Rançongiciel : les trois portes d'entrée que nous trouvons dans presque toutes les PME

Pourquoi une PME de vingt personnes intéresse un attaquant

Parce qu’elle est mal défendue, pas parce qu’elle est riche. Dans son Panorama de la cybermenace 2025, l’ANSSI indique que 48 % des victimes de rançongiciel recensées en France sont des TPE, PME et ETI, contre 37 % un an plus tôt — la première catégorie de victimes, devant les collectivités territoriales et les établissements de santé. L’agence a traité 128 compromissions par rançongiciel sur l’année. Une PME de vingt salariés à Nice ou à Sophia Antipolis présente exactement le profil recherché : des données qui ont de la valeur, un budget informatique contraint, aucun responsable sécurité en interne, et souvent un accès aux systèmes d’un donneur d’ordre plus gros. Les attaquants ne vous visent pas nommément : ils scannent des plages entières d’adresses, trouvent une porte mal fermée, et entrent. Le hasard fait le reste. Aucune des PME que nous avons accompagnées après un incident ne se pensait concernée la veille.

Source : ANSSI, Panorama de la cybermenace 2025 (CERT-FR).

Porte n° 1 : l’accès distant ouvert sans double authentification

C’est de loin la plus fréquente. Depuis le télétravail, presque toutes les PME ont ouvert un accès à distance — bureau à distance sur un serveur, VPN, ou console d’administration d’un logiciel métier. Dans la majorité des cas que nous auditons, cet accès est protégé par un simple identifiant et un mot de passe, souvent réutilisé ailleurs et parfois déjà présent dans une fuite publique. Un attaquant n’a alors rien à casser : il se connecte. Le correctif tient en deux actions. Activer la double authentification sur tous les accès exposés à Internet, y compris la messagerie — un code sur le téléphone suffit à bloquer l’immense majorité des tentatives automatisées. Fermer ce qui n’a pas besoin d’être ouvert : un bureau à distance exposé directement sur Internet n’a aucune raison de l’être, il doit passer par un VPN. Vérifiez aussi les accès des prestataires : ils sont presque toujours oubliés dans l’inventaire, et rarement protégés au même niveau que les vôtres.

Comptez une demi-journée pour une PME de vingt postes, et un coût essentiellement en temps. C’est le meilleur rapport protection/effort de toute la liste.

Porte n° 2 : la sauvegarde branchée en permanence sur le même réseau

Beaucoup de dirigeants pensent être couverts parce qu’« il y a une sauvegarde ». Le problème est qu’un rançongiciel chiffre tout ce qu’il peut atteindre, et un disque branché en USB sur le serveur ou un NAS accessible depuis le réseau font partie de ce périmètre. Nous voyons régulièrement des sauvegardes chiffrées en même temps que les données qu’elles étaient censées protéger. Trois règles suffisent. Une copie déconnectée ou immuable, hors de portée du réseau — disque que l’on débranche, ou stockage distant qui interdit la suppression pendant une durée fixée. Un test de restauration réel, au moins deux fois par an : une sauvegarde jamais restaurée n’est pas une sauvegarde, c’est une hypothèse. Une supervision qui vous alerte quand une sauvegarde échoue, plutôt qu’un rapport automatique que personne n’ouvre. Enfin, notez le temps réel de restauration lors du test : c’est cette durée, et non la taille de la sauvegarde, qui déterminera combien de jours votre activité s’arrête.

Dans un audit, c’est le point sur lequel nous passons le plus de temps — parce que c’est celui qui décide si un incident coûte une journée ou six semaines.

Porte n° 3 : les comptes qui survivent aux départs

Le troisième trou est administratif, pas technique. Un salarié part, un prestataire termine sa mission, un stagiaire finit son stage : leurs comptes restent actifs, souvent avec les mêmes droits qu’au premier jour. Nous trouvons régulièrement, dans des PME de trente personnes, des comptes actifs de personnes parties depuis plus de deux ans, parfois avec des droits d’administration. Ces comptes ne sont surveillés par personne, leur mot de passe n’a pas changé depuis des années, et une connexion depuis l’un d’eux n’éveillera aucun soupçon. Le correctif est une procédure, pas un logiciel : une liste à jour des comptes et de leurs droits, une désactivation systématique le jour du départ — intégrée à la procédure de sortie, au même titre que la restitution des clés — et une revue semestrielle qui vérifie que chacun n’a que les accès nécessaires à son poste. Cette revue prend deux heures par semestre dans une PME de trente personnes, et elle supprime une catégorie entière de risques.

À retenir

• Double authentification sur tout ce qui est accessible depuis Internet, à commencer par la messagerie et le bureau à distance.
• Une copie de sauvegarde déconnectée ou immuable, testée en restauration réelle au moins deux fois par an.
• Désactivation des comptes le jour du départ, et revue des droits tous les six mois.

Par où commencer lundi matin

Dans cet ordre, parce qu’il va du plus rentable au plus coûteux. Semaine 1 : listez les accès ouverts depuis Internet et activez la double authentification partout où elle existe déjà sans rien acheter — messagerie, VPN, outils en ligne. Semaine 2 : vérifiez où sont vos sauvegardes, débranchez-en une, et restaurez un dossier au hasard pour vérifier que la restauration fonctionne vraiment. Semaine 3 : sortez la liste des comptes utilisateurs, comparez-la à la liste des personnes réellement présentes, désactivez le reste. Semaine 4 : écrivez la procédure — qui fait quoi, quand, et à qui l’on signale un e-mail suspect. Ces quatre semaines ne coûtent rien d’autre que du temps, et elles ferment les portes par lesquelles passe la grande majorité des incidents que nous traitons. Passé ce premier mois, un audit complet permet de traiter ce qui demande un budget : segmentation du réseau, supervision, protection de la messagerie.