Pourquoi les attaques automatisées visent aussi les PME

Une petite entreprise n’est pas « trop petite pour intéresser les pirates ». Beaucoup d’attaques ne choisissent même pas leur victime à l’avance : des programmes testent automatiquement des milliers de sites, d’adresses e-mail et de mots de passe jusqu’à trouver une porte ouverte.

Ce n’est pas toujours personnel

Lorsqu’un robot repère un formulaire mal protégé, un logiciel non mis à jour ou un mot de passe déjà divulgué, il peut tenter d’en profiter immédiatement. L’entreprise touchée n’a pas forcément été étudiée par un humain. Elle faisait simplement partie des cibles accessibles.

Cybermalveillance.gouv.fr indique que le piratage de comptes en ligne est devenu la première menace rencontrée par les professionnels en 2025. Le baromètre national publié en 2025 montre aussi que 44 % des TPE-PME interrogées se considèrent fortement exposées.

Comment une intrusion commence

• Un mot de passe réutilisé apparaît dans une fuite de données.
• Une fausse facture ou un faux message pousse quelqu’un à ouvrir un lien.
• Un module de site comporte une vulnérabilité connue et n’a pas été corrigé.
• Un compte administrateur n’est protégé que par un mot de passe.
• Une sauvegarde existe, mais elle est connectée au système attaqué et devient inutilisable avec lui.

Ce que l’attaquant peut réellement obtenir

L’objectif peut être de voler un compte, détourner des paiements, envoyer du spam, récupérer des données clients ou bloquer l’activité. Un rançongiciel chiffre les fichiers et réclame une somme pour les rendre. Cybermalveillance.gouv.fr recommande de ne pas payer : le paiement ne garantit ni la récupération des données ni l’absence d’une nouvelle extorsion.

Une intrusion peut aussi rester discrète. Un compte e-mail compromis peut servir à observer les échanges, modifier un RIB au bon moment ou envoyer des messages crédibles aux clients et fournisseurs.

Les protections qui changent vraiment la situation

1. Activer l’authentification à deux facteurs sur les comptes importants.
2. Utiliser un mot de passe différent et long pour chaque service, conservé dans un gestionnaire.
3. Installer rapidement les mises à jour de sécurité.
4. Limiter les droits administrateur au strict nécessaire.
5. Conserver plusieurs sauvegardes, dont une déconnectée ou isolée.
6. Tester la restauration des sauvegardes avant d’en avoir besoin.
7. Préparer une procédure simple : qui appeler, quoi isoler et quelles preuves conserver.

Que faire si l’incident est déjà là ?

Il faut isoler les équipements touchés sans effacer les preuves, changer les accès depuis un appareil sain et demander rapidement de l’aide. Si des données personnelles sont concernées, toutes les violations doivent être documentées. Celles qui présentent un risque pour les personnes doivent être notifiées à l’autorité compétente, si possible dans les 72 heures ; en cas de risque élevé, les personnes concernées doivent aussi être informées.

Cette nuance est importante : une attaque informatique et une violation de données personnelles sont liées, mais ne déclenchent pas automatiquement les mêmes obligations dans chaque situation. L’analyse du risque reste indispensable.

Sources officielles

• Cybermalveillance.gouv.fr - Baromètre TPE-PME 2025
• Cybermalveillance.gouv.fr - Comprendre les rançongiciels
• CNIL - Notifier une violation de données