Une petite structure n’est pas visée, elle est ramassée au filet. Le socle qui la protège tient en sept mesures, et leur ordre compte davantage que leur nombre.
Une petite structure est attaquée parce qu’elle est facile à ouvrir, jamais parce qu’elle a été choisie. Le socle utile tient en sept mesures : double authentification sur la messagerie et la banque, sauvegarde hors ligne testée, un compte nominatif par personne, mises à jour automatiques, procédure de paiement à deux personnes, gestionnaire de mots de passe partagé, fiche réflexe affichée. L’ordre compte : les deux premières couvrent les deux façons de mourir, perdre ses accès et perdre ses données. Le reste vient après.
Vous êtes six. La comptabilité tourne sur un logiciel installé sur un poste, les devis dorment dans un dossier partagé, les factures arrivent sur une adresse contact@ que trois personnes consultent. Personne n’a le titre d’informaticien, et le prestataire qui a câblé le réseau est passé il y a quatre ans.
Un lundi matin, tous les fichiers du dossier partagé portent une extension inconnue et un fichier texte réclame un paiement. Autre version du même lundi : un virement de 14 000 euros est parti vers un compte qui n’est pas celui du fournisseur. Dans les deux cas, la question du soir est identique : par quoi aurait-il fallu commencer.
Il existe une réponse courte. Non pas la liste des quarante-deux bonnes pratiques, mais une séquence : ce qui ferme le plus d’incidents pour le moins d’argent, puis ce qui vient ensuite. L’ordre compte plus que le nombre, parce qu’une petite structure n’applique jamais toute une liste.
La question « pourquoi nous ? » n’a pas de réponse parce qu’elle n’a pas d’objet. L’essentiel des attaques qui touchent une petite structure ne visent personne. Des programmes balaient en continu les adresses publiques à la recherche d’un accès distant ouvert, d’un partage de fichiers exposé, d’un équipement resté sur son mot de passe d’usine. En parallèle, des identifiants issus d’anciennes fuites sont rejoués automatiquement sur les services les plus répandus.
Le critère de sélection n’est pas la valeur de la cible, c’est le coût de l’entrée. Une messagerie sans second facteur s’ouvre pour quelques centimes de calcul : c’est cette économie qui décide, pas votre chiffre d’affaires. Le rançongiciel s’est industrialisé sur ce modèle : des groupes fournissent l’outil, des affiliés cherchent des portes, et personne ne lit le nom sur la façade avant d’entrer.
S’ajoute une raison que l’on découvre plus tard : vous êtes une porte vers vos clients. Un cabinet comptable, une agence, un installateur qui garde un accès distant chez ses clients valent d’abord par leur carnet d’adresses. Une facture expédiée depuis votre vraie boîte, avec votre logo et l’historique de la conversation, reste le meilleur support de fraude qui existe.
Quand une petite structure raconte une attaque, elle parle de la rançon. Quand elle fait ses comptes six mois plus tard, elle parle des jours pendant lesquels rien n’est sorti : pas de devis, pas de facture, pas de bon de livraison, pas de planning, pas d’historique client au téléphone.
Cette structure de coût commande toute la priorisation qui suit : une mesure qui raccourcit l’interruption vaut mieux qu’une mesure qui abaisse légèrement une probabilité. L’instinct pousse à acheter de la détection, alors que le rendement se trouve dans la capacité à redémarrer.
Un point d’assurance se découvre souvent trop tard. Depuis la loi d’orientation et de programmation du ministère de l’intérieur de janvier 2023, l’indemnisation des pertes causées par une atteinte à un système d’information, dans le cadre d’une activité professionnelle, est subordonnée au dépôt d’une plainte dans les soixante-douze heures suivant la connaissance des faits. Ce délai court avant même que vous ayez compris ce qui vous arrive.
Le tableau ci-dessous classe le socle par rendement décroissant : ce que la mesure ferme, ce qu’elle coûte en 2026 pour une structure de cinq à vingt personnes, et le temps à y consacrer.
| Rang | Mesure | Ce qu’elle ferme | Coût annuel indicatif | Temps de mise en place |
|---|---|---|---|---|
| 1 | Second facteur sur la messagerie, la banque et les accès distants | Prise de contrôle de compte, rejeu d’identifiants volés | 0 à 70 euros par clé physique | Une demi-journée |
| 2 | Sauvegarde hors ligne, avec restauration testée | Rançongiciel, panne matérielle, suppression, départ conflictuel | 100 à 600 euros | Une journée, puis un test par trimestre |
| 3 | Un compte nominatif par personne, droits d’administration séparés | Propagation d’une infection, absence de traçabilité, accès d’un ancien salarié | 0 | Une journée |
| 4 | Mises à jour automatiques et sortie du matériel hors support | Exploitation de failles publiques et corrigées depuis des mois | Renouvellement du matériel | Deux heures, puis continu |
| 5 | Procédure de paiement écrite, validation par deux personnes | Fraude au virement, faux fournisseur, faux dirigeant | 0 | Une heure |
| 6 | Gestionnaire de mots de passe partagé par l’équipe | Réutilisation, secrets dans un tableur, dépendance à une personne | 3 à 6 euros par personne et par mois | Une demi-journée |
| 7 | Authentification du domaine de messagerie et fiche réflexe affichée | Usurpation de votre nom auprès de vos clients, délai de réaction | 0 | Deux à trois heures |
Les deux premières lignes ne sont pas là par hasard : elles couvrent les deux façons de mourir. Perdre ses accès, c’est la ligne 1. Perdre ses données, c’est la ligne 2, détaillée dans la sauvegarde d’une petite structure. Tout le reste réduit la fréquence des incidents ; ces deux-là réduisent leurs conséquences, ce qui n’est pas la même chose et vaut nettement plus cher.
Une petite structure protège spontanément ses fichiers et néglige sa boîte aux lettres. C’est l’inverse qu’il faut faire : la messagerie professionnelle reçoit les liens de réinitialisation de tous les autres comptes, la banque, le portail de l’URSSAF, le logiciel de paie, le domaine internet. Qui tient la boîte tient le reste, sans rien casser.
Le mode opératoire d’une boîte compromise est stable et silencieux : une règle de tri détourne les messages contenant « facture » ou « IBAN », l’attaquant lit les échanges pendant des semaines, puis répond dans un fil existant au moment où sa demande paraît attendue. Ce n’est plus une imitation, c’est la vraie conversation qui continue. C’est le ressort de la fraude au virement, traité à part.
Trois vérifications, une fois puis chaque trimestre : les règles de transfert automatique de chaque boîte, les délégations et accès partagés, et les mots de passe d’application, ces secrets alternatifs qui contournent le second facteur. Une règle de redirection inconnue vaut alerte immédiate. Côté sortant, faites publier les enregistrements SPF, DKIM et DMARC de votre domaine : sans eux, n’importe qui écrit à vos clients sous votre nom.
Reste l’adresse générique. Une boîte contact@ relevée par quatre personnes avec le même mot de passe interdit toute traçabilité, toute révocation individuelle et tout second facteur propre. Transformez-la en boîte partagée alimentant des comptes nominatifs : la fonctionnalité existe chez tous les fournisseurs professionnels.
Le compte unique partagé est la marque de fabrique des petites organisations. Il paraît pratique et coûte trois choses : on ne sait jamais qui a fait quoi, on ne peut retirer l’accès à une personne sans le retirer à toutes, et le mot de passe suit les anciens salariés indéfiniment. Le compte nominatif est gratuit.
Séparez aussi les droits. Sur chaque poste, un compte administrateur distinct du compte de travail quotidien limite ce qu’un fichier piégé peut installer. Un compte d’administration sert à installer un logiciel, jamais à lire ses courriels : la règle est ancienne et reste la plus efficace contre la propagation.
La même discipline s’applique aux prestataires. Le comptable externe, l’agence web, l’ancien dépanneur ont souvent gardé un accès distant ou un compte administrateur. Tenez une liste des accès externes avec un nom, une date et une raison, et supprimez tout ce qui n’a plus de raison. Le travail à distance ajoute une catégorie supplémentaire à surveiller : les appareils personnels qui synchronisent des dossiers professionnels.
Entre la publication d’un correctif et son installation s’ouvre une fenêtre pendant laquelle la faille est connue de tous, y compris de ceux qui l’exploitent. Les attaques de masse ciblent presque exclusivement des vulnérabilités déjà corrigées : elles parient sur le retard, pas sur la découverte. Activer les mises à jour automatiques ferme cette fenêtre sans travail humain.
Reste l’obstacle classique : le logiciel métier qui « ne marche qu’avec l’ancienne version », donc le poste qu’on n’ose plus toucher, qui tourne sans correctif sur le même réseau que tout le reste. Deux réponses seulement : migrer le logiciel, ou isoler la machine du réseau et du dossier partagé, en la traitant comme un appareil de mesure. La fin de support d’un système se planifie douze mois à l’avance.
Les équipements oubliés forment l’autre angle mort. La box, le boîtier de stockage réseau, l’imprimante multifonction, les caméras de surveillance sont des ordinateurs complets, avec un système, un compte administrateur et des failles. Presque aucun n’a été mis à jour depuis l’installation, et beaucoup ont gardé leur mot de passe d’usine, publié dans la documentation du fabricant.
L’article 32 du RGPD fixe une obligation de sécurité proportionnée au risque, sans seuil d’effectif : l’artisan qui détient les coordonnées de ses clients relève du même texte qu’un grand groupe, avec des attentes adaptées à ses moyens. En pratique, la CNIL regarde trois points chez une petite structure : qui a accès à quoi, comment les accès sont retirés, et si une sauvegarde existe.
Deuxième idée fausse : la dispense de registre. Le RGPD prévoit un allègement pour les organismes de moins de 250 salariés, mais il tombe dès que le traitement n’est pas occasionnel ou qu’il porte sur des données sensibles. La paie, le fichier clients et le fichier des adhérents sont par nature réguliers : la quasi-totalité des petites structures doit tenir un registre, pour lequel la CNIL publie un modèle simplifié.
Troisième point, le plus opérationnel : la fuite. Si une attaque expose des données personnelles, l’organisme dispose de soixante-douze heures pour notifier la CNIL, et doit informer les personnes concernées quand le risque est élevé. Ce délai est le même que celui de la plainte pour l’assurance, ce qui simplifie la consigne. Le contenu attendu de cette notification de violation de données mérite d’être connu avant d’en avoir besoin.
Enfin, la directive européenne NIS 2 impose des obligations de cybersécurité à des entités moyennes et grandes de secteurs listés : la très grande majorité des TPE et des associations reste hors de son champ direct. Mais leurs clients y sont soumis et répercutent les exigences par contrat, sous forme de questionnaire de sécurité avant référencement ou d’obligation d’avertir en cas d’incident. Beaucoup de petites structures découvrent la cybersécurité par un appel d’offres, pas par une attaque.
Une politique de sécurité de quarante pages ne sera pas lue. Trois documents courts changent le comportement, à condition d’être affichés ou distribués.
La charte informatique. Elle dit ce qui est permis avec le matériel et les comptes : usage personnel toléré, interdiction d’installer des logiciels, obligation de signaler un incident sans crainte de sanction. Pour être opposable à un salarié, elle doit être annexée au règlement intérieur, obligatoire à partir de cinquante salariés, ou portée à la connaissance de chacun par note de service. Le comité social et économique, obligatoire dès onze salariés, est consulté.
La procédure de paiement. Une page : qui peut engager une dépense, qui la valide, quel seuil déclenche un contrôle par une seconde personne, comment un changement de coordonnées bancaires se vérifie. Elle vaut protection juridique autant que technique.
La fiche réflexe incident. Un recto, affiché près des postes et conservé en version papier, parce qu’il doit rester lisible quand les fichiers sont chiffrés : isoler en débranchant le réseau sans éteindre la machine, ne rien restaurer avant d’avoir compris par où l’entrée s’est faite, puis les numéros à appeler, le nom de l’assureur et le numéro de contrat. Ajoutez-y la seule formation qui produise un effet mesurable : apprendre à chacun à reconnaître un message de pression, ce que décrit l’anatomie d’un hameçonnage.
Dans une petite structure, les mots de passe vivent dans trois endroits : la mémoire du dirigeant, un tableur nommé « codes » et un carnet. Les trois échouent au même moment, celui où la personne qui sait est absente ou partie. Un gestionnaire d’équipe résout un problème d’organisation avant un problème de sécurité : il rend les accès transmissibles.
Le principe reste celui du coffre chiffré, avec en plus des coffres partagés par service et une administration centrale qui permet de retirer un accès sans changer tous les secrets. La règle d’usage tient en une phrase : chaque compte a un secret unique, généré par l’outil, et seuls deux ou trois secrets sont mémorisés, dont celui du coffre lui-même. Ce dernier doit être une phrase longue, car la longueur pèse davantage que les caractères spéciaux.
Ajoutez la double authentification sur le coffre, la messagerie et la banque. Sur ces comptes-là, une clé physique vaut mieux qu’un code reçu par SMS, vulnérable au détournement de ligne. Comptez deux clés par personne, la seconde rangée ailleurs, et gardez les codes de récupération sur papier, hors du bâtiment principal.
Devant chaque dépense et chaque décision, posez deux questions dans cet ordre. Si ce compte tombe aujourd’hui, qu’est-ce qui tombe avec lui ? Et combien d’heures faut-il pour travailler à nouveau sans lui ? La première question désigne les comptes à protéger en priorité, presque toujours la messagerie et la banque. La seconde arbitre entre toutes les mesures restantes : à budget égal, celle qui raccourcit le retour à l’activité l’emporte sur celle qui promet d’éviter l’attaque.
Pour le socle décrit ici, non : la double authentification, les comptes nominatifs et la fiche réflexe se mettent en place sans compétence particulière. Un prestataire devient utile pour trois choses : la configuration de la sauvegarde et son test de restauration, l’authentification du domaine de messagerie, et la réponse à un incident réel. Demandez un contrat qui précise un délai d’intervention et qui inclut au moins un test de restauration par an, pas seulement une supervision. Le label ExpertCyber, délivré par Cybermalveillance.gouv.fr, permet d’identifier des prestataires vérifiés.
Oui pour le RGPD, qui ne distingue pas selon la forme juridique : un fichier d’adhérents, des dons, des inscriptions d’enfants sont des traitements de données personnelles, avec les mêmes obligations de sécurité et le même délai de 72 heures pour notifier une violation. Les associations cumulent deux fragilités propres : des bénévoles qui changent souvent, donc des accès qui ne sont jamais révoqués, et des comptes partagés sous une adresse générique. Voir les droits que le RGPD ouvre aux personnes dont vous détenez les données.
Il arrive loin derrière les mesures de ce socle. Les systèmes récents intègrent une protection qui couvre l’essentiel des menaces courantes, et aucun antivirus n’arrête un identifiant volé rejoué sur votre messagerie ni un virement autorisé par erreur. Un produit tiers se justifie surtout quand il apporte une console d’administration centralisée, qui permet de voir d’un seul écran quels postes ne sont plus à jour. C’est cette visibilité que vous achetez, pas une détection supérieure.
Isolez sans éteindre : débranchez le câble réseau ou coupez le wifi des postes touchés, laissez-les allumés pour préserver les traces. Prévenez la banque si un paiement est en jeu, puis appelez le 17Cyber, guichet public qui oriente vers la bonne réponse. Déposez plainte rapidement, le délai de 72 heures conditionne votre assurance. Si des données personnelles sont concernées, la CNIL doit être informée dans le même délai. Ne restaurez rien avant d’avoir compris par où l’attaquant est entré.
Il déplace le périmètre plutôt qu’il ne l’agrandit. Les trois points qui changent réellement : l’ordinateur personnel utilisé pour le travail, qui échappe à vos mises à jour et à votre sauvegarde ; le partage de la connexion domestique avec des appareils que vous ne contrôlez pas ; et l’impossibilité de vérifier une demande étrange en se levant pour aller voir la personne. C’est ce dernier point qui explique la hausse des fraudes au virement en organisation distribuée.
Les liens ci-dessus renvoient vers les textes et les organismes cités. Les dates de consultation sont celles de la dernière relecture, le 13 septembre 2026.
Dans ce thème
Dans la rubrique
Mots de passe, arnaques, fuites de données et réflexes qui changent vraiment quelque chose.