Pourquoi les PME sont devenues les principales cibles
Contrairement aux idées reçues, les cybercriminels ne recherchent pas uniquement des entreprises connues. Ils cherchent des organisations faciles à compromettre, peu préparées et disposant de données exploitables. Une PME répond souvent à ces trois critères à la fois.
L’automatisation des attaques permet aujourd’hui de scanner des milliers d’entreprises en quelques minutes. Un serveur mal configuré, un VPN vulnérable ou un mot de passe faible suffisent à identifier une opportunité. Dans la majorité des cas, l’attaque n’est même pas ciblée — votre entreprise se trouve simplement sur la liste.
Croire que « nous sommes trop petits pour être ciblés » est l’une des convictions les plus dangereuses. Les PME représentent aujourd’hui plus de 60 % des victimes de ransomware en Europe.
Une attaque ne concerne plus seulement le service IT
Quand une cyberattaque survient, ses conséquences dépassent largement le cadre technique. Elle touche l’ensemble de l’organisation.
- ×Arrêt de la production
- ×Impossibilité de facturer
- ×Perte de données critiques
- ×Indisponibilité de Microsoft 365
- ×Paralysie des équipes
- !Fuite de données personnelles
- !Atteinte à la réputation
- !Obligation de notification RGPD
- !Perte de confiance clients
- !Coûts de remédiation
La cybersécurité est désormais un sujet de gouvernance et de continuité d’activité, au même titre que la gestion financière ou la conformité réglementaire. Elle ne peut plus être déléguée uniquement au service informatique.
La menace en quelques chiffres
Les 5 cyberattaques les plus fréquentes
Comprendre le fonctionnement des attaques est la première étape pour s’en défendre. Voici les menaces que nos experts rencontrent le plus souvent dans les PME de la Côte d’Azur.
Un utilisateur ouvre un fichier malveillant. Le malware se propage silencieusement dans le réseau pendant plusieurs jours, avant de chiffrer l’ensemble des serveurs et postes. L’entreprise ne peut plus accéder à rien.
- Ouverture d’un fichier ou d’un lien malveillant
- Propagation discrète dans le réseau (parfois plusieurs semaines)
- Chiffrement des serveurs, postes et sauvegardes en ligne
- Demande de rançon — payer ne garantit jamais la récupération des données
Sauvegardes isolées testées régulièrement + EDR sur tous les postes + segmentation réseau.
Un email imite parfaitement Microsoft 365, une banque, un fournisseur ou une administration. Un seul clic suffit à compromettre un compte, puis potentiellement l’ensemble du système d’information.
Les faux emails ciblent aujourd’hui : Microsoft, DHL, Chronopost, banques, fournisseurs, Urssaf, impôts. La qualité des imitations est souvent remarquable — seule la sensibilisation régulière permet de s’en protéger efficacement.
Sans authentification multifacteur (MFA), un mot de passe compromis permet d’accéder à emails, Teams, SharePoint, OneDrive, contacts et documents confidentiels — en quelques secondes, depuis n’importe où dans le monde.
La sécurisation des identités est devenue la priorité absolue. C’est la première mesure que nous recommandons systématiquement lors de nos audits.
Chaque logiciel comporte régulièrement des failles. Quand un correctif est publié mais non installé, les attaquants disposent parfois de plusieurs semaines pour l’exploiter. Les audits révèlent encore très souvent : Windows non mis à jour, équipements réseau obsolètes, VPN vulnérables, NAS exposés sur Internet.
Mot de passe partagé entre collègues, fichier sensible envoyé au mauvais destinataire, clé USB inconnue branchée, pièce jointe ouverte sans vérification, poste personnel non sécurisé utilisé pour accéder au SI.
Former régulièrement les utilisateurs reste l’un des investissements les plus rentables en cybersécurité. Une seule session de sensibilisation par an ne suffit pas.
Les secteurs les plus exposés sur la Côte d’Azur
Toutes les entreprises sont concernées, mais certains secteurs présentent un niveau de risque supérieur en raison des données qu’ils manipulent ou des services critiques qu’ils assurent.
Ralentissements inhabituels, connexions depuis des pays étrangers, création de nouveaux comptes administrateurs, antivirus désactivé, sauvegardes qui échouent, alertes Microsoft 365 répétées, connexions nocturnes inhabituelles — ces événements doivent toujours être analysés rapidement, même s’ils paraissent anodins.
Les 10 piliers d’une PME réellement sécurisée
Ces 10 mesures forment la base d’une posture de sécurité solide. Elles sont classées par priorité et niveau de difficulté — commencez par les deux premières, elles couvrent à elles seules la majorité des vecteurs d’attaque courants.
Le MFA ajoute une deuxième vérification après le mot de passe (SMS, application mobile, clé physique). Un mot de passe volé devient inutile sans ce second facteur. Selon Microsoft, le MFA bloque plus de 99,9 % des attaques par compromission de compte.
- Activer sur Microsoft 365 en priorité — emails, Teams, SharePoint
- Activer sur les VPN — porte d’entrée très ciblée
- Activer sur tous les comptes administrateurs sans exception
- Utiliser une application d’authentification (Microsoft Authenticator) plutôt que le SMS
Microsoft 365 concentre emails, documents, contacts et communications — un accès non autorisé donne accès à l’ensemble de votre SI. La configuration par défaut n’est pas suffisamment sécurisée pour la plupart des PME.
- Activer Microsoft Defender — protection anti-phishing, anti-malware, anti-spam avancée
- Configurer les politiques de sécurité (conditional access, safe links, safe attachments)
- Auditer régulièrement les permissions et partages SharePoint
- Activer les journaux d’audit — indispensable pour détecter une compromission
- Configurer une sauvegarde tierce de Microsoft 365 (non inclus par défaut)
La règle 3-2-1-1-0 est la référence actuelle : 3 copies des données, sur 2 supports différents, dont 1 hors site, 1 immuable (non modifiable par un ransomware), et 0 erreur lors des tests de restauration.
- Tester la restauration régulièrement — une sauvegarde non testée est une sauvegarde de valeur inconnue
- Sauvegarder Microsoft 365 avec un outil tiers (Veeam, Acronis, Backupify)
- Isoler les sauvegardes du réseau de production — un ransomware chiffre tout ce qu’il atteint
- Définir un délai de rétention suffisant (minimum 30 jours)
Un EDR (Endpoint Detection and Response) analyse en temps réel les comportements suspects sur les postes et serveurs — contrairement à un antivirus classique qui se contente de signatures connues. Il détecte les attaques avant qu’elles n’aient causé des dommages irréparables.
- Déployer sur tous les postes et serveurs sans exception
- Configurer les alertes et réponses automatiques
- Solutions adaptées aux PME : Microsoft Defender for Endpoint, SentinelOne, Bitdefender GravityZone
- Assurer une surveillance active des alertes — un EDR non surveillé ne sert à rien
Chaque mois, Microsoft, Cisco, VMware et des dizaines d’éditeurs publient des correctifs de sécurité critiques. Ne pas les installer rapidement laisse une fenêtre d’exploitation que les attaquants exploitent systématiquement.
- Définir une politique de mise à jour avec délais maximum (72h pour les critiques)
- Automatiser les mises à jour Windows via WSUS ou Intune
- Inclure les équipements réseau (switchs, firewall, VPN) — souvent oubliés
- Maintenir un inventaire à jour de tous les systèmes et leurs versions
Un réseau plat (sans segmentation) permet à un ransomware de se propager à l’ensemble des systèmes en quelques minutes. La segmentation divise le réseau en zones isolées — compromettre une zone ne compromet pas les autres.
- Séparer les VLAN (serveurs, postes, IoT, invités, DMZ)
- Appliquer le principe du moindre privilège — accès minimum nécessaire
- Configurer les règles de filtrage entre segments
- Isoler les sauvegardes et les serveurs critiques
Les outils ne suffisent pas si les utilisateurs ne savent pas reconnaître un email de phishing ou appliquer les bonnes pratiques. La formation n’est pas un coût — c’est le meilleur rapport coût/efficacité en cybersécurité.
- Sensibilisation régulière — au moins deux fois par an, pas uniquement à l’arrivée
- Simulations de phishing — mesurent le niveau réel de vigilance
- Définir une procédure de signalement des emails suspects
- Onboarding et offboarding des collaborateurs — révocation des accès le jour du départ
Un PRA définit comment reprendre l’activité après une cyberattaque — quoi faire, qui fait quoi, dans quel ordre. Sans ce document, une PME peut perdre plusieurs semaines à improviser une réponse, avec des coûts exponentiels.
- Définir les systèmes critiques et leurs délais de reprise acceptables (RTO/RPO)
- Documenter les procédures de restauration étape par étape
- Identifier les contacts d’urgence (prestataires, assurance cyber, ANSSI)
- Tester le PRA au moins une fois par an — les surprises du jour J sont garanties sinon
Le délai moyen entre une intrusion et sa détection est de 21 jours. Pendant ce temps, les attaquants cartographient le réseau, élèvent leurs privilèges et préparent l’attaque finale. La supervision réduit ce délai à quelques heures.
- Activer et configurer les journaux d’audit Windows, Azure, Microsoft 365
- Mettre en place un SIEM ou un service de SOC managé pour analyser les alertes
- Surveiller les connexions inhabituelles (pays, horaires, volume)
- Configurer des alertes automatiques sur les événements critiques
Un audit de sécurité photographie l’état réel de votre SI — il identifie les failles avant qu’un attaquant ne le fasse. La directive NIS2, en vigueur depuis 2024, étend les obligations de cybersécurité à de nombreuses PME en Europe.
- Audit technique : analyse des vulnérabilités, test d’intrusion
- Audit organisationnel : processus, politiques, gestion des identités
- Vérifier si votre entreprise est soumise à NIS2 (secteurs essentiels et importants)
- Documenter votre politique de sécurité — exigée par NIS2 et de nombreux clients grands comptes
Avec ou sans MFA : la différence en chiffres
| Scénario | Sans MFA | Avec MFA |
|---|---|---|
| Mot de passe volé ou deviné | Accès immédiat au compte | Accès bloqué — deuxième facteur requis |
| Attaque par force brute | Risque élevé si mot de passe faible | Inefficace sans le second facteur |
| Phishing réussi | Identifiants compromis = accès total | Identifiants seuls insuffisants |
| Connexion depuis un pays étranger | Aucune alerte par défaut | Détection et blocage possibles |
| Propagation dans Microsoft 365 | Accès complet aux emails, fichiers, Teams | Limité sans validation du second facteur |
| Coût de mise en place | 0 € mais risque maximal | Inclus dans Microsoft 365 Business Standard |
Avant, pendant et après une cyberattaque
Que faire quand une attaque survient ? Les entreprises les mieux préparées ont documenté leurs réponses avant l’incident — pas pendant, quand le stress et la pression empêchent de raisonner clairement.
Construire sa résilience
- Documenter le PRA et tester les sauvegardes
- Identifier les contacts d’urgence (prestataire, assurance cyber, ANSSI)
- Définir la procédure d’escalade interne
- Former les équipes à reconnaître une attaque
- Souscrire une assurance cyber adaptée
Contenir et documenter
- Isoler immédiatement les systèmes touchés du réseau
- Ne pas éteindre les machines — conserver les preuves en mémoire
- Appeler le prestataire et activer la cellule de crise
- Documenter tout ce qui est observé avec des captures d’écran
- Notifier la direction, les équipes et les clients si nécessaire
- Déposer une plainte (obligatoire pour l’assurance cyber)
Restaurer et apprendre
- Restaurer depuis les sauvegardes isolées après nettoyage complet
- Réinitialiser tous les mots de passe et revoir les accès
- Analyser le vecteur d’entrée pour combler la faille
- Notifier la CNIL si des données personnelles ont été compromises (72h)
- Organiser un retour d’expérience et mettre à jour le PRA
Les erreurs que nos experts voient le plus souvent en audit
Ces erreurs ne sont pas des négligences — ce sont des priorités qui ont été continuellement repoussées. Prises isolément, elles semblent sans gravité. Combinées, elles ouvrent la porte à une attaque.
Aucun MFA sur Microsoft 365
Un mot de passe volé donne accès à emails, SharePoint, OneDrive, Teams et contacts clients. L’activation du MFA prend moins de 30 minutes et bloque immédiatement ce risque.
Des sauvegardes qui existent mais que personne ne teste
La découverte d’une restauration impossible se fait généralement le jour d’un incident grave. Une sauvegarde non testée n’a pas de valeur connue.
Les comptes administrateurs servent au quotidien
Consulter ses emails avec un compte admin expose l’ensemble du SI à chaque clic sur un lien malveillant. Les comptes privilégiés doivent être réservés aux opérations techniques.
Les droits d’accès ne sont jamais revus
Collaborateurs partis, anciens prestataires, comptes de test — chaque compte inutile est une surface d’attaque supplémentaire. Un audit des identités annuel est indispensable.
Les mises à jour sont repoussées indéfiniment
« Nous le ferons la semaine prochaine. » Cette phrase est probablement responsable de milliers d’incidents chaque année. Les correctifs critiques doivent être installés sous 72 heures.
Auto-évaluation : quel est votre niveau de protection ?
Répondez par Oui ou Non à chaque point. Comptez vos réponses positives et reportez-vous au tableau d’interprétation.
- MFA activé sur tous les comptes Microsoft 365
- Comptes administrateurs séparés des comptes utilisateurs
- Gestionnaire de mots de passe utilisé par les équipes
- Comptes inactifs supprimés (ex-collaborateurs, prestataires)
- Sauvegarde quotidienne de tous les serveurs
- Sauvegarde externalisée hors site
- Sauvegarde immuable (non modifiable)
- Test de restauration effectué dans les 6 derniers mois
- Tous les serveurs et postes sont à jour
- Firewall correctement configuré et audité
- EDR déployé sur tous les postes et serveurs
- Réseau segmenté (VLAN)
- Formation cybersécurité réalisée dans l’année
- Simulation de phishing organisée
- Procédure de signalement d’email suspect définie
- Procédure d’arrivée et départ des collaborateurs documentée
- PRA documenté et à jour
- PCA défini pour les activités critiques
- Procédure de gestion de crise connue des équipes
- Liste des contacts d’urgence disponible hors SI
NIS2 : êtes-vous concerné ?
La directive NIS2, transposée en droit français, étend les obligations de cybersécurité à de nombreuses organisations qui n’étaient pas concernées par NIS1. Même si vous n’y êtes pas soumis directement, elle constitue une excellente base de travail.
| Secteur | Taille | Obligation NIS2 |
|---|---|---|
| Énergie, transport, santé, eau | Toute taille | Entité essentielle — obligations maximales |
| Finance, infrastructure numérique | Toute taille | Entité essentielle |
| Services postaux, gestion déchets, chimie | > 50 salariés ou > 10M€ CA | Entité importante |
| Sous-traitants de secteurs essentiels | Variable | Peut être concerné indirectement |
| PME hors secteurs listés | < 50 salariés | Non soumis — mais bonnes pratiques recommandées |
Même lorsque NIS2 ne s’applique pas directement, vos clients grands comptes ou donneurs d’ordre vous demanderont de plus en plus souvent de justifier votre niveau de cybersécurité. Se préparer maintenant vous donne un avantage concurrentiel.
Tout ce que vous voulez savoir sur la cybersécurité PME
Une PME est-elle vraiment une cible pour les cybercriminels ?▼
Oui. Les cybercriminels automatisent leurs attaques — la taille de l’entreprise n’est plus un critère de sélection. Ils cherchent des systèmes vulnérables, des données exploitables et des entreprises peu préparées. Les PME répondent souvent à ces trois critères.
Le MFA suffit-il à protéger mon entreprise ?▼
Non, mais c’est la mesure la plus efficace par rapport à son coût. Il doit être complété par des sauvegardes testées, un EDR, des mises à jour régulières, une formation des utilisateurs et une supervision active.
Quelle est la première mesure à mettre en place ?▼
L’activation du MFA sur Microsoft 365 et les VPN. C’est généralement la mesure offrant le meilleur rapport efficacité/coût. Elle peut être déployée en moins d’une journée et bloque immédiatement la très grande majorité des tentatives de compromission de comptes.
Combien coûte un audit de cybersécurité ?▼
Le coût dépend du nombre de sites, du nombre d’utilisateurs, de la complexité de l’infrastructure et des objectifs de l’audit. Chez UNTHUB, chaque projet commence par un échange sans engagement pour définir le périmètre réellement utile et chiffrer précisément.
Dois-je être conforme à NIS2 ?▼
Cela dépend de votre secteur d’activité et de votre taille. Les secteurs essentiels (énergie, transport, santé, finance) sont directement concernés. Les sous-traitants de ces secteurs peuvent l’être indirectement. Même sans obligation directe, les exigences de vos clients grands comptes vont dans le même sens.
Faut-il sauvegarder Microsoft 365 ?▼
Oui. Contrairement à une idée répandue, Microsoft ne garantit pas la restauration de vos données en cas de suppression accidentelle, d’attaque ransomware ou d’erreur de configuration. La corbeille a des délais limités. Une sauvegarde tierce (Veeam, Acronis, Backupify) est indispensable.
Qu’est-ce qu’un EDR et en ai-je besoin ?▼
Un EDR (Endpoint Detection and Response) analyse en temps réel les comportements suspects sur les postes et serveurs. Contrairement à un antivirus classique qui détecte les menaces connues, l’EDR détecte les comportements anormaux. À partir de 10 postes, nous le considérons comme indispensable.
Quels sont les premiers signaux d’une cyberattaque en cours ?▼
Ralentissements inhabituels, connexions depuis des pays étrangers, nouveaux comptes administrateurs créés sans raison, antivirus désactivé ou modifié, sauvegardes qui échouent, alertes Microsoft 365 répétées. Ces signaux doivent toujours être analysés rapidement.
Doit-on payer la rançon en cas de ransomware ?▼
Non — payer la rançon ne garantit jamais la récupération des données. Les organisations qui s’en sortent le mieux sont celles qui disposaient de sauvegardes isolées et testées avant l’attaque. Payer finance également les attaquants et les encourage à recommencer.
Comment préparer mon entreprise sans budget DSI important ?▼
Commencez par les mesures à coût faible et fort impact : MFA (inclus dans Microsoft 365), mises à jour régulières, sensibilisation des équipes, vérification des sauvegardes. Ces quatre actions couvrent déjà la majorité des vecteurs d’attaque courants.
Ressources associées
Quel est le niveau de sécurité réel de votre entreprise ?
Nos experts UNTHUB réalisent des audits adaptés aux PME des Alpes-Maritimes — infrastructure, Microsoft 365, sauvegardes, cloud, gouvernance. Diagnostic personnalisé sous 48 heures.