Comment se protéger des cyberattaques en tant qu'entrepreneur : le guide

Un client m'appelle un mardi matin, paniqué. Il ouvre son logiciel de facturation et découvre que tous ses fichiers sont renommés en .lock, avec un message d'rançon affiché en plein écran. Sa boîte de conseil, quatre salariés, huit ans d'existence. Le message demande 12 000 euros en bitcoin, payable sous 48 heures. Il n'avait aucune sauvegarde à jour depuis... sept mois.

C'est ce jour-là que j'ai compris un truc que je répète à chaque entrepreneur que je croise : personne ne vient vous chercher parce que vous êtes gros. On vient vous chercher parce que vous êtes mal fermé. Et un indépendant ou une TPE avec trois fichiers clients jamais sauvegardés, c'est une porte ouverte avec un panneau "entrez".

Ce type n'était pas une cible stratégique. Il était juste le chemin le plus simple.

Pourquoi les petites entreprises sont les cibles faciles

Le raisonnement qu'on entend partout — "je suis trop petit pour intéresser un hacker" — est l'inverse de la réalité. Un attaquant ne cible pas une personne. Il scanne des milliers d'adresses IP à la recherche de failles connues ou de mots de passe faibles. L'automatisation ne coûte rien. Ce qui compte, c'est le nombre de proies.

Le mythe de la cible "non intéressante"

Un rançongiciel qui réclame 8 000 euros à une entreprise de six personnes rapporte plus, rapporté au temps investi, qu'une opération complexe contre un groupe du CAC 40. La probabilité de paiement est souvent plus forte chez un patron paniqué que chez une équipe juridique rodée.

Franchement, ça fait froid dans le dos. Mais c'est la logique économique d'en face.

Ce qui se joue vraiment derrière une attaque

Ce n'est pas seulement une histoire d'argent. C'est votre capacité à continuer à travailler. Une semaine d'arrêt pour une structure de cinq personnes, ça peut suffire à faire basculer une trésorerie. J'ai vu un artisan perdre son plus gros client parce qu'il n'a pas pu livrer pendant douze jours.

• Arrêt d'activité pur et simple
• Perte des fichiers clients, des devis, des dossiers en cours
• Atteinte à la réputation — le client apprend l'incident, il doute
• Fraîcheur réglementaire : si des données personnelles fuient, les obligations tombent

Les deux mesures qui font la différence : MFA et sauvegardes

Si vous ne devez retenir que deux choses de cet article, ce sont celles-là. Et aucune des deux ne coûte un centime.

Authentification multifacteur : le verrou qui change tout

Activez-la partout où c'est possible : messagerie, banque en ligne, comptabilité, hébergement du site. La MFA (authentification multifacteur) fait qu'un mot de passe volé ne suffit plus. L'attaquant a besoin d'un second facteur — un code, une clé matérielle, une validation sur téléphone.

C'est la mesure au meilleur retour sur effort. Le jour où j'ai compris ça, j'ai passé une soirée à l'activer sur mes propres comptes. Une soirée bien dépensée.

La règle 3-2-1 pour des sauvegardes qui servent vraiment

Le client dont je parlais au début avait "des sauvegardes". Le problème ? Elles étaient sur le même disque réseau que les fichiers chiffrés. Le rançongiciel a tout mangé.

La règle 3-2-1 : trois copies des données, sur deux supports différents, dont une hors ligne. Cette dernière version — déconnectée physiquement ou sur un espace non monté — est ce qui change la donne. Une sauvegarde accessible depuis le réseau le sera aussi par l'attaquant.

Mesure	Coût	Effort	Protège contre
MFA sur les comptes	Gratuit à faible	Faible	Vol de mot de passe
Sauvegarde 3-2-1 hors ligne	Faible	Modéré (une fois)	Rançongiciel, perte de données
Mises à jour automatiques	Gratuit	Minime	Exploitation de failles connues
Formation des équipes	Modéré	Récurrent	Hameçonnage
Antivirus / pare-feu	Faible	Faible	Menaces de base

Former et sensibiliser : le risque est souvent à l'intérieur

On passe des heures à se demander comment un attaquant entre. Dans la grande majorité des incidents que j'ai vus de près, la porte s'appelait un mail. Un fichier joint. Un lien.

Ce que veut dire "sensibiliser" concrètement

Pas besoin d'un séminaire d'une journée. Une demi-heure par trimestre, avec des exemples réels de faux mail, fait déjà passer la vigilance à un autre niveau. Le test le plus parlant : envoyer un faux message d'hameçonnage à votre équipe, et regarder qui clique. Sans blâme — juste pour voir où vous en êtes.

J'en ai fait un une fois. La moitié de mon petit groupe a cliqué. On en a ri, puis on a bossé. Le trimestre suivant, c'était mieux.

L'hameçonnage en 2026 vu de près

Les messages sont beaucoup plus crédibles qu'il y a quelques années. Le ton est bon, les logos aussi, le français est propre. Un faux message de votre banque qui vous demande de "confirmer une opération" ressemble désormais à un vrai.

La règle qui sauve : en cas de doute, ne cliquez pas. Vous fermez le mail, vous appelez le numéro que vous connaissez. Toujours.

Que faire dans les premières 24 heures d'une attaque

Il n'y a pas de place pour l'improvisation. Le pire moment pour réfléchir, c'est quand tout est déjà bloqué.

Le plan de réponse en quatre étapes

1. Isoler — déconnectez la machine ou le réseau concerné immédiatement. Ne l'éteignez pas : les experts pourront analyser plus tard. Débranchez.
2. Vérifier les sauvegardes — et surtout, ne les rebranchez pas avant d'avoir identifié ce qui s'est passé.
3. Déclarer — si des données personnelles ont fuité, la CNIL doit être notifiée sous 72 heures. Un dépôt de plainte peut être utile pour l'assurance.
4. Appeler l'assureur — si vous avez une assurance cyber, elle peut financer l'intervention d'un expert. Vérifiez votre contrat avant.

Et si vous ne payez pas la rançon ? Dans la majorité des cas documentés, payer ne garantit pas la récupération des données. Certains attaquants ne rendent rien, ou reviennent. C'est une décision que je ne prendrais jamais à la légère, mais personnellement, je considère que payer finance la prochaine victime.

Obligations légales et cadre réglementaire

Être entrepreneur ne dispense pas de respecter le RGPD, et un incident peut faire surgir des obligations que beaucoup ignorent.

• Violation de données personnelles : notification à la CNIL sous 72 h si le risque est avéré pour les personnes concernées.
• Information des personnes : dans certains cas, vous devez prévenir les clients dont les données ont fuité.
• Responsabilité du dirigeant : un manquement grave à la sécurité peut engager votre responsabilité, même sans mauvaise intention.
• Assurance cyber : de plus en plus de contrats couvrent les frais d'un incident — mais les conditions sont strictes.

L'ANSSI, l'agence nationale de cybersécurité, publie des guides gratuits et adaptés aux petites structures. C'est une ressource que je conseille à chaque entrepreneur qui démarre. Pas de jargon marketing, juste des recommandations concrètes.

Ce que je conseille à un entrepreneur qui débute

Je commence toujours par la même question : "Si votre ordinateur tombait en panne ce soir, qu'est-ce que vous auriez perdu ?" La réponse donne souvent une idée assez précise du niveau de risque.

Mon conseil, dans l'ordre :

1. Activez la MFA sur la messagerie et la banque. Aujourd'hui.
2. Mettez en place une sauvegarde hors ligne, et testez-la une fois. Une sauvegarde jamais testée est une croyance, pas une protection.
3. Faites un point avec votre équipe, même une heure. Exemples concrets, sans jargon.
4. Écrivez un plan d'urgence d'une page. Qui appelle qui, dans quel ordre.
5. Vérifiez votre assurance.

Rien de tout cela ne demande une formation technique. Cela demande de décider de s'en occuper.

La vraie question n'est pas technique

La cybersécurité pour un entrepreneur, ce n'est pas une histoire de logiciels ni de budgets hors de portée. C'est une histoire de décisions prises à temps. Un mot de passe unique, une sauvegarde vérifiée, une demi-heure de sensibilisation : voilà ce qui sépare une mauvaise nuit d'un désastre.

Le client du début ? Il a fini par restaurer une vieille copie, partiellement. Il a perdu deux mois de facturation. Il n'a pas payé. Et il a passé la semaine suivante à activer la MFA sur tout ce qu'il avait.

Ce n'est pas une question de "si", mais de "quand". La seule chose qui compte, c'est de ne pas être celui qui n'était pas prêt.