Cybersécurité : 10 réflexes essentiels pour une petite structure

« Nous sommes trop petits pour intéresser les pirates. » C’est une idée répandue, et elle est fausse. La plupart des attaques ne visent personne en particulier : des courriels piégés sont envoyés par millions, des robots testent en permanence les mots de passe et les failles connues. Une petite structure est souvent une cible plus facile qu’une grande, parce qu’elle a moins de moyens à consacrer à sa sécurité.

Les chiffres le confirment. En 2025, les entreprises et associations qui ont demandé de l’aide à Cybermalveillance.gouv.fr étaient d’abord victimes de piratage de compte (21 % des demandes), d’hameçonnage (16 %), de fraude au virement (13,5 %) et de rançongiciel (8 %). Des attaques banales, qui exploitent surtout des mots de passe faibles, des logiciels pas à jour et un moment d’inattention.

La bonne nouvelle, c’est que quelques mesures simples suffisent à écarter la grande majorité des attaques. Celles qui suivent s’appuient sur les recommandations de l’ANSSI, l’agence nationale chargée de la cybersécurité, et de Cybermalveillance.gouv.fr, le dispositif public d’assistance aux victimes.

En bref

• Des mots de passe uniques, un gestionnaire de mots de passe et la double authentification protègent vos comptes.
• Les mises à jour corrigent les failles : appliquez-les vite, et remplacez ce qui n’en reçoit plus.
• Une sauvegarde déconnectée vous permet de repartir après un rançongiciel.
• Avant tout virement inhabituel, vérifiez par téléphone, sur un numéro que vous connaissez déjà.

Protéger les accès

1. Un mot de passe différent pour chaque compte

Lorsqu’un site se fait pirater, les mots de passe volés sont aussitôt essayés ailleurs : messagerie, banque, logiciels en ligne. Un mot de passe réutilisé ouvre donc plusieurs portes à la fois. Chaque compte doit avoir le sien, long et difficile à deviner. La CNIL recommande au moins 12 caractères mêlant majuscules, minuscules, chiffres et caractères spéciaux, ou une phrase de passe d’au moins sept mots, à la fois plus solide et plus facile à retenir.

Pour ne pas avoir à les retenir, utilisez un gestionnaire de mots de passe, comme KeePassXC ou Bitwarden, deux logiciels libres. Il crée des mots de passe solides et les remplit à votre place. Vous n’avez plus qu’un seul mot de passe à retenir : celui du gestionnaire.

2. La double authentification sur les comptes importants

La double authentification ajoute une seconde vérification au mot de passe : un code reçu sur votre téléphone, une application dédiée ou une clé de sécurité. Même si votre mot de passe est volé, l’attaquant ne peut pas se connecter. Activez-la en priorité sur votre messagerie, qui permet de réinitialiser tous vos autres comptes, sur vos accès bancaires et sur vos logiciels de gestion.

3. Des comptes séparés, et des accès à jour

Au quotidien, travaillez avec un compte utilisateur ordinaire, et gardez le compte administrateur pour les installations et les réglages. Un logiciel malveillant ouvert par erreur aura beaucoup moins de pouvoir. Chaque personne doit avoir son propre compte : on sait ainsi qui a accès à quoi. Et lorsqu’un salarié, un stagiaire ou un bénévole quitte la structure, désactivez ses accès le jour même.

Garder ses équipements à jour

4. Appliquer les mises à jour sans attendre

Les mises à jour ne servent pas qu’à ajouter des fonctionnalités : elles corrigent des failles de sécurité, souvent déjà connues des attaquants. Activez les mises à jour automatiques sur les ordinateurs, les téléphones et les navigateurs. N’oubliez pas les équipements que l’on ne voit pas : la box internet, le routeur, le serveur de fichiers (NAS), l’imprimante réseau, les caméras.

5. Remplacer ce qui n’est plus maintenu

Un système qui ne reçoit plus de correctifs reste vulnérable à chaque nouvelle faille découverte. C’est le cas de Windows 10 depuis la fin de son support. Recensez vos équipements, repérez ceux qui ne sont plus mis à jour, et prévoyez leur mise à niveau ou leur remplacement. Nous détaillons les options dans notre article sur la fin de Windows 10.

Protéger ses données

6. Sauvegarder, avec une copie déconnectée

Face à un rançongiciel, qui chiffre vos fichiers pour exiger une rançon, la sauvegarde est souvent la seule issue. Encore faut-il qu’elle ait échappé à l’attaque : au moins une copie doit être déconnectée du réseau, ou impossible à modifier. Et elle doit avoir été testée. Notre article sur la règle du 3‑2‑1 explique comment s’y prendre.

7. Chiffrer les ordinateurs portables

Un ordinateur portable se perd ou se vole facilement. Sans chiffrement, il suffit de retirer son disque pour lire tout son contenu : fichiers clients, courriels, mots de passe enregistrés. Le chiffrement du disque, intégré à Windows (BitLocker), à macOS (FileVault) et à Linux, rend ces données illisibles sans votre mot de passe. Il s’active en quelques minutes ; conservez simplement la clé de secours en lieu sûr.

Adopter les bons réflexes

8. Se méfier des messages trop pressants

L’hameçonnage (ou phishing) est la porte d’entrée de la plupart des attaques : un courriel ou un SMS imite votre banque, un fournisseur, un transporteur ou un service public, et vous pousse à cliquer sur un lien, ouvrir une pièce jointe ou saisir vos identifiants. Quelques signes doivent alerter :

• un ton urgent ou menaçant (« votre compte sera suspendu sous 24 heures ») ;
• une adresse d’expéditeur qui ne correspond pas tout à fait à l’organisme ;
• une demande d’identifiants, de coordonnées bancaires ou de code reçu par SMS ;
• une pièce jointe inattendue, même d’un contact connu.

En cas de doute, ne cliquez pas : rendez-vous vous-même sur le site de l’organisme, ou appelez-le.

9. Vérifier par téléphone avant tout virement inhabituel

La fraude au virement est redoutable pour les petites entreprises, et elle a presque doublé en 2025 selon Cybermalveillance.gouv.fr : un faux fournisseur annonce un nouveau RIB, ou un faux dirigeant demande un virement urgent et confidentiel. Le message peut sembler parfaitement authentique, et provenir même d’une vraie boîte mail piratée. La parade est simple : avant de modifier un RIB ou d’effectuer un virement inhabituel, appelez votre interlocuteur sur un numéro que vous connaissiez déjà, jamais sur celui indiqué dans le message.

10. Séparer le Wi‑Fi des visiteurs

Vos clients, vos visiteurs et vos objets connectés n’ont pas à se trouver sur le même réseau que vos ordinateurs. Un réseau Wi‑Fi invité, séparé du réseau de travail, empêche un appareil infecté ou malveillant d’atteindre vos postes et vos fichiers. La plupart des box et des bornes Wi‑Fi récentes le proposent. Changez aussi le mot de passe d’administration d’origine de vos équipements réseau.

En cas d’incident

Malgré toutes les précautions, un incident peut arriver. Les premiers gestes comptent :

1. Isolez l’appareil : débranchez le câble réseau et coupez le Wi‑Fi, pour éviter que l’attaque ne s’étende. Évitez de l’éteindre si possible, pour préserver les traces utiles à l’enquête.
2. Ne payez pas de rançon : rien ne garantit que vous récupérerez vos données, et vous financez les attaquants.
3. Faites-vous aider : le site Cybermalveillance.gouv.fr propose un diagnostic en ligne, des conseils et une mise en relation avec des prestataires. Le service 17Cyber, ouvert jour et nuit, permet aussi d’échanger directement avec un policier ou un gendarme.
4. Déposez plainte auprès de la police ou de la gendarmerie.
5. Prévenez la CNIL si des données personnelles ont pu être consultées ou volées : le RGPD impose de le faire dans les 72 heures lorsque la fuite présente un risque pour les personnes concernées.

Par où commencer ?

Inutile de tout faire en une semaine. Si vous ne deviez retenir que trois priorités : la double authentification sur la messagerie, les mises à jour automatiques et une sauvegarde déconnectée, testée. À elles seules, elles écartent une grande partie des risques.

Pour aller plus loin, l’ANSSI publie un guide pensé pour les petites structures, La cybersécurité pour les TPE/PME en 13 questions, et Cybermalveillance.gouv.fr propose de nombreuses fiches pratiques, claires et gratuites (voir les sources ci-dessous).

Si vous préférez être accompagné, nous pouvons faire avec vous le point sur ces dix réflexes, puis mettre en place ce qui manque : mises à jour, sauvegardes, réseau invité, comptes et accès. Le détail est sur nos pages maintenance et réseau et sécurité.

Sources

• ANSSI, La cybersécurité pour les TPE/PME en 13 questions, version de novembre 2024
• ANSSI, Guide d’hygiène informatique, 42 mesures
• Cybermalveillance.gouv.fr, les principales menaces pour les professionnels en 2025, mai 2026
• Cybermalveillance.gouv.fr, que faire en cas de rançongiciel
• CNIL, recommandation relative aux mots de passe, juillet 2022