"Nous ne sommes pas une cible, nous sommes trop petits" — la plus dangereuse des illusions

C'est probablement la phrase la plus entendue dans les PME marocaines : « Les pirates s'attaquent aux grandes entreprises, pas à nous. » Le raisonnement se comprend. Pourquoi un attaquant choisirait-il une usine de quatre-vingts salariés alors qu'il existe des multinationales ? La réponse est qu'il n'y a, dans la plupart des cas, aucun choix délibéré. C'est précisément là que le raisonnement se rompt.

Les deux premiers chiffres proviennent du Data Breach Investigations Report 2025 de Verizon : le ransomware était présent dans 88 % des violations touchant les organisations de petite taille, contre 44 % de l'ensemble des violations analysées. Le troisième est issu du Cost of a Data Breach Report 2023 d'IBM.

Pourquoi les PME sont attractives pour les attaquants

L'essentiel des attaques est automatisé. Des systèmes parcourent en permanence internet à la recherche de machines vulnérables. Ces automates ne consultent aucun registre du commerce et ignorent votre chiffre d'affaires ; ils enregistrent uniquement qu'un système est accessible et exploitable. Votre entreprise entre dans le champ dès que l'un des points suivants s'applique :

• Des logiciels fonctionnent sans avoir reçu de correctifs depuis plusieurs mois
• Un accès distant, un VPN ou un portail web est exposé directement sur internet
• Les mots de passe sont réutilisés, y compris en dehors du cadre professionnel
• L'authentification multifacteur n'est pas activée, ou seulement pour la direction
• Vos systèmes de production sont accessibles depuis le réseau bureautique

Face à une liste de milliers de systèmes vulnérables, un attaquant commence par celui qui demande le moins d'efforts. Dans la pratique, ce système se trouve plus souvent dans une organisation dépourvue de fonction sécurité que dans un groupe disposant de ses propres équipes. Cela explique aussi la surreprésentation du ransomware dans ce segment : là où la détection et les procédures de restauration font défaut, le chiffrement produit le meilleur rendement pour l'attaquant.

Les mythes démystifiés

Mythe : « Nous n'avons rien de précieux. »
Réalité : votre organisation détient des données clients, une comptabilité, de la documentation technique et des formulations. Elle dispose surtout de moyens de production qui doivent rester disponibles. Un ransomware ne procède à aucune évaluation de la valeur marchande de vos fichiers. Rien n'a d'ailleurs besoin d'être dérobé : il suffit de rendre vos données inaccessibles jusqu'au paiement.

Mythe : « Notre prestataire informatique gère la sécurité. »
Réalité : votre prestataire maintient votre infrastructure en état de fonctionnement, ce qui constitue une mission distincte de sa protection. Reprenez votre contrat : si aucune prestation de sécurité n'y figure explicitement, personne ne surveille les comportements suspects sur vos systèmes.

Mythe : « Nous n'avons jamais eu d'incident. »
Réalité : selon IBM, une intrusion met en moyenne 204 jours à être détectée. Affirmer aujourd'hui que rien ne s'est produit revient donc à formuler, sans supervision, une affirmation portant sur les sept derniers mois.

Le coût de l'inaction

Un incident de ransomware pèse sur une PME de trois manières :

• Coûts directs : la rançon, à laquelle s'ajoutent l'investigation technique et l'assistance juridique. Verizon relève pour 2024 un montant médian de 115 000 dollars ; la moyenne se situe nettement plus haut, quelques versements très élevés faussant le calcul
• Coûts indirects : arrêt de production, atteinte à la réputation, clients qui se tournent vers un autre fournisseur, ruptures contractuelles
• Coûts structurels : hausse des primes d'assurance et investissements réalisés dans l'urgence, donc à un prix supérieur

Rapportées à ces montants, les mesures de base représentent chez la plupart des organisations moins que le coût d'une seule journée d'arrêt de production.

Que pouvez-vous faire dès aujourd'hui ?

1. Activez l'authentification multifacteur sur l'ensemble des accès externes, la messagerie et les comptes d'administration. De toutes les mesures, c'est celle dont le rapport entre effort et réduction du risque est le plus favorable.
2. Appliquez les correctifs selon un rythme défini. Systèmes d'exploitation, pare-feux et applications, avec une responsabilité et une périodicité formalisées.
3. Restaurez réellement une sauvegarde. Une sauvegarde jamais restaurée relève de l'hypothèse. Veillez en outre à conserver au moins une copie hors ligne.
4. Séparez bureautique et production. Une seule frontière contrôlée par un pare-feu constitue déjà une amélioration considérable par rapport à un réseau plat.
5. Entraînez vos équipes au phishing sans sanctionner celui qui se trompe. Le signalement doit rester plus simple que la dissimulation.