Pourquoi les petites entreprises sont une cible

Module 1: Pourquoi vous êtes une cible · Temps de lecture : 9 minutes

Objectif pédagogique : à l'issue de cette leçon, vous saurez expliquer comment agissent les attaquants (de façon automatisée, motivée par l'argent, opportuniste) et pourquoi l'idée « nous sommes trop petits » est fausse.
Notions clés : menace, vulnérabilité, risque, attaque opportuniste, attaque ciblée, cybercriminalité en tant que service, surface d'attaque

« Qu'est ce qu'ils nous veulent, à nous ? »

Cette question, on l'entend dans presque toutes les petites entreprises. Une boulangerie, un cabinet comptable de trois personnes, un club de football : il y a quand même des poissons plus gros à pêcher, non ? L'idée sous jacente est qu'un attaquant choisirait d'abord une cible, puis chercherait ensuite comment y pénétrer. Pour une petite partie des attaques, c'est effectivement le cas. Mais pour la grande majorité, cela fonctionne exactement à l'inverse : l'attaquant cherche d'abord une faille, et peu lui importe à qui elle appartient.

Pour bien comprendre cela, il vous faut trois notions qui reviendront tout au long de cette formation.

• Une menace est quelque chose qui peut causer un dommage : un escroc qui envoie de fausses factures, un rançongiciel, un collègue qui partage par erreur le mauvais fichier.
• Une vulnérabilité est une faille qui permet à cette menace de frapper : un mot de passe que vous utilisez aussi sur une boutique en ligne, une extension qui n'a pas reçu de mise à jour depuis un an, un processus de paiement sans contrôle.
• Un risque est la combinaison des deux : quelle est la probabilité qu'une menace exploite une vulnérabilité, et quelle serait la gravité des conséquences ? On l'écrit souvent ainsi : risque = probabilité x impact.

Une entreprise sans aucune vulnérabilité n'existe pas. L'objectif de la sécurité n'est donc pas le « risque zéro », mais de réduire les risques les plus importants à un niveau que vous pouvez assumer.

Opportuniste ou ciblée

On distingue globalement deux types d'attaques.

Dans une attaque ciblée, l'attaquant choisit une seule organisation. Il se renseigne sur qui y travaille, qui paie les factures, quels sont les fournisseurs, et adapte son attaque en conséquence. Cela demande du temps, donc cela doit rapporter. Pensez à un escroc qui sait que votre entreprise règle ce mois ci une machine coûteuse, et qui envoie précisément à ce moment là un « nouveau numéro de compte » soi disant fourni par le fournisseur.

Dans une attaque opportuniste, c'est l'inverse. L'attaquant cible une faille présente chez des milliers d'organisations à la fois, et prend ce qu'il trouve. Il n'y a aucun choix personnel concernant votre entreprise. Vous êtes simplement l'une des adresses sur la liste.

Les petites entreprises sont surtout touchées par le second type. Ce n'est pas de la malchance, c'est une question de mathématiques : si une attaque ne coûte rien à répéter, il devient rentable de la lancer contre tout le monde.

Comment l'automatisation rend l'attaque peu coûteuse

Un attaquant ne saisit pas d'adresses IP à la main. Il utilise des programmes qui parcourent internet jour et nuit. Un tel scanner interroge adresse après adresse : quel service tourne ici, quelle version, y a t il une page de connexion ouverte ? En quelques heures, une grande partie d'internet a été passée au crible.

Imaginons qu'une faille soit découverte dans une extension très utilisée pour les boutiques en ligne. Le lendemain, un scanner recherche tous les sites utilisant cette extension. Il trouve la boutique en ligne d'un cabinet d'avocats qui n'a plus jamais regardé son site, le site d'une association, et www.example.com de la Boulangerie Example. Le scanner ne sait pas ce qu'est une boulangerie et cela ne l'intéresse pas non plus. Il voit seulement : version ancienne, donc cible atteinte.

Il en va de même pour les connexions. Des listes de millions de combinaisons divulguées d'adresses e mail et de mots de passe sont testées automatiquement sur les messageries, la comptabilité et les réseaux sociaux (leçon 1.4). Et les e mails de phishing partent par grandes quantités ; si une petite proportion des destinataires clique, la campagne est déjà rentable.

À cela s'ajoute le fait que vous n'avez plus besoin d'être vous même un pirate pour attaquer. Tout un marché de la cybercriminalité en tant que service s'est développé : l'un développe le rançongiciel et le loue, un autre vend des identifiants volés, un troisième vend des accès à des réseaux d'entreprises déjà compromis. Microsoft décrit dans son blog de sécurité comment les données volées sont regroupées, revendues, puis finalement proposées comme accès aux entreprises. Le seuil d'entrée pour participer est donc bas, et le nombre d'attaquants élevé.

Où se trouve l'argent

Presque toutes les attaques contre les petites entreprises tournent autour de l'argent. Cet argent arrive de plusieurs façons :

1. Paiement direct. Vous ou un collègue virez de l'argent sur le mauvais compte : une fausse facture, une demande urgente « de la direction » (leçon 1.2).
2. Rançon. Vos fichiers sont chiffrés et vous devez payer pour les récupérer, ou pour éviter que des données volées soient divulguées (leçon 1.3).
3. Revente. Des identifiants de connexion, des données clients ou un accès à vos systèmes sont vendus à qui souhaite les exploiter (leçon 1.4).
4. Utilisation de vos systèmes. Votre boîte mail envoie du spam, votre site web diffuse un logiciel malveillant, votre serveur mine des cryptomonnaies. Vous en payez le prix sous forme d'une mauvaise réputation ou d'une adresse e mail bloquée.
5. Vous comme intermédiaire vers un autre. Vous êtes fournisseur d'une entreprise plus grande. Un attaquant qui prend le contrôle de votre boîte mail peut envoyer en votre nom de fausses factures à vos clients.

Les petites entreprises sont attractives pour deux raisons. Elles disposent bel et bien d'argent sur leur compte et paient leurs factures, mais elles n'ont souvent ni service informatique, ni principe des quatre yeux pour les paiements, ni sauvegarde correctement tenue à jour. Cela augmente les chances de réussite de l'attaque.

Votre surface d'attaque

Tout ce qu'un attaquant peut tenter depuis l'extérieur constitue votre surface d'attaque. Pour une petite entreprise, elle est plus vaste qu'on ne le pense :

• votre site web, avec son CMS, ses extensions et sa page d'administration ;
• votre messagerie : les boîtes mail, mais aussi votre domaine, qu'un escroc peut usurper si SPF, DKIM et DMARC ne sont pas correctement configurés (module 4) ;
• tous les comptes en ligne : banque, comptabilité, plateforme de boutique en ligne, réseaux sociaux, le bureau d'enregistrement de votre domaine ;
• les appareils : ordinateurs portables, téléphones, le routeur, le disque réseau, l'imprimante ;
• les personnes : tous ceux qui lisent les e mails, paient les factures ou décrochent le téléphone ;
• vos fournisseurs : le créateur de site avec un compte administrateur, la société informatique disposant d'un accès à distance (module 7).

Chaque élément que vous n'utilisez plus mais qui reste en ligne constitue une surface supplémentaire sans aucune utilité. Un ancien site de test sur test.example.com, un compte FTP oublié d'un précédent créateur de site, un compte sur un service résilié il y a trois ans : plus personne n'y prête attention, c'est donc là que se nichent les vulnérabilités.

Pièges de raisonnement

« Nous n'avons rien de précieux. »

Vous disposez en tout cas d'un compte bancaire, d'une boîte mail en laquelle vos clients ont confiance, et de données clients. Cela suffit amplement.

« Nous avons un antivirus, donc nous sommes en sécurité. »

L'antivirus aide contre une partie des logiciels malveillants. Il ne fait rien contre un collègue qui paie une facture d'apparence authentique avec un autre numéro de compte, ni contre un mot de passe divulgué sur un autre site.

« Notre société informatique s'en occupe. »

Peut être. Mais savez vous ce dont elle s'occupe exactement ? Une société informatique assure souvent les mises à jour et un antivirus, mais pas votre procédure de paiement, votre politique de mots de passe ou l'accès de votre créateur de site. Il faut définir clairement qui fait quoi (module 7).

« Cela ne nous arrivera pas, ça ne nous est jamais arrivé. »

Souvent, vous n'en savez tout simplement rien. Une boîte mail compromise peut être lue en silence pendant des mois avant que quelqu'un n'en abuse.

En pratique : voici à quoi cela ressemble

Un exemple, composé à partir de situations fréquentes. Un petit cabinet comptable (quatre personnes) avait un site web construit sur un CMS par le précédent créateur de site. Personne ne s'y connectait plus, donc personne ne voyait les notifications de mise à jour. Un lundi matin, un message de l'hébergeur est arrivé dans la boîte mail : le site diffusait des pages de phishing. Les journaux ont montré qu'un scanner avait trouvé une faille connue dans une ancienne extension de formulaire, le même jour que des centaines d'autres sites. Le cabinet n'avait jamais été « choisi ». La remise en état a pris une semaine, et le nom de domaine est resté un certain temps sur une liste de blocage, ce qui a fait que les e mails du cabinet tombaient dans les spams chez ses clients.

La faille aurait pu être évitée grâce à une seule mise à jour. C'est tout l'objet du reste de cette formation : non pas une sécurité parfaite, mais les bases qui arrêtent les attaques massives et peu coûteuses.

Résumé

• Un risque est la combinaison d'une menace et d'une vulnérabilité : probabilité x impact.
• La plupart des attaques contre les petites entreprises sont opportunistes : la faille est choisie en premier, la victime ensuite seulement.
• L'automatisation et la cybercriminalité en tant que service rendent les attaques peu coûteuses, ce qui les rend rentables à grande échelle.
• Presque tout tourne autour de l'argent : faux paiements, rançons, revente de données ou détournement de vos systèmes.
• Votre surface d'attaque comprend le site web, la messagerie et le domaine, les comptes, les appareils, les personnes et les fournisseurs ; les éléments oubliés sont les plus dangereux.

Quiz

Exercice

Exercice A1.1 : Menace, vulnérabilité et risque. Vous recevez quatre courtes situations issues de petites entreprises. Pour chaque situation, indiquez quelle est la menace et quelle est la vulnérabilité, puis estimez la probabilité et l'impact (faible, moyen, élevé). Classez ensuite les quatre situations du risque le plus élevé au plus faible. Le programme corrige vos réponses et explique chaque situation.

Exercice D1.1 : Cartographiez votre surface d'attaque. Dressez la liste de tout ce que votre entreprise possède en ligne : sites web et sous domaines, comptes, appareils connectés vers l'extérieur, et qui dispose d'un accès depuis l'extérieur. Indiquez pour chaque élément si vous l'utilisez encore et qui en est le propriétaire.

Pour aller plus loin

Les étapes décrites dans les articles WebOké s'appliquent à l'environnement WebOké ; chez d'autres fournisseurs, le principe est comparable.

• Au secours ! Mon site a été piraté. Comment résoudre ou éviter ce problème ?
• Cybermalveillance.gouv.fr, ressources pour les indépendants et les PME : https://www.cybermalveillance.gouv.fr/
• Microsoft Security Blog, StealC and Amadey: Breaking down infostealers and the cybercrime services that deliver them (en anglais) : https://www.microsoft.com/en-us/security/blog/2026/06/24/stealc-and-amadey-breaking-down-infostealers-and-the-cybercrime-services-that-deliver-them/