Guide cybersécurité : qui vous attaque, pourquoi, et par où commencer
Personne n’est « trop petit » pour être attaqué, mais personne n’est visé par tout le monde non plus. Chaque attaquant a un budget, une envie et une finalité : ce guide vous apprend à croiser les trois avec ce que vous êtes. Et non, cet exercice n’est pas réservé aux entreprises régulées.
Qui peut VOUS cibler ? Choisissez votre profil
Le boucher du coin ne sera jamais la cible d’un service de renseignement ; il peut l’être d’un collectif militant. Le sous-traitant qui usine des boulons pour l’aéronautique, si : pour ses plans, ou pour remonter jusqu’à son client final. Faites l’exercice :
Trois familles d’attaquants, trois logiques
Leur point commun : ils exploitent d’abord l’humain, avant la technique. Dépliez chaque famille.
01 États, agences et groupes affiliés moyens quasi illimités
Recherche d’informations stratégiques, de la manière la plus discrète possible. Des opérations qui durent des années, un prépositionnement observé sur les infrastructures critiques : énergie, télécoms, santé, transport.
À titre individuel, vous avez peu de chances d’être visé directement. En revanche, une PME peut être visée comme porte d’entrée vers ses clients et partenaires : c’est l’attaque par la chaîne de sous-traitance. Votre entreprise fait partie du « cercle de confiance » de ses clients ; votre sécurité protège aussi la leur, et c’est de plus en plus souvent une exigence contractuelle ou réglementaire (DORA, NIS2).
02 Cybercriminels : de l’opportuniste au grand banditisme motivation : l’argent
Les opportunistes : phishing de masse, arnaques, chantage. Des kits d’attaque prêts à l’emploi, loués quelques dizaines d’euros. Peu de moyens, beaucoup de bluff : une hygiène numérique de base les arrête, et c’est l’objet de ce guide.
Les groupes structurés : rançongiciel « en mode service », franchises criminelles, double extorsion (vos données sont chiffrées ET leur publication sert de pression). Objectif : paralyser l’organisation pour monnayer très cher le retour à la normale. En 2025, 48 % des victimes de rançongiciel traitées par l’ANSSI étaient des PME.
03 Hacktivistes : le piratage comme tribune motivation : la cause
Défiguration de sites, dénis de service, fuites de données revendiquées : faire passer un message, décrédibiliser la cible. Leur force : le nombre, la motivation et la caisse de résonance des réseaux sociaux. Forte recrudescence depuis 2022, portée par les tensions géopolitiques.
Cibles typiques : institutions, entreprises emblématiques… ou simplement visibles au mauvais moment : une campagne de déni de service se loue à l’heure. Les dégâts sont surtout d’image, mais un site indisponible reste une vraie perte d’exploitation.
Ce que l’IA a changé depuis la dernière édition
Une attaque, quatre finalités possibles
Le fil rouge de presque toutes ces attaques : l’ingénierie sociale. C’est-à-dire vous.
L’hameçonnage et ses déclinaisons
Le rançongiciel, l’arme favorite des cybercriminels
- Intrusion
- Propagation
- Exfiltration
- Chiffrement
- Extorsion
La « double extorsion » est devenue la norme : vos données sont volées AVANT d’être chiffrées, puis la menace de publication sert de second levier. 196 exfiltrations signalées à l’ANSSI en 2025 (+50 % sur un an). Quelques heures suffisent entre l’intrusion et le chiffrement : la détection rapide fait toute la différence. L’ANSSI recommande de ne jamais payer : payer ne garantit ni la récupération ni la non-publication, et finance l’écosystème. La parade tient en deux mots : des sauvegardes isolées et testées, et le signalement immédiat du moindre signe anormal.
Les fraudes sur mesure
Fraude au président et au virement : un « dirigeant » ou un « fournisseur » exige un virement urgent, ou annonce un changement de RIB, désormais appuyé par une voix voire une visio deepfake. Faux conseiller bancaire : il connaît vos dernières opérations et vous fait « sécuriser » vos comptes en validant les siennes. Faux support technique : écran alarmant, numéro à appeler, prise en main à distance. Ni Microsoft ni ITAIA ne fonctionnent ainsi. La parade est organisationnelle, pas technique : double validation systématique et contre-appel sur un numéro connu, quel que soit le demandeur, même pressé, même insistant, même « le président ».
Une hygiène, pas une forteresse
La protection parfaite n’existe pas, et ce n’est pas grave : la prévention est un ensemble de petites actions régulières qui anéantit les attaques opportunistes, c’est-à-dire l’immense majorité.
Ce qu’un bon prestataire gère pour vous
- Mises à jour de sécurité déployées en continu
- Protection du poste supervisée 24 h/24
- Sauvegardes vérifiées chaque jour
- Durcissement et surveillance de l’environnement Microsoft 365
Tout ceci porte un nom : la maintenance informatique, l’entretien continu qui applique et fait tenir les mesures de sécurité, dans le cadre d’un contrat d’infogérance.
Ce qui dépendra toujours de vous
- Vos réflexes face aux courriels, appels et messages
- Vos mots de passe et votre double authentification
- La séparation des usages pro et perso
- Le signalement immédiat au moindre doute : le réflexe qui sauve
Mots de passe : la longueur protège, le MFA sauve
| Longueur | Chiffres seuls | Minuscules + chiffres | + majuscules + symboles |
|---|---|---|---|
| 8 caractères | instantané | quelques minutes | quelques jours |
| 12 caractères | quelques minutes | plusieurs années | des millions d’années |
| 16 caractères | quelques semaines | des millions d’années | quasi incassable |
Ordres de grandeur en force brute avec du matériel courant en 2026. Un mot de passe déjà présent dans une fuite se casse en une seconde, quelle que soit sa longueur : un mot de passe = un service, jamais de réutilisation.
La méthode simple : assemblez 4 ou 5 mots sans aucun rapport (« meringue-cactus-tramway-perle »), glissez majuscules et ponctuation où on ne les attend pas. Ce mot de passe « maître » protège votre gestionnaire ; le gestionnaire génère tout le reste. Et activez la double authentification partout, en préférant l’application ou la clé de sécurité au SMS. Attention au « MFA fatigue » : une demande de validation que vous n’avez pas sollicitée signifie que quelqu’un a déjà votre mot de passe. Refusez, changez-le, signalez.
Au moindre doute : quatre gestes, dans l’ordre
- Isolez. Débranchez le câble réseau, coupez le Wi-Fi. N’éteignez PAS la machine : des preuves essentielles disparaîtraient.
- Alertez. Prévenez immédiatement votre prestataire et votre hiérarchie. Signaler vite n’est jamais une faute ; se taire, si.
- Ne payez rien. Aucune rançon, aucune « régularisation », aucun rappel d’un numéro fourni par l’interlocuteur suspect.
- Préservez. Conservez courriels, SMS et captures : ils serviront à l’analyse et au dépôt de plainte.
Sphère privée : 17Cyber.gouv.fr, le guichet unique d’assistance aux victimes, avec diagnostic en ligne et tchat avec un policier ou un gendarme, 24 h/24.
Cinq questions pour tester vos réflexes
Tout se joue dans votre navigateur : rien n’est envoyé, rien n’est conservé.
1. Un commerce de proximité doit surtout se méfier…
Les campagnes opportunistes balaient tout ce qui est connecté, sans regarder la taille ; la visibilité locale peut attirer une cause. Un État, non.
2. Un sous-traitant industriel d’un grand donneur d’ordres peut être visé par un attaquant étatique…
C’est l’attaque par la chaîne de sous-traitance : votre sécurité fait partie du cercle de confiance de vos clients.
3. Vous recevez une notification de double authentification que vous n’avez pas demandée. Que faites-vous ?
Une demande non sollicitée signifie que quelqu’un a déjà votre mot de passe. Approuver lui ouvrirait la porte.
4. Votre poste se comporte bizarrement et vous suspectez une intrusion. Premier geste ?
Couper le réseau stoppe l’attaquant ; éteindre détruirait les preuves en mémoire nécessaires à l’analyse.
5. Quel mot de passe résiste le mieux à une attaque par force brute ?
La longueur protège exponentiellement, la complexité seule très peu. Et un mot de passe réutilisé se casse en une seconde dès la première fuite.
Recevez le guide complet en PDF
Le document que nous présentons en session de sensibilisation, à lire au calme, faire circuler dans l’équipe ou afficher. En échange de ce document gratuit, nous nous réservons la possibilité de vous recontacter à son sujet.
L’analyse de risques n’est pas réservée aux entreprises régulées
DORA l’impose aux acteurs financiers, NIS2 l’imposera à des milliers d’entités. Mais la démarche elle-même (savoir qui vous vise, ce que vous risquez de perdre et quoi faire en premier) vaut pour toute organisation. Le boucher, le cabinet comptable et le sous-traitant aéronautique se posent exactement les mêmes trois questions ; seules les réponses changent.
L’exercice que vous venez de faire avec le sélecteur de profil, c’est le début de l’atelier « sources de risque » de la méthode EBIOS RM de l’ANSSI, la première étape d’un cycle qui se rejoue chaque année, détaillé sur notre page calendrier cybersécurité. Notre simulateur d’analyse de risques le déroule en entier, gratuitement et sans inscription : vos sources, vos scénarios, votre matrice de risque et les mesures qui la font baisser, avec un rapport PDF à conserver. La méthode est expliquée sur notre page EBIOS Risk Manager, et le pré-diagnostic teste votre exposition réelle en dix minutes.
Faire mon analyse de risques gratuite
Sources du guide : ANSSI, Panorama de la cybermenace 2025 · Cybermalveillance.gouv.fr, rapport d’activité 2025 · CESIN / OpinionWay, baromètre 2026 · Cybersecurity Ventures. Ce guide est celui que nous présentons en session de sensibilisation chez nos clients.
Cibles, attaquants, premiers pas
Ma petite entreprise est-elle vraiment une cible ?
Oui, mais pas par tout le monde. Les attaques opportunistes sont industrialisées : elles balaient tout ce qui est connecté, sans regarder la taille. En 2025, 48 % des victimes de rançongiciel traitées par l’ANSSI étaient des PME. En revanche, un service étatique ne s’intéressera pas à un commerce de proximité : chaque attaquant a un budget, une motivation et une finalité, et c’est ce croisement qui dessine votre menace réelle.
Qu’est-ce qu’une attaque par la chaîne de sous-traitance ?
Attaquer une entreprise pour atteindre ses clients ou partenaires. Un sous-traitant industriel qui usine des pièces pour un grand donneur d’ordres peut être visé non pour lui-même, mais comme porte d’entrée : votre entreprise fait partie du cercle de confiance de ses clients, et votre sécurité protège aussi la leur. C’est précisément pourquoi DORA et NIS2 encadrent les prestataires et sous-traitants.
Comment savoir qui pourrait viser mon entreprise ?
En croisant trois questions : qu’est-ce que je détiens qui a de la valeur (données, argent, secrets, accès à des tiers), qui aurait intérêt à l’obtenir ou à me nuire, et avec quels moyens. Cet exercice a un nom : c’est l’atelier « sources de risque » d’une analyse de risques. Notre simulateur gratuit le déroule en dix minutes, avec des pertinences pré-calculées selon votre profil.
L’analyse de risques est-elle réservée aux entreprises régulées ?
Non. DORA ou NIS2 l’imposent à certaines, mais la démarche (savoir qui vous vise, ce que vous risquez, quoi faire en premier) vaut pour toute organisation, du commerce indépendant à la société de gestion. La version formelle se conduit en ateliers ; la version découverte est gratuite et prend dix minutes avec notre simulateur EBIOS RM.
Quelle différence entre un cybercriminel et un hacktiviste ?
La motivation. Le cybercriminel veut de l’argent : rançongiciel, fraude au virement, revente de données et d’accès. L’hacktiviste veut faire passer un message : défiguration de site, déni de service, fuite revendiquée, pour une cause sociale, politique ou religieuse. Les dégâts du second sont surtout d’image, mais un site indisponible reste une perte d’exploitation.
Que faire au moindre doute sur un poste ou un message ?
Quatre gestes, dans l’ordre : isoler la machine du réseau sans l’éteindre (les preuves disparaîtraient), alerter immédiatement votre prestataire et votre hiérarchie, ne rien payer et ne rappeler aucun numéro fourni par l’interlocuteur suspect, et préserver courriels, SMS et captures pour l’analyse. Signaler vite n’est jamais une faute ; se taire, si.
Vous écouter est dans notre nature
Une question, un projet en urgence ou à long terme : parlons-en, cela n’engage à rien.