« Trop petits pour intéresser un pirate » : la phrase qui coûte le plus cher aux PME
Les attaques ne visent pas des entreprises, elles visent des failles. Le tri se fait automatiquement, et la taille de la cible n'entre pas dans le calcul.
L’argument paraît sensé : une entreprise de vingt personnes n’intéresse pas un attaquant. Il suppose qu’un être humain choisit sa cible.
Ce n’est presque jamais le cas.
Le balayage ne choisit pas
L’essentiel des compromissions vient de programmes qui parcourent des plages d’adresses entières et testent des vulnérabilités connues. Ils ne lisent pas votre chiffre d’affaires : ils testent une version de logiciel non mise à jour, un mot de passe par défaut, un service exposé.
Une PME et un groupe présentant la même faille sont compromis avec la même facilité. La différence est ce qui se passe ensuite : le groupe a une équipe qui détecte, la PME découvre trois semaines plus tard.
Ce qui est réellement recherché
Rarement vos secrets industriels. Plus souvent :
- la capacité de calcul et la bande passante, revendues ou utilisées pour attaquer ailleurs ;
- le serveur de messagerie, pour émettre du courrier indésirable depuis un domaine encore réputé — ce qui détruit ensuite votre délivrabilité pour des mois ;
- les données clients, revendues au volume ;
- le chiffrement de tout, contre rançon — le cas le plus fréquent et le plus coûteux ;
- l’accès à vos clients, quand vous êtes fournisseur d’une organisation plus grosse. Une PME peut être un point d’entrée, et c’est un motif de ciblage délibéré.
Les cinq mesures qui écartent l’essentiel
Sans budget de sécurité dédié, par ordre de rendement :
- Les mises à jour, en particulier de tout ce qui est exposé sur internet. La majorité des compromissions exploite une faille corrigée depuis des mois.
- La double authentification sur la messagerie et les comptes à privilèges. Un mot de passe volé cesse alors de suffire.
- Les sauvegardes hors ligne, testées. Une sauvegarde accessible en écriture depuis le serveur qu’elle protège sera chiffrée en même temps que lui.
- La réduction de l’exposition : chaque service accessible depuis internet est une porte. Une interface d’administration ouverte à tous en est une grande.
- Le tri des accès des partants, effectif le jour du départ.
Aucune n’est coûteuse. Elles couvrent l’écrasante majorité des cas réels.
Ce qui n’aide pas
Un audit à cinq chiffres avant d’avoir appliqué les cinq mesures ci-dessus. Il produira un rapport dont la première recommandation sera : appliquez vos mises à jour.
Un antivirus seul, également. Il traite un vecteur parmi plusieurs, et pas le principal.
La question à se poser aujourd’hui
Si tous les serveurs étaient chiffrés ce soir, combien de temps faudrait-il pour reprendre l’activité, et quelles données seraient définitivement perdues ?
Si la réponse n’est pas connue, c’est le premier chantier — avant tout investissement en protection.