréquence | Emplacement |
|---|---|---|---|
| Copie 1 : données de travail | Ordinateurs et espace de stockage en ligne | En continu | Bureau et cloud |
| Copie 2 : sauvegarde en ligne | Service de sauvegarde avec historique des versions | Quotidienne | Hébergeur distinct |
| Copie 3 : sauvegarde hors ligne | Disque dur externe chiffré, débranché après usage | Hebdomadaire | Hors du bureau, chez le dirigeant |
| Test de restauration | Récupération d’un dossier depuis la copie 3 | Trimestrielle | Poste de test |
Bon à savoir : une synchronisation de fichiers n’est pas une sauvegarde. Elle réplique aussi les suppressions et les fichiers chiffrés par un rançongiciel. L’ANSSI recommande en outre de chiffrer les sauvegardes et de savoir précisément qui détient les clés.
Comment reconnaître l’hameçonnage et la fraude au faux RIB ?
La technique la plus rentable pour un escroc ne vise pas vos machines mais vos collaborateurs. Faux avis de livraison, fausse facture, faux message de la banque : l’hameçonnage cherche à obtenir un clic, des identifiants ou un paiement.
Les signaux d’alerte
- une urgence inhabituelle, une pression pour agir vite ;
- une demande de confidentialité ;
- une adresse d’expéditeur légèrement différente de l’habituelle ;
- un lien vers un site inconnu, une pièce jointe inattendue ;
- une demande de paiement ou d’identifiants hors des circuits normaux.
Fraude au président et changement de RIB
Cybermalveillance.gouv.fr décrit deux variantes de la fraude au faux ordre de virement. Dans l’arnaque au président, la demande semble émaner d’un dirigeant et se présente comme urgente et confidentielle. Dans la fraude au changement de RIB, l’escroc usurpe l’identité d’un fournisseur pour communiquer de nouvelles coordonnées bancaires. Les deux s’appuient souvent sur une messagerie piratée ou imitée.
La parade est organisationnelle. Le dispositif public recommande de contacter directement votre créancier, à son numéro habituel, pour toute demande de virement sur un nouveau RIB reçu par message. Il préconise aussi une procédure interne de vérification et de validation hiérarchique, sans dérogation possible, pour les virements imprévus et les changements de coordonnées bancaires.
Exemple : un fournisseur habituel vous écrit qu’il a changé de banque et joint un nouveau RIB pour régler sa dernière facture. Vous n’utilisez ni le numéro ni l’adresse figurant dans le message : vous appelez votre interlocuteur au numéro enregistré dans votre fichier fournisseurs. Il n’a jamais envoyé ce courriel, sa messagerie a été piratée.
Inscrivez ces deux règles noir sur blanc, faites-les connaître à tous ceux qui paient des factures et appliquez-les vous-même. Un collaborateur qui signale un message suspect doit être remercié, même si le courriel était authentique. La généralisation de la facture électronique, qui fait transiter les factures par des plateformes agréées, ne dispense pas de cette vigilance sur les coordonnées bancaires.
Que faire en cas de rançongiciel ?
Malgré ces précautions, un incident reste possible. Les premières heures comptent. Le plan ci-dessous reprend les recommandations de Cybermalveillance.gouv.fr pour une organisation victime d’un rançongiciel.
Plan de réaction à un rançongiciel (informations vérifiées en novembre 2026)
| Ordre | Action | À faire | À ne pas faire |
|---|---|---|---|
| 1 | Isoler | Couper l’accès internet du réseau, débrancher les machines touchées (câble, Wi-Fi) et les sauvegardes connectées | Laisser les sauvegardes branchées |
| 2 | Préserver | Laisser allumées les machines touchées | Éteindre les machines touchées, démarrer les machines éteintes |
| 3 | Refuser la rançon | Ne pas répondre aux attaquants | Payer : rien ne garantit la récupération des données, et cela encourage de nouvelles attaques |
| 4 | Porter plainte | Police, gendarmerie ou courrier au procureur, avant la réinstallation des appareils | Réinstaller avant la plainte et effacer les preuves |
| 5 | Déclarer | Prévenir l’assureur ; notifier la CNIL sous 72 heures si des données personnelles ont pu être touchées | Attendre la fin de la crise pour déclarer |
| 6 | Se faire aider | Faire appel à un prestataire spécialisé, via 17Cyber par exemple | Bricoler seul la remise en route |
| 7 | Reconstruire | Réinstaller les systèmes, restaurer une sauvegarde saine antérieure à l’attaque, changer tous les mots de passe | Restaurer une sauvegarde sans vérifier qu’elle est saine |
Une nuance sur l’étape 2 : si le chiffrement est encore en cours, Cybermalveillance.gouv.fr indique qu’un arrêt peut être envisagé, de préférence par une mise en veille prolongée.
Préparez dès aujourd’hui une fiche réflexe d’une page, imprimée : contacts de la banque, du prestataire informatique et de l’assureur, emplacement des sauvegardes, numéro de contrat d’assurance. Le jour de l’incident, vos fichiers numériques ne seront peut-être pas accessibles.
Que faire en cas de fraude au virement ?
Si un virement a été détourné, la rapidité est décisive. Cybermalveillance.gouv.fr recommande, dans cet ordre :
- alerter immédiatement votre banque, pour bloquer le virement s’il n’est pas encore exécuté ou en demander le retour s’il l’est ;
- prévenir au plus vite le créancier dont l’identité a été usurpée ;
- conserver les preuves : courriels, relevés, factures ;
- vérifier les règles de transfert et les filtres de votre messagerie, après les avoir photographiés, car un pirate en crée souvent pour intercepter les échanges ;
- changer immédiatement le mot de passe de la messagerie ;
- porter plainte dans les plus brefs délais, au commissariat, à la gendarmerie ou par écrit au procureur.
Erreur fréquente : attendre d’avoir « tout compris » avant d’appeler la banque. Chaque heure réduit les chances de bloquer les fonds. Appelez d’abord, analysez ensuite.
Une fraude au virement peut peser lourdement sur une petite entreprise. Si vous n’en avez pas encore, construisez un plan de trésorerie sur douze mois : il vous aidera à mesurer votre capacité à absorber un tel choc.
Faut-il souscrire une assurance cyber ?
L’ANSSI consacre l’une des treize questions de son guide pour les TPE et PME à l’évaluation de la couverture de votre police d’assurance au risque cyber. Commencez par relire vos contrats existants : multirisque professionnelle, responsabilité civile. Vérifiez ce qu’ils couvrent réellement en cas de cyberattaque : frais de restauration, pertes d’exploitation, fraude au virement, responsabilité envers vos clients.
Un point est décisif : Cybermalveillance.gouv.fr rappelle que l’indemnisation par une assurance cyber suppose le dépôt d’une plainte dans les 72 heures, obligation prévue par la loi. Notez ce délai sur votre fiche réflexe.
Quelles aides publiques pour se faire accompagner ?
Vous n’êtes pas seul. Plusieurs dispositifs publics s’adressent directement aux petites entreprises.
- 17Cyber, sur cybermalveillance.gouv.fr : service public d’assistance en ligne destiné aux particuliers, aux entreprises et aux associations victimes de cybermalveillance. Il propose un diagnostic, des conseils adaptés à votre situation, une mise en relation avec un prestataire technique et, si la menace l’exige, un accompagnement par un policier ou un gendarme.
- MonAideCyber, proposé par l’État et l’ANSSI : un diagnostic gratuit d’environ une heure et demie, mené par un « Aidant cyber » bénévole, dans vos locaux ou à distance. Il débouche sur six recommandations prioritaires. Le dispositif n’est pas adapté aux entreprises unipersonnelles.
- Les guides de l’ANSSI, publiés sur cyber.gouv.fr, dont « La cybersécurité pour les TPE/PME en 13 questions ».
Bon à savoir : si vous créez votre entreprise, intégrez ces réglages dès le premier jour. Ouvrir la banque en ligne et la messagerie avec la double authentification coûte moins cher que de corriger après coup. Notre guide pour créer sa SASU étape par étape peut servir de point de départ.
Quelles erreurs éviter ?
- Se croire trop petit pour intéresser. Les attaques automatisées ne trient pas leurs victimes selon leur taille.
- Compter sur l’antivirus seul. Il est utile, mais ne protège ni contre un mot de passe volé, ni contre un faux RIB, ni contre la perte de données.
- Garder la sauvegarde branchée en permanence. Elle sera chiffrée avec le reste.
- Partager un compte unique entre plusieurs personnes. Impossible ensuite de savoir qui a fait quoi, ni de couper un accès sans gêner tout le monde.
- Oublier les anciens accès. Un ancien salarié ou prestataire qui dispose encore d’un mot de passe est une porte ouverte.
- Payer la rançon. Rien ne garantit la restitution des données, et l’entreprise s’expose à de nouvelles demandes.
- Réinstaller avant de porter plainte. Les preuves techniques disparaissent avec la réinstallation.
En résumé
La cybersécurité d’une TPE repose moins sur des outils coûteux que sur quelques habitudes tenues dans la durée. Double authentification et gestionnaire de mots de passe protègent vos accès ; les mises à jour ferment les failles connues ; la règle 3-2-1, avec une copie hors ligne testée, vous permet de survivre à un rançongiciel ; une règle de vérification des virements déjoue la fraude au faux RIB. Ajoutez une fiche réflexe pour le jour où tout se complique, et appuyez-vous sur les dispositifs publics.
Questions fréquentes
Une TPE est-elle vraiment une cible ?
Oui. La plupart des attaques sont automatisées et exploitent les failles les plus simples, que l’on trouve souvent dans les petites structures. L’ANSSI souligne qu’en l’absence de protection, elles constituent une cible de choix.
Par quel réglage commencer ?
Par la double authentification sur la messagerie professionnelle et la banque en ligne. C’est la mesure la plus rapide à mettre en place et l’une des plus efficaces contre le piratage de compte.
Quelle longueur pour un mot de passe ?
L’ANSSI recommande au moins 9 caractères pour les services peu critiques et au moins 15 caractères pour les services critiques, avec un mot de passe différent pour chaque service.
Faut-il payer la rançon pour récupérer ses données ?
Non. Le paiement ne garantit pas la restitution des données et encourage de nouvelles attaques. Isolez les machines, portez plainte et restaurez à partir d’une sauvegarde saine.
Le stockage dans le cloud remplace-t-il la sauvegarde ?
Pas à lui seul. Une copie en ligne reste exposée à une attaque. La règle 3-2-1 impose au moins une copie hors ligne.
Dans quel délai porter plainte ?
Le plus vite possible, et avant toute réinstallation des appareils. Pour être indemnisé par une assurance cyber, la plainte doit être déposée dans les 72 heures.
Faut-il prévenir la CNIL ?
Oui, si des données personnelles de clients, de salariés ou de partenaires ont pu être consultées, modifiées ou détruites. La notification doit intervenir dans les 72 heures, en application du RGPD.
Qui contacter en cas d’attaque ?
Votre banque en cas de virement frauduleux, la police ou la gendarmerie pour porter plainte, votre assureur pour déclarer le sinistre. Le service 17Cyber vous aide à qualifier l’incident et à trouver un prestataire.
Sources
- La cybersécurité pour les TPE/PME en 13 questions – ANSSI
- MonAideCyber, le diagnostic cyber gratuit – MesServicesCyber (ANSSI)
- Rançongiciel : que faire si votre organisation est victime d’une attaque ? – Cybermalveillance.gouv.fr
- Que faire en cas de fraude au virement ou au « faux RIB » ? – Cybermalveillance.gouv.fr
- 17Cyber, assistance aux victimes de cybermalveillance – Cybermalveillance.gouv.fr