Les 10 erreurs de cybersécurité les plus courantes en PME (et comment les corriger)

Les incidents graves en PME viennent rarement d'une attaque sophistiquée : ils exploitent presque toujours un défaut banal et connu : un mot de passe réutilisé, un équipement non mis à jour, une sauvegarde jamais testée, un ancien accès jamais fermé. La bonne nouvelle est que ces erreurs se corrigent pour un coût modeste, à condition de les identifier. Voici les dix plus fréquentes, avec pour chacune le risque réel, la correction et un indicateur simple pour vérifier que c'est fait.

1. Réutiliser les mots de passe et ne pas activer le MFA

Un mot de passe volé sur un service sans lien avec l'entreprise est essayé sur la messagerie professionnelle. Si le MFA n'est pas actif, l'attaquant entre. Correction : gestionnaire de mots de passe, mots de passe uniques et longs, MFA sur la messagerie et les accès distants. Indicateur : pourcentage de comptes de messagerie protégés par MFA, visé à 100 %. Voir le guide sur le MFA et le gestionnaire.

2. Laisser des équipements exposés non mis à jour

Pare-feu, VPN, routeurs et serveurs web accessibles depuis Internet sont scannés en permanence à la recherche de failles connues. Un correctif publié depuis des mois mais non appliqué est une invitation. Correction : liste des équipements exposés, responsable désigné, délai maximal d'application des correctifs critiques, remplacement des matériels obsolètes. Indicateur : âge du plus ancien correctif critique non appliqué.

3. Avoir des sauvegardes jamais testées

Beaucoup d'entreprises découvrent lors d'un sinistre que leur sauvegarde est vide, incomplète ou inaccessible faute de clé. Correction : règle 3-2-1, copie hors ligne ou immuable, restauration testée au moins deux fois par an. Indicateur : date du dernier test de restauration réussi. Détails dans le guide sur les sauvegardes.

4. Garder des droits d'administrateur trop largement distribués

Un collaborateur qui est administrateur de son poste peut, par erreur, laisser un programme malveillant s'installer partout. Correction : droits minimaux, comptes administrateurs séparés des comptes de travail quotidiens, élévation ponctuelle. Indicateur : nombre de comptes à privilèges, à réduire au strict nécessaire.

5. Oublier les accès des anciens collaborateurs et prestataires

Un compte actif d'une personne partie depuis des mois est une porte ouverte, souvent non surveillée. Correction : procédure de départ avec désactivation des comptes dans la journée, revue trimestrielle des comptes, inventaire des accès des prestataires. Indicateur : nombre de comptes inactifs depuis plus de 90 jours.

6. Exposer des services d'administration à Internet

Le bureau à distance, les consoles de gestion ou les bases de données directement accessibles depuis Internet sont des cibles classiques. Correction : accès uniquement par VPN ou par un service protégé avec MFA, filtrage par adresse quand c'est possible. Indicateur : liste des ports et services visibles de l'extérieur, vérifiée par un scan réalisé avec un prestataire.

7. Négliger la messagerie et l'usurpation du nom de l'entreprise

Sans configuration SPF, DKIM et DMARC, n'importe qui peut envoyer un message qui semble venir de votre domaine, ce qui sert à tromper vos clients ou fournisseurs. Correction : configurer ces enregistrements, activer les filtres anti-hameçonnage, signaler visuellement les messages externes. Indicateur : politique DMARC en vigueur et rapports analysés.

8. Ne pas préparer la fraude au virement

Un faux message du dirigeant ou d'un fournisseur demandant un changement de coordonnées bancaires fait chaque année des victimes dans toutes les tailles d'entreprise. Correction : procédure écrite de double validation et de vérification par un second canal (appel au numéro connu) pour tout changement de RIB ou virement inhabituel. Indicateur : procédure connue des services comptable et direction, testée par un exercice.

9. Se reposer entièrement sur un prestataire sans contrôle

Confier l'informatique à un prestataire n'exonère pas l'entreprise de sa responsabilité. Sans visibilité, vous ne savez pas ce qui est protégé. Correction : liste des actions du prestataire, comptes nominatifs, accès à la documentation, revue annuelle du contrat. Voir le guide sur le choix d'un prestataire. Indicateur : vous pouvez dire qui détient les accès administrateurs.

10. Ne pas avoir de plan en cas d'incident

Sans plan, les premières heures sont perdues en discussions, et les mauvaises décisions s'enchaînent : on éteint tout et on perd des preuves, on paie une rançon sans conseil, on oublie le délai de plainte. Correction : fiche de crise d'une page, numéros d'urgence imprimés, exercice annuel. Indicateur : date du dernier exercice. Le guide sur que faire après une cyberattaque fournit une trame.

Tableau récapitulatif

Erreur	Risque	Correction principale	Coût indicatif
Mots de passe réutilisés, pas de MFA	Prise de contrôle de comptes	MFA, gestionnaire	Faible
Équipements non mis à jour	Intrusion par faille connue	Inventaire, délai de correctif	Faible à modéré
Sauvegardes non testées	Perte de données définitive	Règle 3-2-1, tests	Faible à modéré
Droits excessifs	Propagation d'une attaque	Moindre privilège	Faible
Accès anciens non fermés	Accès non détecté	Revue des comptes	Faible
Services exposés	Attaque directe	VPN et MFA	Faible à modéré
Messagerie non protégée	Usurpation, hameçonnage	SPF, DKIM, DMARC	Faible
Fraude au virement	Perte financière	Double validation	Quasi nul
Dépendance sans contrôle	Compromission par le prestataire	Contrat et comptes nominatifs	Faible
Absence de plan de crise	Réaction désorganisée	Fiche et exercice	Faible

Comment hiérarchiser

Si vous ne pouvez pas tout faire, priorisez selon l'impact : MFA, sauvegardes testées, correctifs des équipements exposés, procédure de virement, puis le reste. Le plan d'action sur 90 jours propose un ordre réaliste, et la checklist d'hygiène permet de mesurer l'écart. Pour les budgets, voir l'estimateur.

Un mot sur la culture d'entreprise

Une erreur de plus, plus discrète, est de sanctionner celui qui signale avoir cliqué sur un lien. Il se taira la fois suivante, et l'attaque progressera. Encouragez le signalement rapide et sans reproche : les premières minutes sont décisives.

Quand consulter un professionnel

Si vous avez un doute sur l'exposition de votre système ou si vous pensez avoir déjà été compromis, faites-vous accompagner par un prestataire compétent plutôt que d'essayer de corriger seul. Cybermalveillance.gouv.fr oriente vers des professionnels de proximité.

Questions fréquentes

Quelle erreur coûte le plus cher ?

Il n'y a pas de classement universel. Les absences de MFA et de sauvegardes testées figurent parmi les plus lourdes de conséquences, car elles conditionnent à la fois l'entrée de l'attaquant et la capacité de reprise.

Une petite entreprise peut-elle tout corriger seule ?

Une partie, oui : droits, comptes, procédure de virement, plan de crise. Les réglages techniques demandent souvent un prestataire.

À quelle fréquence refaire ce contrôle ?

Au moins une fois par an, et après chaque changement important de l'organisation ou de l'informatique.

Sources et références

ANSSI — guide d'hygiène informatique.
Cybermalveillance.gouv.fr — fiches sur les menaces et bonnes pratiques.
CNIL — sécurité des données personnelles.