Lorsqu'une entreprise se réveille avec les fichiers chiffrés et une demande de rançon sur l'écran, il semble que l'attaque s'est produite cette nuit-là. Ce n'est presque jamais le cas. L'attaquant est entré des jours ou des semaines auparavant, s'est promené dans le réseau, a trouvé les copies de sauvegarde, les a effacées, et seulement après a appuyé sur le bouton. Comprendre cette séquence change la façon de penser la sécurité : au lieu d'une seule muraille, il y a quatre moments où l'attaque peut être stoppée — et plus c'est tôt, moins c'est cher. Cet article décrit les quatre phases telles que nous les voyons dans les incidents chez les PME portugaises et la mesure qui fonctionne dans chacune d'elles.
Phase 1 — Reconnaissance : l'attaquant étudie l'entreprise
Avant tout contact, l'attaquant récolte ce qui est public : noms et fonctions sur LinkedIn, adresses e-mail sur le site web, fournisseurs mentionnés dans des actualités, le logiciel que l'entreprise utilise (qui apparaît dans les offres d'emploi), les mots de passe de collaborateurs qui sont apparus dans des fuites de données d'autres sites. Avec cela, il monte l'attaque sur mesure : un e-mail du “ fournisseur habituel ”, un appel de la “ banque ”, une tentative de connexion avec le mot de passe réutilisé. Cette phase est invisible pour l'entreprise et dure de quelques heures à plusieurs semaines.
Où se garer : réduisant ce qui est exposé et ce qui sert de clé. Des mots de passe uniques avec un gestionnaire de mots de passe ils annulent les fuites d'autres sites. Moins d'adresses e-mail génériques sur le site et une procédure pour les commandes “ pour le compte de ” réduisent la surface d'attaque pour l'ingénierie sociale.
Phase 2 — Entrée : la première porte
Trois portes dominent dans les PME. La première est le phishing : quelqu'un écrit le mot de passe sur un faux site ou ouvre une pièce jointe qui installe un logiciel malveillant. La seconde est un service exposé à Internet avec un mot de passe faible ou sans authentification multifacteur — un environnement de travail distant, un VPN, un ancien portail. La troisième est une vulnérabilité non corrigée dans un équipement orienté vers l'extérieur : pare-feu avec un ancien micrologiciel, serveur sans mises à jour, Windows 10 sans support. L'entrée en elle-même prend des minutes.
Où se garer : authentification multifacteur dans tout ce qui est accessible de l'extérieur — rend le mot de passe volé inutile. Filtrage des e-mails et équipe formée à signaler. Mises à jour à jour et une pare-feu géré, avec les services exposés réduits au minimum. C'est la phase où la plupart des attaques contre les PME devraient mourir.
Étape 3 — Expansion : d'une station à l'ensemble du réseau
Avec un pied à l'intérieur, l'attaquant recherche trois choses : plus d'informations d'identification (surtout d'administrateur), le chemin vers les serveurs et les sauvegardes. Dans un réseau plat, sans segmentation, avec des utilisateurs administrateurs de leurs postes et des mots de passe d'administration identiques sur toutes les machines, cela prend des heures. C'est également la phase où l'attaquant désactive l'antivirus, crée ses propres comptes pour revenir plus tard et supprime ou chiffre les sauvegardes qu'il parvient à atteindre. Cela peut durer des jours ou des semaines — et c'est le moment où la surveillance fait la différence entre un poste compromis et une entreprise à l'arrêt.
Où se garer : segmentation du réseau en VLANs, afin qu'un poste compromis n'atteigne ni les serveurs ni les sauvegardes (comment on fait). Utilisateurs sans privilèges d'administrateur. Copies de sauvegarde hors réseau et immuables. Et surveillance 24h/24 et 7j/7 qui détecte le comportement anormal — connexions en dehors des heures de bureau, nouveaux comptes, trafic vers des destinations étranges — alors qu'il s'agit encore d'une alerte et non d'une catastrophe. C'est la logique en quatre étapes du Zero Trust pour PME.
Étape 4 — Impact : ce que l'entreprise voit
Ce n'est qu'ici que l'attaque devient visible : fichiers chiffrés et demande de rançon, données publiées ou vendues, virements bancaires frauduleux, ou tout simplement l'arrêt des systèmes. L'attaquant choisit le moment — souvent le vendredi soir ou la veille d'un jour férié — pour maximiser le temps avant la réaction. À partir de là, le coût ne se mesure plus en prévention : il se mesure en jours d'arrêt, en honoraires de récupération, en notifications à la CNPD et aux clients, et en réputation.
Où se garer : Il ne s'agit plus de contenir, mais de maîtriser. Plan de réponse aux incidents écrit et connu — qui isole quoi, qui communique, qui appelle qui. Des sauvegardes testées et hors de portée de l'attaquant, qui font la différence entre une restauration en quelques heures et la négociation d'une rançon. Un plan de reprise après sinistre avec des temps de récupération définis. Et les premières heures bien gérées — ce qu'il faut faire et ne pas faire se trouve dans notre guide sur récupération de données dans les premières heures.
Pourquoi la phase 3 est-elle la plus importante
La phase 2 ne sera jamais clôturée à 100% : les gens font des erreurs et de nouvelles vulnérabilités apparaissent chaque jour. La phase 4 arrive trop tard pour permettre de prévenir les incidents. C’est au cours de la phase 3 qu’une entreprise dotée de systèmes de segmentation, de surveillance et de sauvegardes sécurisées transforme un incident grave en un simple poste à réinstaller. C’est aussi la phase la plus négligée, car elle passe inaperçue : les entreprises investissent dans la porte d’entrée (pare-feu, antivirus) et dans la restauration (sauvegardes), mais laissent le milieu exposé.
Une suite réelle, résumée
Un scénario composé de ce que nous voyons dans les PME : mardi, un employé de la comptabilité reçoit un e-mail du “ fournisseur ” avec une facture et tape le mot de passe sur le faux portail. L'attaquant se connecte à l'e-mail ce soir-là, lit pendant une semaine, trouve l'accès à l'environnement de travail à distance sans MFA. Il entre sur le réseau, découvre que l'utilisateur est administrateur local, extrait les identifiants, atteint le serveur de fichiers et le NAS des sauvegardes sur le même segment. Il efface les sauvegardes le jeudi soir. Il chiffre tout aux premières heures du samedi. Lundi matin, l'entreprise le découvre. Avec la MFA sur l'accès à distance, l'attaque s'arrêtait à la phase 2. Avec des VLAN et des sauvegardes hors réseau, elle s'arrêtait à la phase 3 avec un serveur à restaurer. Sans tout cela, ce furent trois semaines d'arrêt partiel.
Foire aux questions
Combien de temps s'écoule entre l'entrée et l'impact ?
Dans les PME, typiquement entre quelques jours et quelques semaines. Les attaques automatisées peuvent chiffrer en quelques heures ; les attaques ciblées prennent plus de temps parce que l'attaquant cherche les copies de sauvegarde avant d'agir.
Un bon antivirus ne bloque-t-il pas tout cela ?
Il bloque une partie de la phase 2 (pièces jointes malveillantes) et une partie de la phase 3 (outils connus). Il ne bloque pas les identifiants volés utilisés de manière légitime, ce qui correspond à la façon dont la plupart des attaques progressent. C'est pourquoi l'authentification multifacteur et la segmentation sont plus décisives.
Payer la rançon résout-il le problème ?
Cela ne garantit pas la récupération, ne garantit pas que les données ne seront pas publiées et finance la prochaine attaque. Les entreprises disposant de copies testées et hors de portée n'ont pas besoin de poser la question.
Par où commencer si je n'ai rien de tout cela ?
Par ordre de coût-efficacité : MFA sur tous les accès externes, copies hors réseau et testées, supprimer les droits d'administrateur des utilisateurs, segmenter le réseau. Les deux premières se font en quelques jours.
À quelle phase votre entreprise bloquerait-elle une attaque ?
Nous parcourons les quatre phases avec votre infrastructure et nous vous disons par écrit où l'attaque s'arrêterait aujourd'hui et ce qui manque pour l'arrêter plus tôt. Voir notre cybersécurité gérée pour les entreprises ou composez le 211 459 950.
