Un de vos salariés reçoit un mail d'un fournisseur qu'il connaît. Facture en pièce jointe, rien d'inhabituel. Il l'ouvre. Rien ne se passe, en tout cas rien de visible. Il termine sa journée, referme son laptop, rentre chez lui.
Quelqu'un vient d'entrer chez vous. Pas par le serveur, pas par le firewall : par un ordinateur portable posé sur un bureau. C'est de loin le scénario le plus fréquent, et c'est aussi celui auquel les PME se préparent le moins.
Quand on parle sécurité informatique dans une entreprise de vingt personnes, la discussion tourne vite autour du serveur, de la sauvegarde, du pare-feu. Ces sujets comptent. Mais un attaquant, lui, ne perd pas son temps à attaquer une infrastructure de front. Il vise ce qui est le plus facile à atteindre : le poste d'un collaborateur. Et une fois qu'il y est, il n'a plus besoin de forcer quoi que ce soit.
Ce que contient vraiment un poste de travail
Regardez l'ordinateur d'un de vos salariés comme un attaquant le regarde. Ce n'est pas une machine à taper des documents. C'est un trousseau de clés.
La session Microsoft 365 ou Google Workspace y est ouverte en permanence, ce qui donne accès à la messagerie, au Drive, au SharePoint sans avoir à retaper le moindre mot de passe. Le navigateur a enregistré des dizaines d'identifiants : le CRM, l'outil de facturation, parfois la banque. Le VPN est configuré et se connecte tout seul au réseau interne. Les lecteurs réseau se montent automatiquement au démarrage, y compris ceux de la comptabilité. Et une bonne partie des applications stockent localement des jetons de session, qui permettent de reprendre une connexion sans jamais connaître le mot de passe d'origine.
Celui qui prend le contrôle de cette machine hérite de tout ça d'un coup. Il n'a rien cassé, rien deviné. Il se sert d'accès parfaitement légitimes, ceux de votre salarié, ce qui explique au passage pourquoi ces intrusions passent si longtemps inaperçues.
Comment un attaquant progresse dans le réseau
Le poste infecté n'est jamais l'objectif. C'est le point d'entrée. Ce qui suit porte un nom dans le métier : le mouvement latéral, c'est-à-dire la progression d'une machine à l'autre à l'intérieur de l'entreprise.
Ça commence par de l'observation. L'attaquant lit les mails, comprend qui décide quoi, repère les habitudes de paiement, cartographie le réseau, identifie les comptes qui ont des droits élevés. Cette phase peut durer des semaines et ne déclenche aucune alerte, parce qu'il ne fait rien d'anormal.
Vient ensuite la récolte d'identifiants. Ceux qui traînent sur le poste, ceux que le salarié réutilise d'un service à l'autre, et surtout ceux d'un compte administrateur s'il en possède un. À partir de là, il se déplace vers d'autres machines et vers les serveurs, en se connectant normalement, avec des identifiants valides. Aucun outil de sécurité ne voit d'intrusion : il voit un utilisateur qui travaille.
Dernière étape avant de frapper : installer une persistance, un accès de secours qui survivra au redémarrage, à la suppression du fichier d'origine, parfois même à la réinstallation du poste initial.
L'attaque ne devient visible qu'à la toute fin. Fichiers chiffrés, rançon demandée, ou virement parti chez un faux fournisseur. Entre le clic sur la pièce jointe et ce moment-là, il s'écoule souvent plusieurs semaines pendant lesquelles tout allait bien, en apparence.
Pourquoi les PME sont des cibles faciles
« On est trop petits pour intéresser qui que ce soit. » C'est la phrase qu'on entend le plus souvent, et c'est précisément ce qui rend une PME intéressante. Les attaques ne sont plus artisanales : elles sont automatisées, elles ratissent des milliers d'adresses en même temps, et elles ne trient pas les cibles par chiffre d'affaires.
S'ajoutent des faiblesses structurelles que connaît bien toute entreprise sans DSI. Les postes ont été achetés au fil des recrutements, configurés à la main, chacun un peu différemment. Beaucoup de salariés sont administrateurs de leur propre machine, par commodité. Les mises à jour sont repoussées parce qu'elles tombent toujours au mauvais moment. Le télétravail a fait sortir les ordinateurs du bureau sans que rien ne change côté sécurité. Et personne, dans l'entreprise, n'a pour mission de vérifier tout ça.
Il y a enfin un angle mort dont on parle peu : les départs. Un salarié quitte l'entreprise, son ordinateur revient trois semaines plus tard, ou pas du tout. Son compte reste actif, son VPN fonctionne toujours, sa session Microsoft 365 est ouverte quelque part. Vous avez laissé une porte entrouverte au nom de quelqu'un qui ne travaille plus chez vous.
Sept mesures qui protègent réellement vos postes
Sécuriser un parc de postes ne demande pas un budget de grand groupe. Sept mesures suffisent à écarter l'immense majorité des scénarios que je viens de décrire.
Chiffrez les disques. FileVault sur Mac, BitLocker sur Windows. Sans chiffrement, un laptop volé se lit en démontant le disque : fichiers clients, contrats, mots de passe stockés, tout est accessible. Avec, l'appareil ne vaut plus que sa valeur de revente. C'est gratuit, c'est intégré au système, et c'est la mesure la plus rentable de la liste.
Activez l'authentification à deux facteurs partout. Messagerie, VPN, banque, outils métier. Un mot de passe volé ne suffit plus à entrer. Si vous ne deviez en appliquer qu'une seule, ce serait celle-là : c'est ce qui bloque le plus grand nombre d'attaques réelles, et ça ne coûte rien.
Retirez les droits administrateur du quotidien. Un salarié qui travaille en compte admin donne les pleins pouvoirs à tout programme malveillant qui s'exécute chez lui. Le même incident sur un compte standard reste confiné à ce compte. On peut toujours accorder les droits ponctuellement quand c'est nécessaire.
Automatisez les mises à jour. La plupart des intrusions exploitent des failles corrigées depuis des mois, parfois des années. Une politique appliquée automatiquement, système et navigateurs en priorité, ferme ces portes sans dépendre de la bonne volonté de chacun un vendredi soir.
Installez une vraie protection sur chaque machine. L'antivirus fourni avec le système est un socle correct, pas une stratégie. Une solution de détection sur les postes repère des comportements suspects (un processus qui chiffre des fichiers en série, une connexion sortante inhabituelle) et pas seulement des fichiers déjà répertoriés comme dangereux.
Cloisonnez les accès. Le commercial n'a aucune raison d'accéder aux fichiers de paie. Restreindre les partages réseau au strict nécessaire limite mécaniquement ce qu'un poste compromis peut atteindre. C'est ce qui fait la différence entre un incident ennuyeux et un arrêt d'activité.
Traitez les départs comme un sujet de sécurité. Le jour même : accès coupés, sessions révoquées, appareil récupéré puis effacé, certificat de destruction archivé. Pas la semaine suivante.
Le vrai problème n'est pas de savoir quoi faire
Prises séparément, ces sept mesures sont à la portée de n'importe quelle PME. La difficulté est ailleurs : il faut les appliquer sur chaque machine, pour chaque salarié, et vérifier en permanence qu'elles le sont toujours.
Faites l'exercice mentalement. Vous avez vingt-cinq postes. Combien sont chiffrés, aujourd'hui, avec certitude ? Combien tournent sur une version système à jour ? Combien ont encore un compte admin ouvert « depuis l'installation » ? Sans outil, ces questions n'ont pas de réponse. Elles ont juste des suppositions.
C'est le rôle d'une solution de gestion de parc (Intune, Jamf ou Android Enterprise selon les environnements). Les règles s'appliquent automatiquement à chaque appareil qui rejoint le parc. Les machines qui dérivent remontent dans la console. Les mises à jour partent sans intervention. Et en cas de perte ou de départ, l'effacement à distance prend quelques secondes. Le poste cesse d'être une machine isolée qu'on espère bien configurée, il devient un appareil dont on peut prouver l'état à tout moment.
Cet aspect de preuve va prendre de l'importance. La directive européenne NIS2 étend les obligations de cybersécurité à beaucoup plus d'entreprises et, par ricochet, à leurs sous-traitants : vos clients grands comptes vous poseront la question avant longtemps. Le RGPD, de son côté, vous impose déjà de protéger les données personnelles qui transitent par ces postes, celles de vos salariés comme celles de vos clients.
Par où commencer cette semaine
Trois actions, dans cet ordre. Activez l'authentification à deux facteurs sur la messagerie d'entreprise. Vérifiez que le chiffrement est actif sur tous les portables. Fermez les comptes des personnes parties depuis plus d'un mois.
Ensuite seulement, faites l'inventaire, parce qu'on ne protège pas ce qu'on ne connaît pas : combien d'appareils exactement, chez qui, dans quel état, avec quels accès ouverts. Sur les audits que nous menons, ce simple comptage fait presque toujours apparaître des machines oubliées et des comptes actifs dont plus personne ne se souvenait.
Un ordinateur professionnel n'est pas un outil de bureautique. C'est la porte d'entrée de votre réseau, de vos données et de vos comptes bancaires. Le sécuriser relève moins du budget informatique que de la continuité de votre activité.