En tant que dirigeant de TPE ou de PME, vous détenez les accès les plus larges au système d'information et vous validez les virements. Aux yeux des cybercriminels, vous valez plus que n'importe quel autre poste de votre entreprise. Il est temps de vous protéger.
Pourquoi un cybercriminel vous choisit-il avant de s'en prendre à vos collaborateurs ?
Parce que vous avez accès à tout. Dans la majorité des PME françaises, c'est le dirigeant qui détient à la fois les droits administrateurs sur les serveurs, les codes d'accès aux outils métiers et l'autorité de signature sur les comptes bancaires. En compromettant votre compte, il ouvre la boîte de Pandore et n'a plus besoin de chercher ailleurs.
Selon l'ENISA, l'Agence de l'Union européenne pour la cybersécurité, 57 % des PME européennes estiment qu'un incident cyber les conduirait à fermer ou à cesser leur activité.
Donc les PME françaises, avec leurs données sensibles et leurs ressources limitées en cybersécurité, correspondent exactement au profil que les attaquants recherchent en priorité.
La solution tout-en-un pour protéger votre entreprise
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Votre profil LinkedIn fournit aux attaquants leur premier outil de reconnaissance
C'est l'antre des dirigeants. Sur LinkedIn, vous affichez votre fonction, vos clients, vos partenaires, parfois vos déplacements à venir. Si un attaquant lit toutes ces informations, vous n'imaginez pas à quel point il dispose déjà de quoi monter une campagne de spear-phishing, l'hameçonnage par e-mail construit sur mesure à partir des informations publiques de la cible. Les filtres antispam que votre prestataire informatique a configurés ne protègent pas la messagerie privée de LinkedIn. Vous y lisez les messages sans filet.
Sachez par ailleurs que les outils d'intelligence artificielle sont les nouveaux alliés des cybercriminels. Ils s'en servent pour produire des messages sans faute, adaptés à votre secteur et construits à partir de vos publications récentes.
Selon le Panorama de la cybermenace 2025 de l'ANSSI, des sites utilisés dans des opérations offensives ont été générés à l'aide d'outils d'IA générative, abaissant les barrières techniques pour les attaquants. L'email frauduleux qui en résulte ressemble à une relance de votre expert-comptable, avec les références d'un vrai dossier et une signature électronique plausible.
Cybermalveillance.gouv.fr a enregistré en 2025 une hausse de 70 % de l'hameçonnage chez les professionnels. Sur la même période, les auteurs de fraude au virement ont multiplié leurs tentatives de 93 % selon le même dispositif, pour des pertes atteignant jusqu'à 80 000 euros par incident.
Les attaquants exploitent vos mauvaises habitudes de connexion
Comme sans doute beaucoup de dirigeants de PME et au même titre que le commun des mortels, vous réutilisez le même mot de passe entre votre espace bancaire et votre messagerie professionnelle. Et vous l'aurez compris, dès qu'un attaquant récupère ce mot de passe lors d'une fuite de données chez un prestataire tiers, il le teste sur vos outils métiers. En 2025, le piratage de compte occupe le deuxième rang des menaces pour les professionnels selon Cybermalveillance.gouv.fr, en hausse de 45 %.
Lorsque vous êtes sur votre smartphone, vous accédez aux mêmes applications critiques qu'au bureau, souvent sans les protections déployées par votre prestataire sur les postes fixes. Parce que les échanges par SMS et par téléphone échappent aux filtres de votre messagerie professionnelle, les attaquants ont déplacé une partie de leurs campagnes vers le smishing, l'hameçonnage par SMS, et le vishing, les arnaques par appel téléphonique.
Vous travaillez également au quotidien avec un compte doté des droits administrateurs complets. Aucun cloisonnement entre usage courant et opérations sensibles. Dès qu'un hacker pirate ce compte, il a accès aux sauvegardes et données clients aussi facilement que vous. Des groupes de ransomware comme SafePay construisent leur modèle sur ce type de faille, avec plus de neuf victimes sur dix parmi des PME de moins de cinquante salariés.
Plus que la technique, les escrocs utilisent également le coup de pression, en prétextant l'urgence d'agir, en demandant la confidentialité pour vous déstabiliser. Ce faisant, il court-circuite tout réflexe de contrôle chez votre comptable avant que quiconque ait le temps de vérifier. Cybermalveillance.gouv.fr a enregistré en 2025 une hausse de 93 % des demandes d'assistance pour fraude au virement chez les professionnels, selon son rapport d'activité 2025.
Enfin, des PME découvrent régulièrement qu'un ancien prestataire dispose encore de droits d'administration sur leurs serveurs, des mois après la fin de sa mission. C'est aussi un risque à courir qu'il puisse continuer de les utiliser, y compris à des fins malveillantes.
Avec NIS2 et le RGPD, votre responsabilité personnelle est désormais engagée
Un juge peut désormais mettre en cause votre responsabilité personnelle en cas de non-conformité grave avec la directive NIS2, dont le Parlement français doit voter la transposition cet été. En parallèle, le RGPD vous impose de notifier la CNIL dans les 72 heures suivant la découverte d'une fuite de données, quelle que soit la taille de votre entreprise.
Selon les derniers chiffres de la CNIL, les violations de données ont augmenté de 10 % en 2025, avec plus de 6 000 incidents déclarés. Dans le cadre des procédures simplifiées, elle peut vous sanctionner jusqu'à 20 000 euros par manquement, sans que ces décisions fassent l'objet d'une publication. Aucun concurrent sanctionné pour les mêmes lacunes que vous n'apparaîtra dans la presse.
Selon le rapport du COMCYBER-MI sur la cybercriminalité en 2025, des magistrats ont engagé pour la première fois des poursuites contre des dirigeants pour défaut de supervision de leurs systèmes informatiques.
Comment vous protéger
Travaillez sur deux comptes distincts, l'un réservé aux opérations techniques qui exigent les droits administrateurs, l'autre pour le travail quotidien. Même si votre messagerie habituelle est compromise, au moins, les systèmes critiques sont hors de portée.
Activez une application d'authentification à deux facteurs sur tous vos comptes professionnels. Là encore, même si un cybercriminel récupère votre mot de passe lors d'une fuite de données chez un prestataire tiers, il a encore besoin de votre téléphone pour accéder à vos outils. Or, c'est vous qui l'avez dans les mains. Il est donc bloqué.
Vérifiez toute demande de virement inhabituelle reçue par e-mail en rappelant l'expéditeur supposé sur un numéro connu, avant toute exécution. Et ce, même si l'e-mail semble venir de votre propre adresse.
Auditez les accès de vos prestataires au moins une fois par an et révoquez les droits obsolètes. Un ancien prestataire qui conserve un accès administrateur à vos serveurs des mois après la fin de sa mission est plus risqué qu'il n'y paraît.
Et pour aller plus loin sur votre hygiène numérique globale, le dispositif public Cybermalveillance.gouv.fr propose des diagnostics gratuits et une mise en relation avec des prestataires labellisés partout en France.
Participer à la discussion
Partagez votre avis avec la communauté Clubic.