Les cinq attaques qui visent vraiment les PME
Phishing, rançongiciel, fraude au virement : découvrez les cinq attaques informatiques qui visent les PME et les gestes simples pour réduire le risque.
Sommaire(7 sections)
Les deux termes de l'article, en français
- Phishing : hameçonnage. Un faux message qui imite un service ou une personne de confiance pour vous faire cliquer ou donner un mot de passe.
- Ransomware : rançongiciel. Un logiciel malveillant qui bloque ou chiffre vos fichiers, puis réclame une rançon.
Près d'une victime de ransomware sur deux recensées par l'ANSSI est une PME, une TPE ou une ETI. Et tout commence souvent par un geste banal : un clic, un paiement à confirmer, un mot de passe réutilisé ou une mise à jour repoussée.
En 2025, le phishing arrivait en tête des menaces avec un tiers des demandes d'assistance reçues par Cybermalveillance.gouv.fr, tous publics confondus, selon son bilan sur la menace. Ce chiffre mesure des demandes d'aide, pas toutes les attaques. Le panorama 2025 de l'ANSSI compte de son côté 128 compromissions par ransomware portées à sa connaissance en 2025, un nombre légèrement en baisse par rapport à 2024. Mais la cible numéro un ne change pas, et elle pèse encore plus lourd : les PME, TPE et ETI représentent 48 % des victimes, contre 37 % un an plus tôt.
Ces cinq attaques frappent les petites structures, mais elles touchent aussi les comptes et usages personnels de ceux qui y travaillent. Les mêmes mécanismes reviennent : la précipitation, la confiance, l'habitude et l'oubli. Voici comment les reconnaître, réduire le risque et agir dans les premières minutes. Les exemples sont fictifs. Les conseils s'appuient sur les recommandations de Cybermalveillance.gouv.fr et de l'ANSSI.
Cybermalveillance.gouv.fr illustre le phishing par un message qui cherche à récupérer des informations sensibles. Source : Cybermalveillance.gouv.fr.
Le message paraît banal : c'est justement comme ça que le phishing fonctionne
Le piège en clair
Le phishing consiste à imiter une personne ou un service de confiance. Le message arrive par courriel, SMS, téléphone ou messagerie. Il cherche à vous faire cliquer, ouvrir une pièce jointe ou communiquer un mot de passe.
Exemple fictif : vous recevez un SMS annonçant que votre colis est bloqué. Le lien mène vers une page qui ressemble à celle d'un transporteur. Elle demande votre adresse, votre carte bancaire ou le mot de passe de votre compte.
Trois indices doivent ralentir votre geste : une urgence artificielle, une adresse ou un lien inhabituel, et une demande d'information sensible. Un message peut aussi contenir le bon logo, votre nom ou une information réelle. Cela ne suffit pas à le rendre fiable.
La parade et le premier réflexe
Ne répondez pas. Ne cliquez pas. Ouvrez vous-même le site officiel dans votre navigateur, ou appelez l'organisme avec son numéro habituel. Vous pourrez vérifier la situation sans passer par le lien reçu.
Si vous avez donné un mot de passe, changez-le immédiatement. Commencez par le compte concerné, puis tous les autres comptes où vous aviez réutilisé le même secret. Si la messagerie est touchée, vérifiez aussi les règles de transfert et les appareils connectés. Si vous avez communiqué des coordonnées bancaires, prévenez votre banque sans attendre. Un SMS frauduleux se signale au 33700, comme le rappelle la fiche réflexe de Cybermalveillance.gouv.fr.
Trois questions avant de cliquer
- Est-ce que j'attendais vraiment ce message ?
- Le lien ou l'adresse correspondent-ils au site officiel ?
- Pourquoi me demande-t-on cette information maintenant ?
Quand les fichiers deviennent illisibles, le vrai danger a souvent commencé avant
Le piège en clair
Un ransomware est un logiciel qui bloque l'accès à un ordinateur ou chiffre ses fichiers. Il réclame ensuite de l'argent. Une clé de déchiffrement est parfois promise en échange. Une infection peut commencer par une pièce jointe, un clic ou une faille connue qui n'a pas été corrigée.
Exemple fictif : après l'ouverture d'une pièce jointe, les documents affichent une extension inconnue. Un message demande une somme d'argent pour les récupérer. Les fichiers partagés avec d'autres appareils deviennent eux aussi illisibles.
Le risque ne se limite pas à la perte d'un document. Un ordinateur bloqué peut interrompre une activité, empêcher l'accès à des informations importantes et exposer des données. Les 128 compromissions par ransomware relevées par le panorama 2025 de l'ANSSI ne sont que celles portées à sa connaissance : le nombre réel de victimes en France est sans doute bien plus élevé.
Cette illustration officielle montre le principe d'un appareil dont l'accès est bloqué. Source : Cybermalveillance.gouv.fr.
La parade et le premier réflexe
Les mises à jour ferment certaines failles connues. Les sauvegardes permettent de retrouver les fichiers sans dépendre de la promesse d'un attaquant. Gardez plusieurs copies, dont au moins une hors ligne, et testez régulièrement leur restauration.
Si l'attaque semble en cours, déconnectez immédiatement l'équipement du réseau. Retirez le câble réseau ou désactivez le Wi-Fi, et débranchez les sauvegardes externes pour qu'elles ne soient pas chiffrées à leur tour. N'éteignez pas les machines touchées : leur mémoire contient des traces utiles à l'enquête. Ne payez pas la rançon : rien ne garantit que vous récupérerez vos données. Conservez les messages, les fichiers et les traces, déposez plainte, puis demandez de l'aide. Une restauration ne doit partir que d'une sauvegarde réputée saine, sur un système réinstallé et mis à jour, selon la fiche réflexe de Cybermalveillance.gouv.fr.
Un virement urgent et confidentiel : la demande qu'il faut ralentir
Le piège en clair
La fraude au président repose sur une usurpation. Un escroc se fait passer pour un dirigeant, un fournisseur ou un proche. Il demande un virement, un changement de coordonnées bancaires ou une opération inhabituelle.
Exemple fictif : un message semble venir d'une responsable. Elle demande de payer une facture avant la fin de la journée et précise que la demande doit rester confidentielle. Le ton paraît familier, mais l'urgence empêche de vérifier.
Le mécanisme est surtout humain. L'urgence réduit le temps de réflexion. Le secret empêche de demander un avis. La familiarité pousse à faire confiance. L'attaque peut passer par le courriel, le téléphone ou une messagerie instantanée.
La parade et le premier réflexe
Toute demande inhabituelle doit être vérifiée par un autre canal connu. Appelez la personne sur son numéro déjà enregistré. Pour un fournisseur, utilisez les coordonnées habituelles, jamais celles du message. Une nouvelle référence bancaire mérite la même vérification. Dans une PME, le plus solide reste une procédure de validation des virements à laquelle personne ne déroge, même le patron, comme le recommande Cybermalveillance.gouv.fr.
Si le virement est parti, appelez immédiatement la banque et demandez le retour des fonds. Conservez les messages, les adresses, les ordres de virement et les horaires. Déposez plainte avec ces éléments : selon Cybermalveillance.gouv.fr, cela augmente les chances de récupérer l'argent. La rapidité compte, mais elle doit servir à vérifier et à alerter, pas à exécuter une nouvelle consigne.
Un ordre de paiement inhabituel mérite une vérification indépendante. Source : Cybermalveillance.gouv.fr.
La règle des deux canaux
Une demande urgente de paiement se confirme toujours par un second moyen. Appelez la personne, échangez en face à face ou utilisez un contact déjà enregistré.
Le mot de passe pratique peut devenir une clé passe-partout
Le piège en clair
Réutiliser un même mot de passe crée un effet domino. Si ce mot de passe est récupéré sur un service, un attaquant peut essayer de l'utiliser sur la messagerie. Il peut aussi viser un compte de stockage, un achat en ligne ou un autre espace important.
Exemple fictif : un ancien site a subi une fuite. Le mot de passe utilisé à l'époque est resté identique sur une boîte mail. L'accès à la messagerie permet ensuite de demander la réinitialisation d'autres comptes.
La messagerie mérite une attention particulière. Elle reçoit souvent les liens de récupération et les alertes de sécurité. Un accès compromis peut donc faciliter d'autres prises de contrôle, même si le premier compte semblait sans importance.
Une authentification supplémentaire peut ajouter une vérification au mot de passe. Source : Cybermalveillance.gouv.fr.
La parade et le premier réflexe
Utilisez un mot de passe différent pour chaque compte. Il doit être difficile à deviner, ne pas reprendre une information publique et compter au moins 12 caractères mêlant minuscules, majuscules, chiffres et caractères spéciaux, selon les 10 règles d'or de l'ANSSI. Un gestionnaire de mots de passe peut aider à ne pas retenir chaque combinaison. L'authentification à deux facteurs ajoute une vérification supplémentaire quand le service la propose.
Si vous suspectez une compromission, changez d'abord le mot de passe de la messagerie. Changez ensuite ceux des comptes où l'ancien secret était réutilisé. Fermez les sessions inconnues et vérifiez les appareils associés.
| Compte | Risque si le mot de passe est réutilisé | Action prioritaire |
|---|---|---|
| Messagerie | Réinitialisation d'autres comptes | Changer le mot de passe et fermer les sessions inconnues |
| Stockage de fichiers | Accès à des documents personnels ou de travail | Vérifier les appareils connectés |
| Achats ou services | Utilisation frauduleuse du compte | Changer le mot de passe et contrôler l'activité |
La notification repoussée peut laisser une porte ouverte
Le piège en clair
Une faille est une faiblesse dans un appareil ou un logiciel. Une mise à jour corrige parfois cette faiblesse. Tant que le correctif n'est pas installé, un attaquant peut exploiter une vulnérabilité déjà connue.
Exemple fictif : une personne repousse plusieurs semaines une notification. Elle continue d'utiliser le même logiciel, alors qu'une faille a été corrigée. Un fichier piégé ou une page malveillante profite de cette faiblesse.
Mettre à jour ne garantit pas une sécurité parfaite. Cela réduit toutefois une exposition évitable. Les correctifs doivent venir d'une source officielle. Un message qui propose une mise à jour inattendue peut lui-même être un piège.
Une mise à jour corrige parfois une faille de sécurité, mais elle doit être lancée depuis la source officielle. Source : Cybermalveillance.gouv.fr.
La parade et le premier réflexe
Activez les mises à jour automatiques quand c'est possible. Vérifiez aussi qu'un logiciel ou un appareil est encore suivi par son éditeur. Un produit qui ne reçoit plus de correctifs reste plus difficile à protéger. En entreprise, désignez qui fait les mises à jour et tenez la liste des postes, serveurs et logiciels à suivre, comme le conseille Cybermalveillance.gouv.fr.
Après une alerte ou un comportement inhabituel, déconnectez l'équipement concerné. Installez les correctifs depuis le site ou l'application officielle. Si le problème persiste, demandez un diagnostic avant de reprendre un usage sensible.
La mise à jour en trois gestes
- Vérifier la notification depuis les réglages de l'appareil.
- Installer le correctif depuis la source officielle.
- Redémarrer puis vérifier que l'appareil fonctionne normalement.
Le bon réflexe n'est pas d'être expert, mais de casser l'urgence
Ces cinq attaques prennent des formes différentes. Un message trompeur cherche un clic. Un ransomware bloque des fichiers. Une fraude pousse à payer. Un mot de passe réutilisé ouvre plusieurs accès. Une faille oubliée laisse une porte connue ouverte.
Le point commun est souvent une décision ordinaire prise trop vite. La double authentification, les sauvegardes et les mises à jour réduisent le risque, mais aucune mesure ne remplace une vérification humaine. Quand une situation reste floue, interrompez l'action et conservez les traces.
Une minute de vérification peut éviter des heures de récupération.
À faire ce mois-ci
- Activez la double authentification sur la messagerie et les comptes importants.
- Remplacez les mots de passe réutilisés par des mots de passe différents.
- Vérifiez les mises à jour automatiques et l'ancienneté des logiciels utilisés.
- Testez une sauvegarde et vérifiez qu'elle permet réellement de retrouver un fichier.
- Partagez une règle simple : toute demande urgente se vérifie par un autre canal.
