Piratage de comptes, première menace des entreprises : les réflexes qui protègent

Un fournisseur vous écrit pour signaler un changement de coordonnées bancaires. Le mail part de sa vraie adresse, il reprend l’historique de vos échanges, le ton est le bon. Deux semaines plus tard, le vrai fournisseur réclame son règlement.

Personne n’a « piraté » quoi que ce soit au sens spectaculaire du terme. Quelqu’un s’est simplement connecté à une boîte mail avec le bon mot de passe.

C’est devenu la première menace pour les entreprises françaises. Et c’est aussi l’une des plus simples à contrer : trois réflexes suffisent à bloquer l’essentiel.

Ce que disent les chiffres

Le rapport d’activité 2025 de Cybermalveillance.gouv.fr place le piratage de compte en tête des menaces visant les entreprises et les associations : 21 % des demandes d’assistance, en hausse de 52 % sur un an.

Juste derrière viennent l’hameçonnage, avec 16 % des demandes et une progression de 29 %, puis la fraude au virement, à 13,5 %, dont le nombre de cas a presque doublé en un an.

Ces trois menaces n’en forment en réalité qu’une seule : un mail piégé donne un mot de passe, le mot de passe donne une boîte mail, la boîte mail permet la fraude. Casser le premier maillon suffit à faire tomber la chaîne.

À retenir
L’attaquant ne force pas votre porte. Il entre avec les clés. C’est pour cela que l’antivirus ne voit rien : du point de vue du système, c’est une connexion normale.

Les cinq réflexes qui protègent

1. La double vérification à la connexion

C’est la mesure la plus efficace, et de loin : en plus du mot de passe, une confirmation sur le téléphone. Même volé, le mot de passe seul ne suffit plus.

Un point d’attention : privilégiez une application d’authentification ou une clé physique plutôt que le SMS. Les codes envoyés par SMS sont les plus faciles à intercepter.

Commencez par les comptes qui ouvrent les autres : messagerie, banque, outils d’administration, accès au site. Une matinée suffit pour les traiter tous.

2. Un gestionnaire de mots de passe pour l’équipe

Le vrai problème n’est pas le mot de passe faible : c’est le mot de passe réutilisé. Un seul service piraté, et toutes les portes ouvertes avec la même clé cèdent en même temps.

Un gestionnaire d’équipe règle le sujet : chacun a ses accès, personne ne se partage un mot de passe par message, et le départ d’un collaborateur se traite en deux clics. Nous déployons Passbolt, une solution open source hébergée en France, chez nos clients qui veulent garder la maîtrise de ce coffre-fort.

3. Une revue des accès deux fois par an

Qui a encore accès à quoi ? La question paraît simple, la réponse l’est rarement. Les anciens salariés, les prestataires d’un projet terminé, le stagiaire de l’été dernier : leurs comptes restent souvent actifs des mois.

Deux rendez-vous par an dans l’agenda, une liste à jour, et une règle simple : le jour d’un départ, les accès se ferment avant que le badge soit rendu.

4. Des comptes d’administration séparés

Le compte qui sert à lire ses mails ne doit pas être celui qui administre les serveurs. Si le premier tombe, le second reste hors d’atteinte. C’est une séparation gratuite, qui limite énormément les dégâts.

5. La détection des connexions anormales

Une connexion à 3 h du matin depuis un pays où vous n’avez aucun client, une règle de transfert automatique créée dans une boîte mail : ce sont les signaux qui précèdent la fraude.

Encore faut-il que quelqu’un les voie. C’est le rôle de la supervision, et la raison pour laquelle nos équipes surveillent les infrastructures de nos clients 24h/24 et 7j/7.

Et si ça arrive : les trois premières heures

• Changez le mot de passe du compte concerné et déconnectez toutes les sessions actives.
• Vérifiez les règles de la boîte mail. Les attaquants créent presque toujours un transfert automatique pour continuer à lire après l’expulsion.
• Prévenez vos interlocuteurs avant qu’un faux mail parte en votre nom.
• Conservez les traces : journaux de connexion, mails reçus. Ils serviront au dépôt de plainte et à votre assureur.
• Déposez plainte et, en cas de virement, contactez immédiatement votre banque. Les premières heures comptent.

Le sujet a changé de bureau

Longtemps, la sécurité des accès relevait de la technique. Ce n’est plus le cas.

Les nouvelles obligations européennes engagent directement la responsabilité des dirigeants sur les mesures de sécurité de leur entreprise. Les questionnaires que vos clients vous envoient comportent systématiquement une section sur la gestion des accès. Et les assureurs cyber conditionnent de plus en plus leur couverture à la présence d’une double vérification à la connexion.

Autrement dit : ces cinq réflexes ne protègent pas seulement vos comptes. Ils protègent aussi vos contrats et votre responsabilité.

À retenir
Aucune de ces mesures ne demande un gros budget. Elles demandent une décision, et une matinée de mise en œuvre.

Faisons le point sur vos accès

Vous ne savez pas si la double vérification est active partout, ni qui a encore accès à quoi ? Notre diagnostic gratuit dure 30 minutes : un ingénieur passe en revue vos accès, votre supervision, vos sauvegardes et vos dépendances. Vous repartez avec un compte rendu écrit et les priorités à traiter. Sans engagement.

Demander mon diagnostic gratuit

Source des chiffres : Cybermalveillance.gouv.fr, rapport d’activité 2025. Victime d’un piratage ? Le service 17Cyber vous oriente gratuitement : 17cyber.gouv.fr.