La majorité des incidents que nous traitons ne relèvent pas d'attaques sophistiquées. Ce sont des méthodes connues, documentées, et évitables avec des mesures qui coûtent peu. Voici les cinq que nous rencontrons le plus souvent.
Une idée fausse circule largement : les cyberattaques viseraient surtout les grandes structures. La réalité observée sur le terrain est inverse. Les attaquants privilégient les cibles faciles, et une PME sans politique de sécurité est une cible plus facile qu'une banque. L'attaque n'est d'ailleurs presque jamais ciblée. Elle est automatisée et opportuniste.
1. Le phishing
Un email imite une source de confiance, votre banque, un fournisseur, un service interne, et vous invite à saisir vos identifiants sur une page qui ressemble à l'originale. C'est le vecteur d'entrée le plus courant, et de très loin.
Les versions récentes sont nettement mieux écrites qu'il y a quelques années. Le français approximatif qui servait de signal d'alerte a disparu. Certains messages reprennent votre charte graphique et citent des noms réels de collaborateurs trouvés sur les réseaux sociaux.
Les mesures qui fonctionnent
- Activer l'authentification à deux facteurs partout où c'est possible. Un mot de passe volé devient alors insuffisant.
- Configurer SPF, DKIM et DMARC sur votre domaine, ce qui empêche un tiers d'envoyer des emails en usurpant votre nom de domaine.
- Former les équipes avec des exemples réels plutôt qu'avec des consignes générales.
- Établir une règle simple : aucune demande reçue par email ne déclenche un virement sans validation par un second canal.
2. Le ransomware
Un logiciel chiffre vos fichiers et exige une rançon pour la clé de déchiffrement. Pour une entreprise dont l'activité dépend de son système d'information, l'arrêt est immédiat et total.
Le point critique n'est pas le chiffrement lui-même, c'est la sauvegarde. Nous avons vu des entreprises disposant de sauvegardes quotidiennes se retrouver bloquées, parce que le disque de sauvegarde était connecté en permanence au réseau et a été chiffré en même temps que le reste.
La règle 3-2-1. Trois copies de vos données, sur deux supports différents, dont une hors site et déconnectée. Une sauvegarde qui n'a jamais été testée en restauration n'est pas une sauvegarde, c'est une hypothèse.
3. Les attaques par force brute
Un automate teste des milliers de combinaisons de mots de passe sur vos accès exposés, messagerie, VPN, interfaces d'administration, caméras de surveillance. Les identifiants par défaut restés inchangés sont la porte d'entrée la plus fréquente.
Ce point mérite une attention particulière pour les équipements physiques. Un enregistreur vidéo ou une pointeuse biométrique laissés avec le mot de passe d'usine et accessibles depuis internet constituent un accès direct à votre réseau interne.
Les mesures qui fonctionnent
- Changer systématiquement tous les identifiants par défaut, y compris sur le matériel réseau et vidéo.
- Limiter le nombre de tentatives et bloquer temporairement après plusieurs échecs.
- Ne jamais exposer une interface d'administration directement sur internet. Passer par un VPN.
- Utiliser un gestionnaire de mots de passe plutôt que des variantes d'un même mot de passe.
4. La fraude au président
Un collaborateur du service financier reçoit une demande urgente et confidentielle, apparemment signée d'un dirigeant, pour effectuer un virement vers un nouveau compte. L'attaque exploite l'autorité hiérarchique et l'urgence, pas une faille technique.
Elle est souvent précédée d'une phase de préparation : l'attaquant a lu vos communications publiques, identifié les noms et les fonctions, et parfois compromis une boîte mail pour observer vos habitudes de rédaction avant de frapper.
Les mesures qui fonctionnent
- Une procédure écrite de validation des virements, avec double signature au-delà d'un seuil défini.
- Une vérification par téléphone sur un numéro connu à l'avance, jamais sur celui indiqué dans le message.
- Un principe posé clairement en interne : l'urgence n'annule aucune procédure.
5. Les failles non corrigées
La majorité des vulnérabilités exploitées disposent d'un correctif publié depuis des mois. Le problème n'est pas la découverte de la faille, il est l'absence de mise à jour.
Les équipements oubliés sont les plus exposés : un ancien serveur laissé en fonctionnement, un routeur jamais mis à jour, un poste sous un système d'exploitation qui n'est plus supporté. Chacun constitue un point d'entrée permanent.
Les mesures qui fonctionnent
- Tenir un inventaire à jour de tout ce qui est connecté au réseau. On ne protège pas ce qu'on ne sait pas posséder.
- Planifier les mises à jour comme une tâche récurrente, pas comme une réaction à un incident.
- Isoler sur un réseau séparé les équipements qui ne peuvent plus être mis à jour.
Un ordre de priorité réaliste
Si votre budget est contraint, l'ordre suivant offre le meilleur rapport entre protection obtenue et coût engagé : sauvegardes testées, authentification à deux facteurs, mise à jour des systèmes exposés, formation des équipes, puis segmentation du réseau.
Aucune de ces mesures n'est spectaculaire. Ensemble, elles éliminent la grande majorité des incidents que nous sommes appelés à traiter en urgence.