Les erreurs de cybersécurité que font 90 % des PME (et comment les corriger)

Chaque semaine, des PME françaises subissent des cyberattaques qui auraient pu être évitées. Non pas par manque de budget, mais par manque d’information. Les hackers ne cherchent pas à contourner des défenses sophistiquées : ils exploitent des erreurs basiques, répétées par la quasi-totalité des petites et moyennes entreprises. Voici les 10 erreurs les plus critiques, et surtout, comment les corriger dès aujourd’hui.

Erreur 1 : Ne pas former ses employés

C’est de loin l’erreur la plus coûteuse. Plus de 90 % des cyberattaques réussies exploitent une action humaine : un clic sur un lien de phishing, un téléchargement d’une pièce jointe malveillante, un mot de passe communiqué par téléphone à un faux technicien.

Pourtant, la plupart des PME n’organisent aucune formation cybersécurité. Ou alors une seule fois, lors de l’intégration, jamais renouvelée. Or les techniques d’attaque évoluent constamment : un email de phishing généré par IA en 2026 n’a plus rien à voir avec les tentatives grossières d’il y a cinq ans.

La correction : planifier au minimum une simulation de phishing par trimestre et une formation annuelle pour tous les collaborateurs. Des plateformes comme KnowBe4, Proofpoint ou Usecure proposent des programmes clés en main à partir de quelques euros par utilisateur et par mois. Les ressources gratuites de Cybermalveillance.gouv.fr et de l’ANSSI sont également d’excellents points de départ.

Erreur 2 : Négliger les mises à jour

Les mises à jour sont perçues comme une contrainte : elles arrivent au mauvais moment, nécessitent parfois un redémarrage et peuvent occasionnellement créer des incompatibilités. Résultat : beaucoup de PME les repoussent indéfiniment, ou pire, désactivent les mises à jour automatiques.

C’est une erreur fatale. La quasi-totalité des ransomwares et des intrusions réussies exploitent des vulnérabilités pour lesquelles un correctif existait depuis des semaines ou des mois. EternalBlue, la faille exploitée par WannaCry, était corrigée par Microsoft deux mois avant l’attaque, les organisations touchées avaient simplement négligé de l’appliquer.

La correction : activer les mises à jour automatiques sur tous les systèmes d’exploitation, navigateurs et logiciels. Pour les environnements plus complexes, une solution de patch management centralisée (Ivanti, ManageEngine, ou la fonctionnalité intégrée dans Microsoft Intune) permet de planifier et surveiller les déploiements sans perturber la production.

Erreur 3 : Utiliser des mots de passe faibles ou réutilisés

« Le mot de passe de ma messagerie ? C’est le même que pour le VPN, le site fournisseur et mon compte LinkedIn. » Cette phrase, prononcée par une proportion alarmante de collaborateurs, est un cadeau pour les attaquants. Une seule violation de données sur un service tiers suffit à compromettre l’ensemble des accès d’un utilisateur.

Les attaques par « credential stuffing », qui consistent à tester automatiquement des millions de couples identifiant/mot de passe issus de fuites précédentes, sont entièrement automatisées et peuvent compromettre des centaines de comptes en quelques minutes.

La correction : déployer un gestionnaire de mots de passe d’entreprise (Bitwarden Business, 1Password Teams ou Dashlane Business) pour l’ensemble des collaborateurs. Coupler cela avec le MFA sur tous les comptes critiques. Un mot de passe unique et complexe par service, généré automatiquement, résout 99 % du problème.

Erreur 4 : Ne pas sauvegarder (ou ne pas tester les restaurations)

Beaucoup de PME pensent sauvegarder leurs données… jusqu’au jour où elles essaient de les restaurer. Les scénarios problématiques sont nombreux : sauvegardes qui n’ont pas tourné depuis des semaines, copies stockées sur le même serveur que les données originales (et donc chiffrées par le ransomware en même temps), ou sauvegardes dont personne ne connaît la procédure de restauration.

Une sauvegarde non testée n’est pas une sauvegarde. C’est une illusion de sécurité, parfois pire que l’absence totale de sauvegarde car elle donne une fausse confiance.

La correction : appliquer la règle 3-2-1 (3 copies, 2 supports différents, 1 hors site), s’assurer que la copie hors site est isolée du réseau principal (air-gap ou cloud avec immutabilité activée), et planifier un test de restauration complète chaque trimestre, documenté et signé.

Erreur 5 : Penser que l’antivirus suffit

L’antivirus traditionnel fonctionnait par comparaison de signatures : il reconnaissait les virus connus et les bloquait. C’était suffisant en 2010. Aujourd’hui, les malwares modernes sont polymorphes, fileless (s’exécutent en mémoire sans laisser de trace sur le disque) ou utilisent des outils légitimes du système d’exploitation pour se dissimuler.

Un antivirus seul laisse passer une proportion significative des menaces actuelles. Les tests indépendants montrent que les EDR (Endpoint Detection and Response) détectent jusqu’à 40 % de menaces supplémentaires par rapport aux antivirus classiques.

La correction : remplacer l’antivirus traditionnel par une solution EDR. Microsoft Defender for Business, inclus dans Microsoft 365 Business Premium, offre un niveau de protection EDR satisfaisant pour les PME à budget limité. Pour une protection renforcée, SentinelOne ou CrowdStrike sont les références du marché.

Erreur 6 : Ignorer la sécurité des emails

Le domaine email d’une PME sans SPF, DKIM et DMARC configurés est une invitation ouverte à l’usurpation d’identité. N’importe qui peut envoyer un email qui semble provenir de votre domaine, à vos clients, fournisseurs ou partenaires. Ces emails frauduleux peuvent déclencher des virements, diffuser des malwares ou entacher votre réputation.

Autre erreur fréquente : ne pas activer le filtre anti-spam avancé de sa suite email. La plupart des solutions professionnelles (Microsoft 365, Google Workspace) incluent des options de filtrage anti-phishing et anti-malware qui ne sont pas activées par défaut et doivent être configurées manuellement.

La correction : configurer SPF, DKIM et DMARC sur votre DNS (votre registrar de domaine ou votre hébergeur peut vous aider), activer la politique DMARC en mode « reject » après une période de surveillance, et activer toutes les fonctions anti-phishing disponibles dans votre suite email.

Erreur 7 : Absence de plan de réponse à incident

Quand une attaque survient, la panique s’installe. Sans procédures définies à l’avance, les premières actions sont souvent contre-productives : redémarrer la machine infectée (ce qui efface les preuves), payer la rançon sans consulter d’expert, ou attendre plusieurs heures avant d’isoler les systèmes compromis, laissant le malware se propager.

Un plan de réponse à incident n’a pas besoin d’être un document de 50 pages. Une fiche d’une page, accessible à tous, avec les numéros à appeler et les premières actions à prendre, suffit à structurer la réaction initiale.

La correction : rédiger un plan de réponse à incident minimal couvrant : qui appeler (DSI, prestataire, CERT, Cybermalveillance.gouv.fr), quoi faire en premier (isoler, ne pas éteindre, alerter), et comment communiquer (interne, clients, CNIL si données personnelles). Tester ce plan une fois par an avec un exercice sur table.

Erreur 8 : Confondre conformité RGPD et sécurité

Beaucoup de PME ont coché la case « RGPD » en nommant un DPO et en ajoutant une politique de confidentialité sur leur site. Elles se croient donc « conformes » et en sécurité. Or le RGPD impose des mesures de sécurité techniques adaptées aux risques, et une conformité administrative sans protection technique réelle expose à une double sanction : l’amende de la CNIL ET les dommages de l’attaque.

Inversement, avoir une bonne sécurité technique sans les bons processus RGPD (registre des traitements, procédure de notification des violations) expose à des sanctions même sans incident.

La correction : traiter la conformité RGPD et la sécurité technique comme les deux faces d’une même pièce. Mettre à jour le registre des traitements en y intégrant les mesures de sécurité associées à chaque traitement, et s’assurer que la procédure de notification sous 72 heures en cas de violation est documentée et connue.

Erreur 9 : Négliger la sécurité du Wi-Fi et du réseau

Un réseau Wi-Fi avec un mot de passe affiché dans la salle d’attente, un réseau invité inexistant ou bridé uniquement par un mot de passe faible, un routeur jamais mis à jour depuis son installation : ce sont des portes d’entrée béantes sur votre réseau d’entreprise.

Une fois sur le réseau Wi-Fi, un attaquant peut écouter le trafic non chiffré, accéder aux partages réseau, compromettre les appareils mal configurés et se déplacer latéralement vers des ressources critiques. La segmentation réseau, isoler le Wi-Fi invité, les imprimantes, l’IoT et les serveurs dans des zones séparées, est une mesure de base trop souvent ignorée.

La correction : activer le protocole WPA3 sur tous les points d’accès, créer un réseau séparé pour les visiteurs et les appareils non gérés, changer les mots de passe par défaut de tous les équipements réseau, et effectuer un audit de la segmentation réseau au moins une fois par an.

Erreur 10 : Croire qu’on est trop petit pour être ciblé

C’est l’erreur mère, celle qui conduit à toutes les autres. « Nous n’avons rien d’intéressant pour les hackers. » Cette conviction fausse est le fondement sur lequel repose l’inaction de la majorité des PME. Or les attaquants ne font pas de sélection manuelle : ils utilisent des outils automatisés qui scannent l’ensemble d’internet à la recherche de vulnerabilités exploitables, sans distinction de taille ou de secteur.

Vos données clients ont une valeur marchande sur le dark web. Votre messagerie peut servir à diffuser des spams ou du phishing. Votre infrastructure peut être intégrée à un botnet. Et vos accès peuvent servir de tremplin vers un client ou partenaire plus grand. Toute entreprise connectée est une cible potentielle.

La correction : changer de mentalité. Partir du principe que votre entreprise sera attaquée, la question n’est pas « si » mais « quand », et construire sa défense en conséquence. Cette prise de conscience est le premier pas vers une vraie politique de cybersécurité formalisée dans la PSI : politique de sécurité informatique.

Conclusion : corriger ces erreurs est à la portée de toutes les PME

La bonne nouvelle, c’est que corriger ces 10 erreurs ne nécessite pas un budget astronomique. La plupart des actions sont gratuites ou très peu coûteuses : activer le MFA, configurer DMARC, tester les restaurations, former les équipes. Ce qui manque, c’est rarement l’argent, c’est la prise de conscience et la priorisation.

Commencez par l’erreur qui vous touche le plus directement, corrigez-la complètement, puis passez à la suivante. Six mois de travail rigoureux sur ces fondamentaux vous placeront dans le top 10 % des PME les mieux protégées de France.