Vendredi, 17 h 48. La fatigue de la semaine, un mail prétendument signé par la direction, un clic machinal… et tout le réseau de la boîte finit chiffré par un rançongiciel. Erreur de débutant en cybersécurité !
Les pirates ne s’acharnent pas. Ils attendent simplement que vous leur teniez la porte. Dans neuf attaques sur dix, la brèche, ce n’est pas le pare-feu. C’est vous.
Voici sept réflexes pour cesser d’être la cible idéale.
Le réflexe n°1 : Verrouiller sa session (avant que vos collègues n’envoient des croissants à votre place)
Quitter son bureau deux minutes sans verrouiller son écran, ce n’est pas juste risquer une blague de croissantage (afficher une image de croissant sur le pc de ton collègue pour rigoler) entre collègues. C’est laisser un accès grand ouvert à vos échanges Teams confidentiels, votre messagerie et l’intégralité du carnet client de la boîte.
Gravez ce geste dans vos réflexes musculaires avant même de décoller du siège :
- Windows : Windows + L
- Mac : Ctrl + Cmd + Q (ou rabattez l’écran d’un coup sec).
Gérer ses accès sans s’arracher les cheveux
Adopter un gestionnaire de mots de passe plutôt que le post-it sur l’écran
Votre prénom suivi de « 2024! » sur cinq logiciels différents, ce n’est pas un système de sécurité. C’est un tapis rouge déroulé aux pirates. Quant au post-it collé sous le clavier, il relève de la négligence pure.
Installez un gestionnaire de mots de passe (Bitwarden, 1Password) :
- Il forge des mots de passe de vingt caractères impossibles à forcer.
- Il remplit vos accès automatiquement.
- Vous n’avez qu’une seule clé maîtresse à retenir.
Activer la double authentification (2FA) partout où c’est possible
Un mot de passe seul ne vaut rien. Le 2FA, c’est le verrou blindé indispensable : même avec vos identifiants vendus sur le dark web, le pirate reste bloqué.
L’exigence : refusez les validations par SMS, facilement détournables. Utilisez une application dédiée comme Google Authenticator ou Microsoft Authenticator.
La vigilance au quotidien face aux pièges humains
Détecter le phishing : l’art de repérer l’urgence artificielle
Le pirate ne cherche pas à vous bluffer par sa technique : il cherche à vous faire paniquer. Ses armes ? La peur et l’empressement (« Compte résilié sous deux heures », « Facture bloquée », « Virement urgent du patron »).
Dès qu’un message exige une action immédiate :
- Regardez l’adresse après le @ : le nom d’affichage ment, le nom de domaine jamais.
- Survolez le lien sans cliquer : vérifiez l’adresse réelle de destination.
- Décrochez votre téléphone : une demande financière soudaine se confirme de vive voix, jamais en deux clics aveugles.
Se méfier des supports inconnus : non, cette clé USB n’est pas un cadeau de bienvenue
Une clé USB abandonnée sur le parking ou dans l’entrée n’a rien d’un oubli fortuit. C’est un piège d’appâtage classique. Une fois branchée, le script s’exécute en silence et ouvre une brèche dans tout le système local.
Ne la branchez jamais « juste pour voir à qui elle appartient ». Déposez-la directement au service informatique.
Hygiène technique et travail nomade
Appliquer les mises à jour sans cliquer indéfiniment sur « Rappeler plus tard »
Une mise à jour ne sert pas à redessiner vos icônes : elle colmate des brèches actives exploitées en temps réel par les attaquants. Repousser une alerte pendant trois semaines revient à laisser les clés sur la porte d’entrée de l’entreprise. Lancez-les dès qu’elles tombent et redémarrez votre machine le soir.
Bannir les Wi-Fi publics sans VPN en télétravail ou déplacement
Le Wi-Fi « gratuit » d’un café, d’une gare ou d’un hôtel est une passoire intégrale. N’importe qui connecté sur la même borne peut intercepter vos échanges en clair.
- Obligation : lancez le VPN d’entreprise avant de charger le moindre document.
- Alternative directe : passez par le partage de connexion 4G/5G de votre téléphone professionnel.
Sauvegarder régulièrement sur le cloud entreprise
Enregistrer ses dossiers sur son Bureau (C:\), c’est s’assurer de tout perdre au premier crash ou à la première attaque par ransomware. Travaillez exclusivement sur les serveurs partagés et espaces cloud sécurisés de votre structure. Eux seuls permettent une restauration propre en cas de sinistre.
Que faire en cas de doute ou d’incident ? Alerter sans panique ni honte
Vous avez cliqué sur le mauvais lien ? Vous avez saisi vos identifiants sur une page suspecte ? Cessez de tergiverser et réagissez dans la minute :
- Coupez immédiatement la connexion : arrachez le câble Ethernet ou coupez le Wi-Fi pour isoler l’appareil du réseau.
- Ne forcez pas l’extinction du PC : la mémoire vive conserve les indices indispensables à l’équipe technique.
- Prévenez immédiatement votre DSI : dissimuler une erreur par peur d’un reproche transforme un simple incident en désastre collectif.