Daniel A. dirige un atelier d'usinage de précision. Pendant des années, il a pensé que sa société était trop discrète pour intéresser qui que ce soit : « On n'est pas une banque. » Puis, un lundi matin, Marc K., son référent informatique à mi-temps, lui montre une liste : des centaines de tentatives de connexion sur la messagerie de l'entreprise, toutes lancées pendant la nuit. Personne n'avait choisi Daniel en particulier — et c'est exactement là qu'est le malentendu.
Pourquoi les PME sont visées, vraiment
Le mot « visées » prête à confusion. On imagine un pirate en sweat à capuche qui étudie sa proie, choisit une entreprise et prépare son coup. Cette image est rassurante — parce qu'on se dit qu'on est trop petit pour valoir cet effort. La réalité est plus banale, et un peu plus dérangeante : la plupart des attaques ne visent personne en particulier.
Des programmes automatisés — des robots logiciels — balaient Internet en continu, jour et nuit, à la recherche de portes laissées ouvertes : un mot de passe faible, un logiciel qui n'a pas été mis à jour, une adresse e-mail qui traîne. Quand une porte cède, l'attaque se déclenche toute seule. Souvent, l'objectif est de déposer un rançongiciel — un logiciel qui chiffre (rend illisibles) tous vos fichiers, puis réclame une rançon pour vous en rendre l'accès. Pour celui qui lance ces robots, essayer sur une PME de Delémont ou sur un groupe international coûte à peu près la même chose : presque rien. Alors il essaie sur tout le monde.
C'est le premier renversement : votre PME n'est pas « trop petite ». Elle est simplement à portée du même filet, jeté au hasard sur des millions d'adresses à la fois. La taille ne protège pas ; le niveau de protection, si.
Camille, notre conseillère cyber, le résume souvent ainsi : « Imaginez un quartier où un rôdeur essaie toutes les poignées de porte, une par une, sans savoir à l'avance ce qu'il y a derrière. Il n'en veut pas à vous personnellement — il entrera simplement là où c'est ouvert. En cyber, ce rôdeur n'a pas besoin de marcher : un programme essaie des milliers de poignées par seconde. La seule chose qui compte, c'est de savoir si la vôtre est verrouillée. » C'est une bonne nouvelle, au fond : on ne peut pas empêcher le rôdeur de passer, mais on peut décider que sa poignée, à soi, ne tourne pas.
Le maillon faible d'une chaîne
Il existe une deuxième raison, plus ciblée celle-là. Un atelier comme celui de Daniel A. ne travaille pas seul : il sous-traite pour des donneurs d'ordre plus gros, dans l'horlogerie ou le médical. Or un attaquant qui n'arrive pas à entrer chez le grand groupe — mieux protégé — cherche un autre chemin. Ce chemin, c'est souvent un fournisseur plus modeste, connecté au client par des e-mails, des fichiers échangés, parfois un accès partagé à une plateforme.
On appelle ça une attaque sur la chaîne d'approvisionnement (en anglais, supply chain) : on n'attaque pas la forteresse de face, on passe par le fournisseur qui a la clé. La PME devient la porte d'entrée vers des cibles plus grosses. Ce n'est pas une abstraction : c'est précisément pour cette raison que de plus en plus de donneurs d'ordre envoient à leurs sous-traitants un questionnaire de sécurité avant de renouveler un contrat. Être « le maillon faible » n'est plus seulement un risque technique — c'est devenu un risque commercial.
Des données qui valent quelque chose
Enfin, contrairement à ce qu'on croit, une PME industrielle détient des choses convoitées : des plans techniques, des gammes d'usinage, la propriété intellectuelle de ses clients, son carnet de commandes. Beaucoup de valeur, souvent derrière une protection plus légère que celle d'un grand groupe. Pour un attaquant, c'est le meilleur rapport entre l'effort et le gain. L'Office fédéral de la cybersécurité (OFCS/NCSC), la référence publique en Suisse, publie d'ailleurs régulièrement des recommandations spécifiquement pour les PME — non par excès de zèle, mais parce qu'elles sont concrètement concernées.
Ce qu'il faut retenir
- Vous n'êtes pas visé personnellement, mais vous êtes à portée. Les attaques sont automatisées et ratissent large : la question n'est pas « suis-je une cible intéressante ? », mais « une porte est-elle restée ouverte chez moi ? ».
- Être petit ne protège pas — au contraire. Une protection légère fait de vous à la fois une cible facile et un point d'entrée commode vers vos clients et vos donneurs d'ordre.
- La responsabilité est la vôtre. La nLPD (la loi suisse sur la protection des données) attend d'une entreprise qu'elle prenne des mesures de sécurité « appropriées » à la sensibilité de ce qu'elle détient. Ce n'est pas une affaire réservée aux grands ; c'est une attente qui vous concerne aussi.
Les gestes à installer cette semaine
Bonne nouvelle : les mesures qui bloquent la grande majorité de ces attaques automatisées sont simples, et la plupart ne demandent ni budget ni informaticien à demeure. Trois gestes suffisent pour sortir du lot des « portes ouvertes ».
1. Activer la double authentification, en commençant par la messagerie
La double authentification (MFA) ajoute, en plus du mot de passe, une deuxième preuve d'identité : le plus souvent un code ou une validation sur votre téléphone. Même si un robot devine votre mot de passe, il reste bloqué sans ce second facteur. Commencez par la messagerie de l'entreprise — c'est la porte la plus attaquée, et celle qui donne accès à tout le reste. La fonction existe déjà dans la plupart des outils que vous utilisez ; il suffit de l'activer.
2. Faire la liste de vos accès et de vos connexions
Prenez trente minutes pour répondre à deux questions toutes bêtes : qui a accès à quoi chez vous, et à qui êtes-vous connecté à l'extérieur ? Cherchez en particulier les comptes d'anciens collaborateurs encore actifs, les accès partagés que plus personne ne surveille, et les liens numériques avec vos clients et fournisseurs. On ne protège bien que ce qu'on a d'abord rendu visible.
3. Vérifier que votre sauvegarde existe vraiment — et qu'elle est à part
« On a des sauvegardes » ne suffit pas. La vraie question est : si tous vos fichiers étaient chiffrés demain matin, pourriez-vous repartir d'une copie récente, intacte et séparée du reste ? Vérifiez qu'une sauvegarde tourne bien, qu'elle n'est pas connectée en permanence au réseau (sinon un rançongiciel l'atteint aussi), et qu'une restauration a déjà été testée au moins une fois. C'est votre filet de sécurité le jour où tout le reste cède — et, pour un atelier dont l'activité dépend de plans et de commandes, c'est aussi la différence entre quelques heures d'arrêt et plusieurs jours de production perdus.
Où en êtes-vous vraiment ?
Ces trois gestes réduisent nettement votre exposition. Mais ils ne répondent pas à la question de fond que se posent Daniel A. et Marc K. : sur l'ensemble de notre organisation, où sont nos vraies faiblesses, et par quoi commencer ? Comprendre pourquoi les PME sont visées, c'est un premier pas ; savoir où vous en êtes, précisément, en est un autre.
Cyber Passport ne certifie rien et ne vous déclare pas « en règle » : il vous aide à réaliser une auto-évaluation structurée, honnête, que vous pouvez partager avec un client ou un auditeur qui vous le demande. Vous voyez enfin votre posture en clair, priorité par priorité, plutôt qu'un vague sentiment d'insécurité.
Pour transformer cette prise de conscience en plan d'action concret, découvrez notre blueprint dédié à la posture cyber des PME.
