Introduction

Le 14 août 2026, le ministère de l’Économie annonce que la Direction générale des Finances publiques a subi des accès illégitimes à son système d’information. En juin et juillet, quelqu’un s’est connecté avec les identifiants volés d’un agent et d’un tiers habilité. Il a consulté et extrait des données concernant 678 000 particuliers et professionnels : revenu fiscal de référence, quotient familial, taux de prélèvement à la source, raison sociale et numéro SIREN des entreprises, adresses et surfaces de biens immobiliers.

Le site impots.gouv.fr n’a pas été « piraté » au sens où on l’imagine. Aucune porte blindée n’a été forcée. Des identifiants ont été volés, puis utilisés comme une clé. C’est le scénario le plus fréquent, dans une administration comme dans une entreprise de cinq personnes.

Beaucoup de dirigeants pensent encore que la cybersécurité concerne les banques, les ministères et les grandes entreprises. Les chiffres disent l’inverse. Ce module d’introduction explique ce qu’est la cybersécurité, qui attaque et pourquoi, ce qu’ont montré les attaques récentes en France et pourquoi une petite entreprise est une cible. Il se termine par un autodiagnostic qui vous dira par quel module commencer.

1. La cybersécurité, de quoi parle-t-on ?

La cybersécurité désigne l’ensemble des mesures qui protègent les systèmes informatiques, les données et les personnes qui les utilisent contre les attaques, les erreurs et les pannes. Elle mêle technique (mises à jour, sauvegardes, antivirus), organisation (règles, accès, qui fait quoi) et comportements (vérifier avant de cliquer, ne pas donner un mot de passe).

On la résume souvent par trois objectifs, faciles à retenir.

La disponibilité : pouvoir utiliser ses outils et ses données quand on en a besoin. Un rançongiciel qui bloque tous les fichiers la détruit.

L’intégrité : être sûr que les données n’ont pas été modifiées à son insu. Un RIB remplacé dans une facture l’atteint.

La confidentialité : réserver les informations aux personnes autorisées. Une fuite de fichiers clients la viole.

Deux autres mots reviennent dans ce parcours. Une cyberattaque est une action malveillante qui vise un système informatique. La cybermalveillance, terme retenu par le dispositif national Cybermalveillance.gouv.fr, couvre plus largement tous les actes malveillants commis en ligne : piratage de compte, hameçonnage, escroquerie, harcèlement.

La cybersécurité ne se limite pas aux attaques. Une panne de disque sans sauvegarde, un ordinateur volé dans une voiture ou un fichier envoyé au mauvais destinataire posent les mêmes questions : que perd-on et comment l’éviter ?

Avec l’IA. Décrivez votre activité à un assistant d’IA et demandez-lui un exemple concret, dans votre métier, d’atteinte à la disponibilité, à l’intégrité et à la confidentialité. Vous obtenez trois scénarios parlants à présenter à votre équipe.

Exemples :

• Disponibilité : le serveur d’un cabinet est bloqué un lundi matin, plus aucun dossier ne s’ouvre.
• Intégrité : une facture fournisseur est interceptée et son RIB remplacé par celui d’un escroc.
• Confidentialité : un tableau de clients avec adresses et téléphones circule sur un forum de pirates.

2. Qui attaque et pourquoi ?

Les attaquants n’ont pas tous le même profil. Connaître leurs motivations aide à comprendre ce qui vous menace vraiment.

Les cybercriminels cherchent l’argent. C’est de loin le cas le plus fréquent pour une petite entreprise : rançon, faux virement, revente de données ou de comptes volés, arnaque au faux support. Ils fonctionnent comme une industrie, avec des outils prêts à l’emploi vendus ou loués à d’autres délinquants.

Les hacktivistes veulent se faire entendre. Ils saturent des sites internet pour les rendre inaccessibles ou les défigurent, souvent pour des motifs politiques.

Les États et groupes qui leur sont liés pratiquent l’espionnage et parfois le sabotage. Ils visent surtout les administrations, les grandes entreprises, la défense, la recherche, mais aussi leurs fournisseurs et sous-traitants.

Les personnes de l’intérieur : un salarié mécontent, un complice payé par des criminels, ou simplement quelqu’un dont les accès sont utilisés à son insu.

Retenez surtout ceci : la plupart des attaques qui touchent les TPE ne sont pas ciblées. Des robots balaient internet et les boîtes de messagerie en permanence, à la recherche d’une porte mal fermée. Ils ne regardent pas la taille de l’entreprise. Ils regardent si la porte s’ouvre.

Avec l’IA. Demandez à un assistant d’IA : « Quels types d’attaquants et quelles motivations concernent le plus une entreprise de [votre secteur] de [nombre] personnes ? Classe-les du plus probable au moins probable. » Vous verrez que l’argent arrive presque toujours en tête.

Exemples :

• Cybercriminel : un faux fournisseur envoie un nouveau RIB pour détourner le paiement d’une facture.
• Hacktiviste : le site d’une collectivité est saturé pendant une journée par des milliers de connexions simultanées.
• Intérieur : les identifiants d’un salarié volés par hameçonnage servent à entrer dans le système d’information.

3. En 2026, même l’État se fait voler ses données

L’année 2026 a été marquée par plusieurs incidents dans des services publics. Ils montrent que la taille et les moyens ne suffisent pas. Ils montrent aussi que les méthodes des attaquants sont souvent simples.

Le fichier des comptes bancaires (janvier 2026). Fin janvier, un acteur malveillant a usurpé les identifiants d’un fonctionnaire qui avait accès au fichier national des comptes bancaires, FICOBA. Selon la DGFiP, 1,2 million de comptes ont été consultés : RIB, identité du titulaire, adresse.

Le portail des titres sécurisés (avril 2026). Le 15 avril, l’Agence nationale des titres sécurisés détecte un incident de sécurité sur son portail ants.gouv.fr. Le ministère de l’Intérieur évoque jusqu’à 11,7 millions de comptes potentiellement concernés. Les premières investigations excluent la fuite des pièces justificatives et des données biométriques.

Les données fiscales (juin et juillet 2026). C’est l’incident décrit en introduction : identifiants d’un agent et d’un tiers habilité usurpés, données de 678 000 particuliers et professionnels extraites. Le ministère précise que les espaces des usagers sur impots.gouv.fr, leurs identifiants et leurs mots de passe n’ont pas été compromis. La CNIL a été saisie, l’ANSSI mobilisée, les personnes concernées contactées.

Deux leçons pour une entreprise. D’abord, les identifiants sont la cible numéro un : deux de ces trois incidents reposent sur des comptes volés, pas sur une prouesse technique. Ensuite, une fuite chez les autres devient un risque chez vous : avec un nom, une adresse, un RIB ou un revenu fiscal, un escroc écrit des messages d’hameçonnage très crédibles. La DGFiP le rappelle : l’administration ne vous demande jamais vos identifiants ou votre numéro de carte bancaire par message.

Avec l’IA. Après l’annonce d’une fuite de données qui vous concerne, demandez à un assistant d’IA de rédiger une note de cinq lignes pour votre équipe : quelles données ont fuité, quels faux messages risquent d’arriver, quelle règle appliquer. Vérifiez les faits sur le communiqué officiel avant de diffuser la note.

Exemples :

• Après la fuite FICOBA, un faux conseiller qui cite votre RIB exact paraît soudain très crédible.
• Après la fuite fiscale, un courriel qui mentionne votre revenu fiscal de référence n’en est pas plus authentique.
• Après l’incident de l’ANTS, un SMS « votre demande de passeport est bloquée » doit être vérifié sur le site officiel, pas par le lien.

4. Les entreprises aussi : arrêt de production, amendes, clients exposés

Les services publics ne sont pas seuls. Les entreprises, de toutes tailles, paient aussi le prix des attaques.

Une usine à l’arrêt (juillet 2025). Dans la nuit du 9 au 10 juillet 2025, une cyberattaque a paralysé l’usine Wibaie de Cholet, fabricant de fenêtres et de portes d’entrée. Selon la presse, environ 600 salariés ont été placés au chômage technique pendant plusieurs jours, le temps que des experts rétablissent les systèmes.

Une amende record (janvier 2026). En octobre 2024, les données de 24 millions de contrats d’abonnés de Free et Free Mobile avaient été volées, dont des IBAN. Le 13 janvier 2026, la CNIL a infligé aux deux sociétés 42 millions d’euros d’amende au total. Elle leur reproche des mesures de sécurité inadaptées, comme une authentification trop faible pour l’accès à distance. Elle pointe aussi une information insuffisante des abonnés. La leçon vaut pour toutes les entreprises : se faire attaquer n’est pas une faute, mal se protéger en est une.

Un cabinet de dix personnes (témoignage). Cybermalveillance.gouv.fr publie le témoignage d’un dirigeant de cabinet d’avocats d’une dizaine de salariés. Au retour du pont du Nouvel An, plus d’informatique : tous les fichiers avaient été chiffrés pendant le week-end et une rançon était réclamée. Le prestataire n’a rien pu restaurer : le serveur de sauvegarde avait été attaqué lui aussi.

Ces trois cas couvrent les trois grands coûts d’une attaque. L’arrêt de l’activité et la perte de chiffre d’affaires. Les sanctions et les frais, juridiques ou techniques. La confiance des clients, longue à reconstruire.

Avec l’IA. Donnez à un assistant d’IA quelques chiffres arrondis de votre activité (chiffre d’affaires mensuel, nombre de salariés, délai de paiement moyen) et demandez-lui d’estimer le coût d’une semaine d’arrêt complet. Ne donnez aucune donnée nominative. Le résultat sert à comparer avec le prix des protections.

Exemples :

• Arrêt : une semaine sans accès aux plans, aux devis et aux factures pour une agence de cinq personnes.
• Sanction : une entreprise qui conserve des données de clients sans les protéger s’expose aux contrôles de la CNIL.
• Confiance : des clients reçoivent de faux courriels au nom de leur fournisseur et se demandent s’ils peuvent encore lui faire confiance.

5. Les chiffres qui comptent pour une petite entreprise

Deux organismes publics publient chaque année l’état de la menace.

Cybermalveillance.gouv.fr, le dispositif national d’assistance aux victimes, a assisté plus de 500 000 victimes en 2025, soit 20 % de plus qu’en 2024. Pour les entreprises et associations, les trois premières menaces sont :

• Le piratage de compte : 21 % des demandes d’assistance, en hausse de 52 %.
• L’hameçonnage : 16 %, en hausse de 29 %.
• La fraude au virement : 13,5 %, en hausse de 93 %.

Suivent les rançongiciels (8,1 %), les violations de données (6,6 %), les piratages informatiques (6 %) et le cyberharcèlement (5,5 %). Tous publics confondus, l’hameçonnage est la première menace, en hausse de 70 %, porté par les nombreuses fuites de données de 2025.

L’ANSSI, l’agence nationale de la sécurité des systèmes d’information, constate que le nombre d’attaques a doublé entre 2020 et 2025. Parmi les victimes de rançongiciels qu’elle a recensées en 2025, 48 % étaient des TPE, des PME ou des ETI, contre 37 % en 2024. Elle note aussi que les messages frauduleux rédigés avec l’aide de l’IA obtiennent des taux de clic jusqu’à trois fois supérieurs.

Ces chiffres dessinent un tableau clair. Les attaques qui touchent le plus les entreprises passent par un compte volé, un faux message ou un faux virement. Autrement dit, par des personnes plus que par des machines. C’est une bonne nouvelle : ce sont aussi les attaques contre lesquelles de bons réflexes protègent le mieux.

Avec l’IA. Demandez à un assistant d’IA de transformer les chiffres de ce chapitre en une présentation de cinq minutes pour votre équipe, avec une phrase d’accroche et une conclusion pratique. Revérifiez chaque chiffre sur le site de l’organisme cité : ils changent chaque année.

Exemples :

• Piratage de compte : la messagerie d’un salarié est ouverte avec un mot de passe réutilisé.
• Fraude au virement : un faux changement de RIB détourne le paiement d’une facture de 8 000 €.
• Rançongiciel : le serveur d’une PME est chiffré pendant un week-end prolongé.

6. Pourquoi votre entreprise est une cible

« Nous sommes trop petits pour intéresser les pirates. » C’est la phrase qu’entendent le plus souvent les professionnels qui assistent les victimes. Elle repose sur un malentendu.

Les attaques sont opportunistes : des robots cherchent les failles et les mots de passe faibles partout. Votre entreprise n’a pas besoin d’être choisie pour être touchée.

Vous détenez ce qui intéresse les escrocs : un compte bancaire, des factures à détourner, des données de clients, un accès à la messagerie qui permet d’écrire à tous vos contacts en votre nom.

Vous êtes un maillon d’une chaîne : vos clients, vos fournisseurs et leurs clients. Un pirate peut passer par vous pour atteindre un plus gros poisson, ou utiliser des données volées ailleurs pour vous tromper.

Vous avez moins de défenses : pas de service informatique, un prestataire appelé en cas de panne, des mots de passe partagés par commodité. C’est précisément ce que recherchent les attaquants : le meilleur rapport entre l’effort et le gain.

Vous avez des obligations : le RGPD impose de protéger les données personnelles que vous traitez et de notifier une violation à la CNIL dans les 72 heures quand elle présente un risque. Les assurances cyber exigent de plus en plus des mesures de base.

La bonne nouvelle, c’est qu’une petite entreprise peut se protéger efficacement sans gros budget. La plupart des mesures de ce parcours coûtent peu : des habitudes, des réglages, une organisation.

Avec l’IA. Demandez à un assistant d’IA de lister les informations et les accès de votre entreprise qui intéresseraient un escroc : comptes, données, relations avec des clients importants. Complétez la liste vous-même, sans la partager. Elle servira à l’exercice 3.

Exemples :

• Une entreprise de cinq personnes gère les virements de ses fournisseurs par courriel : cible idéale pour la fraude au RIB.
• Un artisan sous-traitant d’un grand groupe : ses accès au portail de son client intéressent les pirates.
• Un cabinet qui conserve des pièces d’identité de clients : une fuite l’oblige à notifier la CNIL.

7. Le parcours : onze réflexes pour une entreprise mieux protégée

Ce parcours transforme les bonnes pratiques de Cybermalveillance.gouv.fr, complétées par Acadigit, en onze modules courts, chacun avec un livrable à remplir. Page après page, ils construisent le plan de sécurité de votre entreprise.

• Mots de passe : des mots de passe uniques, un gestionnaire, la double authentification.
• Faux support technique : reconnaître une fausse alerte et ne jamais appeler le numéro affiché.
• Rançongiciels : fermer les portes d’entrée et savoir réagir dans les premières heures.
• Hameçonnage : repérer les faux messages, vérifier un lien, contre-appeler.
• Usages pro et perso : séparer les comptes, les messageries et les fichiers.
• Mises à jour : faire l’inventaire et fermer les failles.
• Antivirus et pare-feu : choisir, régler et vérifier les protections des postes et de la box.
• Sauvegardes : appliquer la règle 3-2-1 et tester la restauration.
• Appareils mobiles : verrouiller, chiffrer, réagir en cas de perte.
• Réseaux sociaux : protéger les comptes et la réputation de l’entreprise.
• IA et cybersécurité : déjouer les voix truquées et utiliser l’IA sans exposer l’entreprise.

Tout au long du parcours, nous suivons Verdier Architectes, agence fictive de cinq personnes à Saint-Germain-en-Laye, dans les Yvelines : Claire Verdier, la gérante ; Julien et Sofia, architectes ; Inès, assistante ; Tom, apprenti. Comme beaucoup de petites structures, l’agence pensait ne rien avoir qui intéresse les pirates. Chaque module raconte un incident qu’elle a vécu et ce qu’elle a changé ensuite.

Par où commencer ? L’autodiagnostic de l’annexe vous le dira. Si vous n’avez qu’une heure, commencez par quatre gestes : la double authentification sur la messagerie, une sauvegarde déconnectée, les mises à jour automatiques et la règle du contre-appel pour tout changement de RIB. En cas d’incident, deux adresses : 17Cyber pour être guidé pas à pas et Cybermalveillance.gouv.fr pour trouver un professionnel.

Avec l’IA. Donnez vos réponses à l’autodiagnostic de l’annexe à un assistant d’IA, sans nom ni détail identifiant. Demandez-lui un plan de quatre-vingt-dix jours qui ordonne les onze modules selon vos points faibles. Ajustez-le à votre agenda et fixez la première action cette semaine.

Exemples :

• Autodiagnostic à 6 sur 15 : commencer par « Mots de passe » et « Sauvegardes ».
• Beaucoup de paiements fournisseurs par courriel : « Hameçonnage » en priorité.
• Équipe souvent en déplacement : « Appareils mobiles » et « Usages pro et perso » tôt dans le plan.

Résumé

La cybersécurité protège la disponibilité, l’intégrité et la confidentialité des outils et des données d’une entreprise. Elle couvre les attaques, mais aussi les pannes et les erreurs.

La plupart des attaquants cherchent l’argent et frappent sans cibler : ils cherchent une porte qui s’ouvre. Les incidents de 2026 dans les services publics le montrent : des identifiants volés suffisent. Chaque fuite alimente ensuite de nouvelles vagues d’hameçonnage. Les entreprises aussi paient : usine à l’arrêt, amende de la CNIL, cabinet sans sauvegarde.

Pour les entreprises, les trois premières menaces sont le piratage de compte, l’hameçonnage et la fraude au virement. Près de la moitié des victimes de rançongiciels recensées par l’ANSSI en 2025 étaient des TPE, des PME ou des ETI. De bons réflexes protègent contre la plupart de ces attaques, sans gros budget.

Faites l’autodiagnostic de l’annexe : il vous indique par quel module commencer votre plan de sécurité.

Questions fréquentes

Qu’est-ce que la cybersécurité, en une phrase ?

C’est l’ensemble des mesures techniques, organisationnelles et humaines qui protègent les outils numériques, les données et les personnes contre les attaques, les erreurs et les pannes. On la résume par trois objectifs : disponibilité, intégrité et confidentialité.

Le site des impôts a-t-il été piraté en 2026 ?

Pas le site lui-même. Selon le ministère de l’Économie, des identifiants volés à un agent et à un tiers habilité ont permis d’accéder au système d’information de la DGFiP et d’extraire des données de 678 000 particuliers et professionnels. Les espaces des usagers, leurs identifiants et leurs mots de passe n’ont pas été compromis. Le risque principal pour les personnes concernées est l’hameçonnage.

Une petite entreprise est-elle vraiment visée ?

Oui. La plupart des attaques sont automatiques et touchent toutes les tailles d’entreprise. L’ANSSI indique que 48 % des victimes de rançongiciels qu’elle a recensées en 2025 étaient des TPE, des PME ou des ETI. Les petites structures sont souvent moins protégées, ce qui les rend rentables pour les attaquants.

Faut-il un gros budget pour se protéger ?

Non. Les mesures les plus efficaces coûtent peu : mots de passe uniques et double authentification, sauvegardes déconnectées, mises à jour automatiques, vérification des demandes inhabituelles. Un prestataire et une assurance complètent le dispositif, mais ne remplacent pas ces bases.

Que faire si mon entreprise est victime d’une attaque ?

Suivez le parcours d’assistance de 17Cyber, qui vous guide selon votre situation et vous oriente vers un professionnel si besoin. Conservez les preuves, portez plainte et, si des données personnelles sont touchées, notifiez la CNIL sous 72 heures. Les modules de ce parcours détaillent la réaction pour chaque type d’attaque.

Termes clés

• Cybersécurité : ensemble des mesures techniques, organisationnelles et humaines qui protègent les systèmes, les données et leurs utilisateurs contre les attaques, les erreurs et les pannes.
• Cybermalveillance : ensemble des actes malveillants commis en ligne, comme le piratage de compte, l’hameçonnage, l’escroquerie ou le harcèlement.
• Cyberattaque : action malveillante qui vise un système informatique pour le perturber, le contrôler ou en voler les données.
• Disponibilité : objectif de sécurité qui garantit l’accès aux outils et aux données au moment où l’on en a besoin.
• Intégrité : objectif de sécurité qui garantit que les données n’ont pas été modifiées sans autorisation.
• Confidentialité : objectif de sécurité qui réserve l’accès aux informations aux seules personnes autorisées.
• Violation de données : incident de sécurité qui entraîne la destruction, la perte, la modification ou la divulgation non autorisée de données, en particulier personnelles.

Références

• Cybermalveillance.gouv.fr — Les principales cybermalveillances visant les professionnels en 2025
• Cybermalveillance.gouv.fr — Rapport d’activité et état de la menace 2025
• Ministère de l’Économie — Accès illégitimes au système d’information de la DGFiP (14 août 2026)
• impots.gouv.fr — Accès illégitimes au fichier national des comptes bancaires (FICOBA)
• Ministère de l’Intérieur — Incident de sécurité relatif au portail ants.gouv.fr
• CNIL — Sanction de 42 millions d’euros à l’encontre de Free Mobile et Free
• Ma Sécurité (ministère de l’Intérieur) — Panorama 2025 des cyberattaques en France
• Clubic — Une cyberattaque bloque une usine de 600 salariés en France (juillet 2025)

QCM (une seule bonne réponse par question)

Question 1 — La cybersécurité vise à protéger :

1. La disponibilité, l’intégrité et la confidentialité des systèmes et des données
2. Seulement les ordinateurs contre les virus
3. Uniquement les grandes entreprises et les administrations

Question 2 — Un escroc remplace le RIB d’une facture sans que vous le sachiez. Quel objectif de sécurité est atteint ?

1. La disponibilité
2. L’intégrité
3. La confidentialité

Question 3 — Quelle motivation se cache derrière la plupart des attaques qui touchent les petites entreprises ?

1. L’espionnage au profit d’un État
2. La vengeance personnelle
3. L’argent

Question 4 — Les accès illégitimes au système d’information de la DGFiP en 2026 ont été rendus possibles par :

1. L’usurpation des identifiants d’un agent et d’un tiers habilité
2. Une panne électrique dans un centre informatique
3. La destruction d’un serveur par un incendie

Question 5 — Une administration annonce une fuite de données qui vous concerne. Le principal risque pour vous est :

1. Aucun, puisque ce n’est pas votre faute
2. De recevoir des messages d’hameçonnage crédibles utilisant vos données
3. De recevoir une amende de la CNIL

Question 6 — Selon Cybermalveillance.gouv.fr, la première menace pour les entreprises et associations en 2025 est :

1. Le déni de service
2. Le virus informatique
3. Le piratage de compte

Question 7 — Parmi les victimes de rançongiciels recensées par l’ANSSI en 2025, les TPE, PME et ETI représentent :

1. Près de la moitié
2. Moins de 5 %
3. La totalité

Question 8 — Pourquoi une TPE est-elle souvent touchée ?

1. Parce que des pirates célèbres la choisissent spécialement
2. Parce que des robots cherchent en permanence les portes mal fermées, quelle que soit la taille de l’entreprise
3. Parce qu’elle détient forcément des secrets d’État

Question 9 — En janvier 2026, la CNIL a sanctionné Free et Free Mobile principalement parce que :

1. Les deux sociétés avaient été attaquées
2. Leurs mesures de sécurité n’étaient pas adaptées et l’information des abonnés insuffisante
3. Elles avaient porté plainte trop tard

Question 10 — Vous n’avez qu’une heure pour commencer. Que faites-vous ?

1. Vous achetez le logiciel de sécurité le plus cher
2. Vous attendez la première attaque pour savoir quoi protéger
3. Double authentification sur la messagerie, sauvegarde déconnectée, mises à jour automatiques, contre-appel pour tout changement de RIB

Voir les réponses et les explications

Réponses : 1→1 · 2→2 · 3→3 · 4→1 · 5→2 · 6→3 · 7→1 · 8→2 · 9→2 · 10→3

Explications.

1. La cybersécurité protège l’accès, l’exactitude et le secret des outils et des données, pour toutes les organisations.
2. Une modification non autorisée d’une donnée porte atteinte à son intégrité.
3. Rançon, faux virement, revente de données : l’argent motive la grande majorité des attaques contre les TPE.
4. Le ministère de l’Économie parle d’usurpation d’identifiants : des comptes volés, pas une prouesse technique.
5. Les données qui fuitent servent à écrire des messages frauduleux très crédibles.
6. Le piratage de compte représente 21 % des demandes d’assistance des entreprises et associations en 2025.
7. L’ANSSI indique 48 % en 2025, contre 37 % en 2024.
8. La plupart des attaques sont automatiques et opportunistes.
9. La CNIL reproche des mesures de sécurité inadaptées et une information insuffisante des personnes : c’est le défaut de protection qui est sanctionné, pas l’attaque.
10. Ces quatre gestes répondent aux menaces les plus fréquentes et coûtent peu.

Exercices

Exercice 1 — Faire l’autodiagnostic (15 min) Répondez par oui ou par non aux quinze questions de l’annexe, sans enjoliver. Comptez vos « oui ». Pour chaque « non », notez le module indiqué : ce sont vos priorités.

Exercice 2 — Relier chaque situation à une menace (10 min) Pour chaque situation, nommez la menace et le module du parcours qui en parle.

• a) Un SMS annonce un remboursement d’impôts à réclamer par un lien.
• b) Tous les fichiers du serveur portent une extension inconnue et un message réclame une rançon.
• c) Un fournisseur habituel annonce par courriel un changement de coordonnées bancaires.
• d) Une fenêtre plein écran affiche un faux message de sécurité et un numéro à appeler.
• e) Votre messagerie signale une connexion depuis un pays où vous n’êtes jamais allé.
• f) Un salarié a oublié son téléphone professionnel dans le train.

Exercice 3 — Lister vos actifs numériques vitaux (20 min) Listez les cinq éléments numériques sans lesquels votre entreprise s’arrête : données, comptes, équipements. Pour chacun, indiquez ce qui serait le plus grave : le perdre (disponibilité), le voir modifié (intégrité) ou le voir divulgué (confidentialité). Associez-lui le module qui le protège.

Corrections des exercices

Exercice 1 — Exemple de Verdier Architectes avant le parcours : un seul « oui » sur 15, pour la fermeture des accès au départ d’une personne. Tout le reste était à construire : mots de passe réutilisés, pas de double authentification, sauvegarde branchée en permanence et jamais testée, NAS sans mises à jour, aucune règle écrite. Priorités retenues : « Mots de passe », « Sauvegardes », « Hameçonnage ». Un score très bas n’a rien d’exceptionnel au départ : il donne l’ordre des modules.

Exercice 2 — a) Hameçonnage, module « Hameçonnage ». b) Rançongiciel, module « Rançongiciels », puis « Sauvegardes ». c) Fraude au changement de RIB, modules « Hameçonnage » et « Mots de passe » (la messagerie du fournisseur est peut-être piratée). d) Arnaque au faux support technique, module « Faux support technique ». e) Piratage de compte possible, module « Mots de passe ». f) Perte d’un appareil, module « Appareils mobiles ». La plupart des situations touchent plusieurs modules : les réflexes se renforcent les uns les autres.

Exercice 3 — Exemple de Verdier Architectes : 1. Les plans et dossiers clients sur le NAS : disponibilité et confidentialité ; « Sauvegardes » et « Mises à jour ». 2. La messagerie : confidentialité et intégrité (faux messages en son nom) ; « Mots de passe » et « Hameçonnage ». 3. Le compte bancaire et les virements : intégrité ; « Hameçonnage ». 4. Le logiciel de facturation : disponibilité ; « Sauvegardes » et « Mots de passe ». 5. Le compte Instagram : intégrité et réputation ; « Réseaux sociaux ». Cette liste de cinq lignes guide tout le reste du plan de sécurité.

Annexe — Autodiagnostic « Où en est mon entreprise ? »

Répondez sans enjoliver. Chaque « non » renvoie au module qui vous aidera.

Question	Oui / Non	Module
Chaque personne a-t-elle un mot de passe différent pour chaque service ?		Mots de passe
La double authentification est-elle activée sur toutes les messageries ?		Mots de passe
Utilisez-vous un gestionnaire de mots de passe ?		Mots de passe
Tout le monde sait-il qu’on n’appelle jamais un numéro affiché dans une alerte ?		Faux support technique
Avez-vous une sauvegarde déconnectée ou hors site, testée dans les trois derniers mois ?		Sauvegardes
Savez-vous qui appeler et quoi faire dans l’heure en cas de rançongiciel ?		Rançongiciels
Tout changement de RIB est-il vérifié par un appel à un numéro connu ?		Hameçonnage
L’équipe sait-elle à qui signaler un message suspect ?		Hameçonnage
Les fichiers de l’entreprise sont-ils tous dans des outils professionnels ?		Usages pro et perso
Existe-t-il des règles écrites sur les usages pro et perso ?		Usages pro et perso
Les mises à jour automatiques sont-elles activées sur tous les appareils ?		Mises à jour
Un seul antivirus et le pare-feu sont-ils actifs, à jour et vérifiés chaque mois sur chaque poste ?		Antivirus et pare-feu
Les téléphones professionnels sont-ils verrouillés, chiffrés et localisables à distance ?		Appareils mobiles
Les comptes de réseaux sociaux de l’entreprise ont-ils au moins deux administrateurs ?		Réseaux sociaux
Les accès d’une personne qui part sont-ils fermés le jour même ?		Usages pro et perso
Total des « oui »	/ 15

Lecture du score : de 0 à 5, commencez par « Mots de passe », « Sauvegardes » et « Hameçonnage » ; de 6 à 10, traitez vos « non » dans l’ordre du tableau ; de 11 à 15, gardez le cap et faites le point chaque trimestre.

Les organismes et entreprises cités le sont à partir de communiqués officiels, de décisions publiques et d’articles de presse référencés en bas de page. Acadigit n’est ni affiliée, ni sponsorisée, ni approuvée par ces organismes, ni par le dispositif Cybermalveillance.gouv.fr. Ce module a été rédigé avec l’aide de l’IA, puis relu, amélioré et validé par Acadigit.