Une entreprise de cinq salariés arrive un lundi matin : tous les fichiers du serveur sont renommés, une note réclame une rançon, la facturation est bloquée, les plannings sont perdus. Ce scénario n’est pas réservé aux grands groupes. Les petites structures sont même les premières victimes, précisément parce qu’elles sont moins protégées.
Bonne nouvelle : une douzaine de mesures, la plupart simples et peu coûteuses, couvrent l’immense majorité des risques. Les voici, classées par ordre de priorité, avec un plan d’action sur 90 jours.
L’essentiel en 30 secondes
- Selon l’ANSSI, les TPE, PME et ETI restent en 2025 la catégorie la plus touchée par les rançongiciels.
- Les trois mesures qui sauvent : des sauvegardes déconnectées et testées, la double authentification, des mises à jour rapides.
- Le facteur humain reste décisif : hameçonnage et fraude au faux fournisseur passent par les personnes, pas par les machines.
- Préparez à l’avance une fiche « que faire en cas d’incident » : le jour J, personne n’a le temps de réfléchir.
Ce que disent les chiffres
Dans son Panorama de la cybermenace 2025, publié en mars 2026, l’ANSSI relève que les PME, TPE et ETI restent la catégorie de victimes la plus touchée par les rançongiciels, près de la moitié des cas concernant de petites structures. L’agence insiste aussi sur la vitesse d’exploitation des failles : une part importante des vulnérabilités est exploitée très peu de temps après leur publication.
Côté assistance aux victimes, Cybermalveillance.gouv.fr indique avoir reçu plus de 500 000 demandes en 2025, en hausse d’environ 20 %, avec l’hameçonnage en tête des menaces. Pour une entreprise, le scénario typique combine les deux : un e-mail piégé donne un accès, puis l’attaquant chiffre les données ou détourne des paiements.
Les 12 mesures, par ordre de priorité
| # | Mesure | Effort | Coût |
|---|---|---|---|
| 1 | Sauvegardes déconnectées et testées | Moyen | Faible à moyen |
| 2 | Double authentification | Faible | Nul |
| 3 | Mises à jour automatiques | Faible | Nul |
| 4 | Gestionnaire de mots de passe | Faible | Faible |
| 5 | Comptes sans droits d’administration | Moyen | Nul |
| 6 | Protection des postes | Faible | Faible |
| 7 | Réseau Wi-Fi séparé pour les invités | Faible | Faible |
| 8 | Chiffrement des portables | Faible | Nul |
| 9 | Sensibilisation des équipes | Moyen | Faible |
| 10 | Procédure anti-fraude au virement | Faible | Nul |
| 11 | Gestion des arrivées et départs | Faible | Nul |
| 12 | Plan de réponse à incident | Moyen | Nul |
1. Des sauvegardes déconnectées et testées
C’est la mesure qui permet de survivre à un rançongiciel. Une sauvegarde sur un disque branché en permanence ou sur un partage réseau accessible sera chiffrée en même temps que le reste. Appliquez la règle 3-2-1 : trois copies, sur deux supports, dont une hors site et, idéalement, une copie immuable ou hors ligne. Surtout, testez une restauration chaque trimestre : une sauvegarde jamais testée est une hypothèse, pas une protection. N’oubliez pas les données dans le cloud : Microsoft 365 et Google Workspace ne remplacent pas une vraie sauvegarde.
2. La double authentification partout
Messagerie, banque, comptabilité, nom de domaine, réseaux sociaux, accès à distance : activez la double authentification (MFA). Elle bloque l’essentiel des piratages de comptes, même quand un mot de passe a fuité. La CNIL en fait d’ailleurs une attente explicite pour les accès à distance aux données sensibles. Commencez par la messagerie : c’est elle qui permet de réinitialiser tous les autres mots de passe.
3. Des mises à jour automatiques et rapides
Systèmes, navigateurs, logiciels métier, mais aussi box, routeurs, pare-feu, NAS et caméras : la majorité des attaques exploite des failles déjà corrigées. Activez les mises à jour automatiques partout où c’est possible, surveillez les équipements exposés sur Internet et remplacez le matériel qui ne reçoit plus de correctifs.
4. Un gestionnaire de mots de passe
Un mot de passe long et unique par service, stocké dans un gestionnaire partagé par l’équipe avec des droits par dossier : c’est la seule méthode tenable au quotidien, et elle met fin au carnet sous le clavier.
5. Des comptes sans droits d’administrateur
Au quotidien, chacun travaille avec un compte standard. Les droits d’administration servent uniquement aux installations et sont réservés à une ou deux personnes. Un logiciel malveillant lancé depuis un compte standard fait beaucoup moins de dégâts.
6. La protection des postes
Un antivirus actif, à jour et surveillé sur chaque poste. Microsoft Defender, correctement configuré, offre une bonne base ; dès quelques postes, une console centrale permet de vérifier que la protection est active partout.
7. Un Wi-Fi séparé pour les visiteurs
Clients, fournisseurs, appareils personnels des salariés : tous sur un réseau invité, isolé de vos postes de travail, de votre serveur et de vos imprimantes.
8. Le chiffrement des ordinateurs portables
Un portable volé dans une voiture ne doit pas devenir une fuite de données. Activez BitLocker (Windows) ou FileVault (Mac) et conservez les clés de récupération en lieu sûr.
9. Sensibiliser les équipes
Une session d’une heure, deux fois par an, avec des exemples réels d’hameçonnage et de fraude, vaut mieux que bien des outils. L’objectif n’est pas de culpabiliser, mais de créer le réflexe de signaler un doute.
10. Une procédure anti-fraude au virement
Changement de RIB d’un fournisseur, virement urgent demandé par « le dirigeant » en déplacement : toute demande de ce type se vérifie par téléphone, au numéro habituel, jamais à celui indiqué dans le message. Une règle écrite, connue de tous, suffit à déjouer la plupart des tentatives.
11. Gérer les arrivées et les départs
Une liste des accès de chaque collaborateur (messagerie, logiciels, partages, téléphone, badge, alarme). Au départ, tout est coupé le jour même. Les comptes « fantômes » d’anciens salariés sont une porte d’entrée classique.
12. Un plan de réponse à incident
Une fiche d’une page affichée près du serveur : comment isoler un poste (débrancher le réseau sans l’éteindre), qui appeler (prestataire, assureur, banque), où sont les sauvegardes, comment prévenir les clients. En cas d’attaque, le 17Cyber permet de signaler l’incident et d’être orienté, et Cybermalveillance.gouv.fr référence des prestataires labellisés. Pensez aussi à la notification à la CNIL sous 72 heures si des données personnelles sont touchées.
Plan d’action sur 90 jours
- Semaine 1 : vérifier les sauvegardes et faire un test de restauration ; activer la MFA sur la messagerie et la banque ; lancer toutes les mises à jour en attente.
- Mois 1 : gestionnaire de mots de passe, comptes standards, Wi-Fi invité, chiffrement des portables.
- Mois 2 : sensibilisation de l’équipe, procédure anti-fraude, inventaire des accès.
- Mois 3 : plan de réponse à incident, sauvegarde immuable, audit des équipements exposés.
Exemple : la fraude au faux fournisseur
Scénario fréquent : la messagerie d’un fournisseur est piratée. L’attaquant observe les échanges pendant des semaines, puis envoie, depuis la vraie adresse, une facture avec un nouveau RIB. Rien ne distingue le message d’un e-mail habituel. Seule une règle interne (« tout changement de RIB est vérifié par téléphone au numéro connu ») permet de déjouer l’arnaque.
Questions fréquentes
Une TPE intéresse-t-elle vraiment les pirates ?
Oui. La plupart des attaques sont automatisées : elles visent les systèmes vulnérables et les personnes crédules, quelle que soit la taille de l’entreprise. Les petites structures paient parfois plus facilement, faute de sauvegardes.
Faut-il souscrire une cyber-assurance ?
Elle peut couvrir une partie des frais de remise en état et des pertes d’exploitation, mais les assureurs exigent de plus en plus des mesures de base comme la MFA et des sauvegardes déconnectées. Ces mesures sont donc à mettre en place dans tous les cas.
Faut-il payer la rançon ?
Les autorités le déconseillent : rien ne garantit la restitution des données, et le paiement finance de nouvelles attaques. D’où l’importance de sauvegardes fiables.
Combien de temps faut-il pour mettre en place ces mesures ?
Les trois premières peuvent l’être en une semaine. L’ensemble se met en place en trois mois environ pour une petite structure, sans bouleverser son activité.
Par où commencer concrètement ?
Par un état des lieux. Notre audit de cybersécurité identifie vos points faibles et vous remet un plan d’action priorisé et chiffré.
Sources
- ANSSI, Panorama de la cybermenace 2025 (mars 2026).
- Cybermalveillance.gouv.fr, rapport d’activité 2025 (mars 2026).
- CNIL, rapport annuel 2025 et recommandation sur l’authentification multifacteur.
Besoin d’un accompagnement ?
MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Demandez un devis gratuit ou appelez le 05 32 42 99 98.
