La cybersécurité paraît réservée aux grandes structures. C'est une idée fausse, et coûteuse : la majorité des compromissions que nous analysons n'exploitent aucune prouesse technique. Elles reposent sur un mot de passe réutilisé, un logiciel jamais mis à jour, un compte d'ancien salarié resté actif.
Autrement dit : quelques mesures simples écartent la grande majorité du risque réel.
1. Un mot de passe unique par service
C'est la mesure la plus efficace, et la plus négligée. Le mécanisme est simple : un site de commerce mal protégé se fait voler sa base de données. Votre adresse e-mail et votre mot de passe s'y trouvent. Les attaquants les essaient automatiquement sur des centaines d'autres services — banque, messagerie, réseaux sociaux. Si vous avez réutilisé ce mot de passe, tout tombe.
Retenir cinquante mots de passe différents est impossible : c'est le rôle d'un gestionnaire de mots de passe. Vous n'en mémorisez plus qu'un seul, long, et il protège tous les autres.
Une phrase longue vaut mieux qu'un enchevêtrement de symboles : chevalPorteDouzeMangues! résiste bien mieux que P@ssw0rd!, tout en étant plus facile à retenir.
2. La double authentification là où elle compte
Elle ajoute une seconde preuve d'identité au-delà du mot de passe. Même si celui-ci fuite, l'attaquant est bloqué.
Ne cherchez pas à l'activer partout d'un coup. Trois comptes en priorité :
- votre messagerie principale — elle commande la réinitialisation de tout le reste ;
- vos accès bancaires et de paiement mobile ;
- vos réseaux sociaux professionnels, dont la prise de contrôle atteint directement votre réputation.
Préférez une application d'authentification au SMS : le détournement de carte SIM, bien réel, contourne l'envoi par SMS.
3. Des mises à jour appliquées
Une mise à jour n'apporte pas que des nouveautés : elle corrige des failles désormais publiques. Le jour où un correctif paraît, la faille qu'il comble devient connue de tous — y compris de ceux qui cherchent des machines non mises à jour.
Activez les mises à jour automatiques sur les systèmes, les navigateurs et les téléphones. Et surveillez ce qu'on oublie : le routeur, les caméras connectées, les extensions de navigateur, les modules de votre site web.
4. Des sauvegardes que vous avez déjà testées
Une sauvegarde est la seule protection réellement efficace contre un rançongiciel : elle vous rend le paiement inutile.
Encore faut-il qu'elle fonctionne. La règle est simple :
- trois copies de vos données importantes ;
- sur deux supports différents ;
- dont une hors ligne ou hors site.
Ce dernier point est décisif : un disque externe branché en permanence sera chiffré en même temps que le reste. Et surtout, testez une restauration. Une sauvegarde jamais restaurée est une hypothèse, pas une protection — nous avons vu des entreprises découvrir au pire moment que leur sauvegarde était vide depuis huit mois.
5. Des équipes qui savent reconnaître un piège
Aucun outil ne remplace un collaborateur qui hésite avant de cliquer. Quelques repères à diffuser :
- tout changement de coordonnées bancaires se vérifie par téléphone, sur un numéro connu à l'avance ;
- une demande urgente et confidentielle venant de la direction est un signal d'alerte, pas une raison de se presser ;
- un code reçu par SMS ne se communique jamais, à personne ;
- signaler une erreur ne doit exposer à aucune sanction. Un salarié qui craint d'être blâmé se tait, et l'on découvre l'intrusion des semaines plus tard.
Pour une organisation : trois mesures supplémentaires
- Fermez les comptes des partants le jour même. Les accès d'anciens collaborateurs restés actifs figurent parmi les portes d'entrée les plus courantes.
- Limitez les droits au strict nécessaire. Un poste compromis ne doit pas donner accès à l'ensemble du système d'information.
- Sachez qui appeler. Le moment de chercher un prestataire n'est pas celui où l'activité est à l'arrêt.
La sécurité parfaite n'existe pas. L'objectif est plus modeste et parfaitement atteignable : ne pas être la cible facile. La plupart des attaques sont opportunistes et se déplacent vers la porte suivante si la vôtre résiste.
Vous souhaitez savoir où en est réellement votre organisation ? Un audit identifie les chemins par lesquels on accède à vos données et les hiérarchise, pour que vous sachiez par quoi commencer.