Ransomware : les 5 erreurs qui exposent votre PME

1. Laisser des accès distants protégés par un seul mot de passe.

Un ancien compte de prestataire, une messagerie accessible partout ou une télémaintenance oubliée peuvent offrir un point d’entrée. La fiche de Cybermalveillance.gouv.fr souligne le rôle des comptes compromis et des accès distants insuffisamment protégés.

Pour une PME, le premier travail est souvent organisationnel : dresser la liste des accès, désigner leur propriétaire et comprendre pourquoi ils existent encore. Une exception temporaire doit avoir une date de révision. Un compte sans responsable ne doit pas devenir une habitude.

À mettre à l’ordre du jour : revue des accès, suppression des comptes inutiles et authentification multifacteur sur les services concernés.

2. Repousser les mises à jour sans responsable désigné.

Les correctifs de sécurité concernent les ordinateurs, mais aussi les équipements exposés à Internet. Leur application régulière fait partie des mesures recommandées contre les rançongiciels.

« On le fera plus tard » devient vite un fonctionnement permanent lorsque personne ne possède le sujet. Organisez un calendrier, un interlocuteur et une remontée des exceptions. Pour une application fragile, il faut examiner les contraintes et préparer l’intervention plutôt que repousser indéfiniment.

Exemple : un logiciel métier impose un test avant mise à jour. Le bon réflexe est de fixer une date de validation et une mesure transitoire avec le prestataire. Le tableau de suivi doit montrer ce qui bloque, qui décide et quand le point sera réexaminé.

À demander : la liste des équipements qui ne reçoivent plus de correctifs et le plan prévu pour chacun.

3. Confondre sauvegarde présente et reprise possible.

Les attaquants peuvent chercher à détruire les sauvegardes. Des copies isolées et des essais de restauration font donc partie des précautions essentielles. Une synchronisation de fichiers ne remplace pas, à elle seule, une stratégie de sauvegarde.

Posez une question métier : si le dossier de production devient inaccessible demain, de quelle version avons-nous besoin et dans quel délai ? Cette discussion permet de définir des priorités. La comptabilité, les documents clients et les outils de travail peuvent avoir des contraintes différentes.

Demandez ensuite une preuve adaptée : date du dernier essai, données restaurées, durée observée et difficultés rencontrées. Un exercice limité mais documenté vous apprend davantage qu’une simple icône verte. Il aide à préparer les personnes qui devront prendre les décisions.

À vérifier : ce qui est sauvegardé, les accès aux copies et la date du dernier test de restauration.

4. Donner trop de droits et ne jamais les revoir.

Limiter les droits aux besoins du travail et séparer les usages d’administration réduit l’exposition. Le compte utilisé pour les tâches courantes ne devrait pas disposer systématiquement de tous les privilèges.

Dans une petite équipe, les fonctions évoluent rapidement. Une personne change de service, un prestataire termine sa mission, une boîte partagée conserve ses anciens membres. Sans revue, les autorisations racontent l’histoire de l’entreprise au lieu de refléter son organisation actuelle.

Associez les vérifications aux événements déjà connus : arrivée, changement de fonction et départ. Le dirigeant ou le responsable métier valide le besoin ; le prestataire applique les changements et conserve une trace. Ce partage des responsabilités rend le processus plus fiable.

À instaurer : une validation des accès lors de chaque mouvement de personnel.

5. Attendre l’incident pour décider qui fait quoi.

En cas d’attaque, il faut isoler les systèmes touchés, alerter le prestataire et préserver les preuves. La recommandation officielle est de ne pas payer la rançon. Appuyez-vous sur la fiche de réaction officielle et un professionnel pour organiser les premières actions.

La préparation se joue avant : disposez-vous des coordonnées utiles autrement que dans la messagerie de l’entreprise ? Qui peut décider d’interrompre un service ? Qui informe les équipes ? Quelle activité doit être rétablie en premier ?

Un exercice de trente minutes peut commencer par un scénario simple : « les fichiers partagés ne s’ouvrent plus ». Chacun explique ce qu’il ferait et les informations qui lui manquent. L’objectif est de révéler les trous dans l’organisation, sans simuler une attaque réelle.

À préparer : une fiche de contacts et de responsabilités accessible même si les outils habituels sont indisponibles.