Protéger ta PME d'une cyberattaque : le minimum vital, sans être technique

Tu diriges une PME de trois, cinq, dix personnes. Tu te dis que la cybersécurité, c'est un problème de grande entreprise, avec un service informatique et un budget pour ça. C'est justement ce raisonnement qui fait de toi une bonne cible. Les attaques qui touchent le plus les petites entreprises ne sont pas des opérations sophistiquées : ce sont des courriels piégés envoyés par milliers, des mots de passe devinés, un compte laissé ouvert. Rien de tout ça ne demande un génie en face. Juste une porte laissée déverrouillée.

La bonne nouvelle : tu n'as pas besoin d'être technique pour fermer les portes qui comptent. Six gestes couvrent la grande majorité du risque d'une PME. On les passe un par un, sans jargon.

Pourquoi une petite entreprise est visée (pas malgré sa taille, à cause d'elle)

Les grandes entreprises ont des équipes, des pare-feux, des règles. Les petites ont les mêmes données précieuses (comptes bancaires, dossiers clients, accès aux fournisseurs) mais rarement les mêmes protections. Pour un fraudeur, le calcul est simple : même effort, moins de résistance. Il ne te connaît pas, il ne t'en veut pas. Tu es juste un numéro dans une liste, et ta boîte courriel répond quand on frappe.

Les 6 gestes de base qui ferment 80 % des portes

Aucun ne demande d'installer un logiciel compliqué ni d'embaucher qui que ce soit. Ce sont des habitudes de dirigeant prudent, à mettre en place une fois.

1. Sache ce que tu as à protéger

On ne protège pas ce qu'on ne voit pas. Fais la liste, une page suffit : où sont tes données clients, quels comptes donnent accès à l'argent (banque, paie, cartes), quels outils contiennent des informations sensibles. Cet inventaire, c'est la carte de ce que tu défends. Sans lui, tu bouches des trous au hasard.

2. Des mots de passe qui ne se devinent pas

Le prénom du chien plus l'année, c'est deviné en quelques secondes par un programme. La règle qui change tout : un mot de passe long, différent pour chaque compte important, gardé dans un gestionnaire de mots de passe plutôt que dans ta tête ou sur un papier collé à l'écran. Tu retiens un seul mot de passe maître, le coffre s'occupe du reste.

3. La double authentification, ton meilleur cadenas

C'est le code qui arrive sur ton téléphone en plus du mot de passe. Même si quelqu'un vole ton mot de passe, il reste bloqué sans ton téléphone. Active-la partout où c'est possible, en priorité sur ta boîte courriel et ton compte bancaire. C'est le geste qui offre la plus grosse protection pour le moins d'effort. Si tu ne devais en faire qu'un aujourd'hui, ce serait celui-là.

4. Reconnaître un courriel piégé

L'hameçonnage, c'est un faux courriel qui imite ta banque, un fournisseur ou même un de tes employés, pour te faire cliquer ou payer. On détaille les signes plus bas, mais retiens le réflexe : dès qu'un message crée un sentiment d'urgence ou te demande de l'argent ou un mot de passe, tu ralentis et tu vérifies par un autre canal.

5. Des sauvegardes, pour dormir tranquille

Une sauvegarde, c'est une copie de tes fichiers importants gardée ailleurs. Le jour où un rançongiciel bloque ton ordinateur ou qu'un disque lâche, c'est ce qui te permet de repartir sans payer et sans tout perdre. La règle simple : une copie automatique, dans un endroit séparé de ton ordinateur principal, et un test de temps en temps pour vérifier qu'elle fonctionne vraiment.

6. Un plan « et si », préparé à froid

Le pire moment pour improviser, c'est en pleine panique. Écris à l'avance, sur une page : qui on appelle, quels comptes on ferme en premier, comment on prévient les clients touchés. Dix minutes de préparation aujourd'hui valent des heures de chaos le jour venu. On y revient à la fin de l'article.

Les 5 signes d'un courriel qui veut te piéger

Le fraudeur mise sur ta vitesse. Ces cinq signes reviennent presque toujours :

• L'urgence fabriquée : « votre compte sera fermé aujourd'hui », « payez avant 17 h ». La peur te fait sauter l'étape de la réflexion.
• Une demande d'argent ou de mot de passe : aucune banque, aucun vrai fournisseur ne te demande ça par courriel.
• Une adresse qui cloche : le nom affiché est connu, mais l'adresse réelle est bizarre. Survole sans cliquer pour la voir en entier.
• Un ton légèrement faux : une tournure étrange, une faute inhabituelle, un « bonjour cher client » impersonnel.
• Le faux patron ou le faux fournisseur : un message qui a l'air de venir de toi, d'un collègue ou d'un partenaire, et qui demande un virement « urgent et confidentiel ». C'est l'arnaque la plus coûteuse pour les PME.

Le réflexe qui déjoue tout : dans le doute, tu ne réponds pas au courriel. Tu appelles la personne au numéro que tu connais déjà. Trente secondes de vérification t'évitent la mauvaise surprise.

Et si ça arrive quand même : quoi faire

Personne n'est protégé à 100 %. Si tu penses avoir cliqué au mauvais endroit ou donné une information :

1. Coupe l'accès touché tout de suite (déconnecte, mets l'appareil hors ligne).
2. Change les mots de passe concernés depuis un autre appareil, en commençant par ta boîte courriel.
3. Préviens ta banque immédiatement si de l'argent ou un compte de paiement est en jeu.
4. Signale au Centre antifraude du Canada (1-888-495-8501). Ils recensent les fraudes et te guident.
5. Si des renseignements personnels de clients ont pu fuir, note qu'au Québec, la Loi 25 prévoit des obligations : on en parle dans IA et Loi 25, ce qu'une PME doit vérifier.

Par où commencer cette semaine

Tu n'as pas à tout faire aujourd'hui. Choisis un geste et fais-le au complet : active la double authentification sur ta boîte courriel. Puis, la semaine suivante, un autre. La sécurité d'une PME ne se gagne pas d'un coup, elle se construit un réflexe à la fois. L'important, c'est de commencer par le plus payant, pas par le plus impressionnant.