Hameçonnage (phishing)
Un email ou SMS imite votre banque, un fournisseur, l'URSSAF… pour voler un mot de passe ou faire cliquer sur un lien piégé. Porte d'entrée n°1.
Module 5 · Cyber-risques
Protéger une TPE/PME sans être expert
80 % des cyberattaques visent des petites structures, justement parce qu'elles se croient trop petites pour être ciblées. La bonne nouvelle : quelques réflexes simples bloquent l'immense majorité des attaques.
Le paysage
Trois menaces qui touchent vraiment les TPE/PME
Pas de scénario hollywoodien : les attaques courantes sont opportunistes et automatisées.
Rançongiciel
Un logiciel chiffre tous vos fichiers et réclame une rançon. Sans sauvegarde, l'activité s'arrête net, parfois définitivement.
Vol de données
Fuite de fichiers clients, RH ou comptables. Conséquences : sanctions RGPD, perte de confiance, fraude au virement.
Le maillon faible n'est pas la machine, c'est l'humain pressé. La quasi-totalité des incidents commence par un clic, un mot de passe réutilisé ou une mise à jour repoussée.
Un exemple en TPE
Combien coûte vraiment une attaque
Une menuiserie de 8 salariés, touchée par un rançongiciel un lundi matin. Le même incident, selon qu'on s'était préparé ou non.
Sans préparation
8 jours d'arrêtFichiers chiffrés, pas de sauvegarde déconnectée. Devis et plannings perdus, rançon envisagée, clients livrés en retard. Coût total estimé : plusieurs dizaines de milliers d'euros + réputation.
Avec de bonnes habitudes et une sauvegarde 3-2-1
½ journéeLa machine est isolée, on restaure la sauvegarde de la veille, l'activité repart le jour même. L'attaque échoue à faire mal.
Toute la différence tient dans la préparation, pas dans un logiciel coûteux. Une sauvegarde débranchée du réseau et la double authentification (2FA) suffisent à faire d'une catastrophe un simple contretemps.
Comment ça marche
Repérer un message piégé (phishing) : 5 signaux
Le phishing (en français, hameçonnage) est la première porte d'entrée des attaques. Aucun de ces signaux n'est une preuve à lui seul, mais leur présence doit déclencher la méfiance.
Un sentiment d'urgence
« Votre compte sera bloqué sous 24 h », « facture impayée ». La peur fait cliquer avant de réfléchir.
Expéditeur presque juste
Un domaine qui imite (banque-secure.com, urssaf-fr.net). On survole l'adresse réelle avant tout clic.
Un lien ou une pièce jointe
On vous pousse à cliquer / ouvrir. Au survol, l'URL ne correspond pas au texte affiché.
Une demande inhabituelle
Changer un RIB, virer en urgence, communiquer un mot de passe. Aucune banque ne le demande par email.
Ton & tournures
Formulations bizarres, fautes, salutation générique. Avec l'IA, les escrocs écrivent sans fautes : ce signal devient moins fiable, et les quatre autres comptent d'autant plus.
Dans le doute, on vérifie autrement
On n'utilise jamais le lien de l'email : on appelle le contact connu ou on tape soi-même l'adresse du site.
Les réflexes
L'hygiène numérique qui protège vraiment
Cinq mesures à fort impact, accessibles sans budget ni équipe technique.
Priorité 1
Double authentification
Activez la 2FA sur messagerie, banque et outils clés. Même un mot de passe volé devient inutilisable.
Priorité 1
Sauvegardes 3-2-1
3 copies, 2 supports, 1 hors site. Une sauvegarde déconnectée est votre assurance anti-rançongiciel.
Priorité 2
Gestionnaire de mots de passe
Un mot de passe unique et fort par service, stocké dans un coffre. Fini les « Azerty2024 » réutilisés partout.
Priorité 2
Mises à jour automatiques
Système, navigateur, antivirus : la plupart des attaques exploitent des failles déjà corrigées.
Priorité 3
Sensibiliser l'équipe
Un quart d'heure pour apprendre à repérer un email douteux vaut tous les logiciels du monde.
Conformité
Le RGPD en clair
Le RGPD n'est pas qu'une contrainte : c'est aussi un cadre de confiance. Cinq principes suffisent à l'esprit du texte.
Minimisation
Ne collectez que les données réellement nécessaires. Moins de données = moins de risque et moins d'obligations.
Finalité & consentement
Chaque donnée a un usage déclaré. On ne réutilise pas un fichier client pour autre chose sans accord.
Droits des personnes
Accès, rectification, suppression : vos clients peuvent demander ce que vous savez d'eux et le faire effacer.
Sécurité & notification
Vous protégez les données ; en cas de fuite, vous notifiez la CNIL sous 72 h. Tenez un registre des traitements.
IA & RGPD : ce qui part dans un chat IA grand public peut être réutilisé. Ne collez jamais de données de clients, de salariés ou de santé dans un outil que vous ne maîtrisez pas : rendez-les d'abord anonymes. → RGPD & IA en détail · → l'IA Act (fiche Gouvernance).
En cas d'attaque
Les 5 réflexes des premières heures
La panique aggrave tout. Une procédure connue à l'avance fait gagner un temps décisif.
1
Isoler
Débranchez la machine touchée du réseau (Wi-Fi + câble) pour stopper la propagation. Ne l'éteignez pas forcément : utile pour l'analyse.
2
Alerter
Prévenez le dirigeant et la personne référente. Ne payez jamais de rançon dans la précipitation.
3
Constater & déclarer
Portez plainte, déclarez à la CNIL si des données personnelles sont concernées (72 h), conservez les preuves.
4
Restaurer
Repartez d'une sauvegarde saine, après vous être assuré que la faille est fermée. D'où l'importance des sauvegardes déconnectées.
5
Tirer les leçons
Que s'est-il passé ? Quelle mesure aurait évité l'incident ? On met à jour le plan.
Ressource officielle : cybermalveillance.gouv.fr — diagnostic, mise en relation avec des prestataires, et dépôt de plainte.
Anticiper
Plan de continuité & de reprise (PCA/PRA)
Deux questions simples à poser avant que ça n'arrive.
Comment continuer pendant la crise ?
Si l'outil principal tombe, par quoi le remplace-t-on temporairement ? Quels contacts, quels accès de secours, quelle communication client ?
Comment revenir à la normale ?
Quelles données restaurer en priorité ? En combien de temps ? Qui fait quoi ? On teste la restauration au moins une fois par an.
Pièges & idées reçues
5 idées reçues qui coûtent cher
« On est trop petits pour être visés »
Les attaques sont automatisées et opportunistes : elles ne choisissent pas, elles ratissent. Les petites structures sont les plus touchées car les moins protégées.
« L'antivirus suffit »
L'antivirus ne bloque ni un mot de passe volé, ni un clic sur un lien piégé, ni une fraude au virement. La 2FA et la vigilance comptent davantage.
« Ma sauvegarde me protège »
Une sauvegarde branchée en permanence est chiffrée avec le reste par un rançongiciel. Seule une copie déconnectée (hors ligne) protège vraiment.
« Un mot de passe compliqué suffit »
Même fort, un mot de passe réutilisé ou hameçonné tombe. La double authentification est ce qui change tout.
« La cybersécurité, c'est cher »
Les mesures à plus fort impact (2FA, sauvegardes, mises à jour, vigilance) sont gratuites. C'est une question d'habitude, pas de budget.
La sécurité est une routine
Quelques gestes réguliers valent mieux qu'un gros investissement ponctuel. On forme l'équipe, on teste la restauration une fois par an.
Outils pratiques
Réflexes minute & vocabulaire
Le réflexe « email suspect »
- Je ne clique pas dans l'urgence.
- Je survole l'expéditeur et le lien (sans cliquer).
- Une demande d'argent, de RIB ou de mot de passe : je vérifie par un autre canal.
- Dans le doute, je tape moi-même l'adresse du site.
- Je signale l'email à la personne référente.
Le vocabulaire en 6 mots
- Phishing (hameçonnage)
- Un message piégé qui se fait passer pour quelqu'un de confiance.
- Rançongiciel
- Un logiciel malveillant qui bloque vos fichiers et réclame une rançon.
- Double authentification (2FA)
- Un code demandé en plus du mot de passe.
- Sauvegarde 3-2-1
- 3 copies, sur 2 supports différents, dont 1 hors site et déconnectée.
- PCA / PRA
- Plan de continuité et plan de reprise d'activité : comment continuer à travailler pendant un incident, puis comment redémarrer.
- RGPD
- Le règlement européen qui protège les données personnelles : ce qu'on a le droit de collecter, de garder et de partager sur quelqu'un. En savoir plus
Atelier
Mon plan de protection
- Faites le tour des 5 mesures d'hygiène : lesquelles sont déjà en place ? Lesquelles manquent ?
- Listez vos données sensibles (clients, RH, compta) et où elles sont stockées.
- Rédigez votre procédure « que faire en cas d'incident » sur une page.
- Répondez aux deux questions PCA / PRA pour votre activité.
Ce que vous emportez : votre liste de bonnes habitudes, et la trame d'un plan en cas d'incident (PCA et PRA), sur une page.
Continuer le parcours
Sécuriser ses données, c'est aussi bien choisir où les héberger : cap sur les bases de connaissance.