Top 10 des cybermenaces pour les PME

Merci à TEHTRIS pour cet article. 

En tant que propriétaire d'une petite ou moyenne entreprise (PME), vous êtes malheureusement une cible privilégiée pour les cyberattaques et courez un risque important d’être compromis. Des études récentes soulignent les défis croissants en matière de cybersécurité pour les PME, l'une d'elles estimant que 44 % des cyberattaques les visent spécifiquement (1). Malgré ces statistiques alarmantes, de nombreuses PME sous-estiment ou ignorent même les risques cybernétiques auxquels elles sont confrontées. Cette méconnaissance, combinée à des ressources souvent limitées en cybersécurité, les rend vulnérables à un large éventail de menaces.

Si les grandes entreprises font la une des journaux lorsqu'elles sont victimes de cyberattaques, les PME font face à des conséquences uniques et potentiellement plus dévastatrices. Contrairement aux grandes organisations, les PME ont souvent du mal à se remettre d'une attaque, ce qui rend essentiel de sensibiliser aux défis de la cybersécurité.

Dans cet article, nous explorerons les types d’attaques les plus courantes auxquelles les PME sont confrontées. En comprenant ces menaces, vous pourrez prendre des mesures proactives pour mieux protéger votre entreprise.

I) Les cyberattaques les plus courantes contre les PME

Les attaques suivantes sont les plus fréquemment utilisées pour cibler les PME, selon les recherches de notre partenaire TEHTRIS. Ce sont des menaces majeures dans le domaine de la cybersécurité, quel que soit la taille de l'entreprise, mais elles sont plus faciles à utiliser contre les PME en raison de leurs ressources et connaissances limitées en cybersécurité.

1. Le phishing
   La plus grande menace pour votre PME est le phishing. De faux e-mails ou SMS sont envoyés aux employés par des expéditeurs se faisant passer pour un membre de votre entreprise, un partenaire ou une institution importante. À travers ces attaques, les cybercriminels tentent d’obtenir des informations sensibles sur votre entreprise.

Vous avez probablement déjà été confronté à des tentatives de phishing. En moyenne, une entreprise passe 27,5 minutes à traiter un seul e-mail de phishing, ce qui coûte 31,32 $ par e-mail (2).

2. Les ransomwares
   En deuxième position, on retrouve les ransomwares. Ce sont des logiciels malveillants conçus pour extorquer de l'argent à votre PME. Ils peuvent infiltrer votre infrastructure informatique par divers moyens : tentatives de phishing, sites Web ou publicités malveillantes, logiciels infectés téléchargés... Une fois installé, le processus est le suivant : vous serez bloqué sur vos ordinateurs ou n'aurez plus accès à certains fichiers. Pour récupérer vos accès, les cybercriminels exigeront une rançon.

Il existe de nombreux exemples de PME ayant dû fermer à la suite d'une attaque par ransomware. Même une entreprise de taille moyenne de 300 employés a cessé son activité quelques mois après une telle attaque, incapable de se remettre sur pied (3).

3. Les malwares (y compris les virus)
   Les malwares sont les cybermenaces les plus connues. Ils incluent les virus, vers, chevaux de Troie, logiciels espions et publicitaires. Bien que nous ayons détaillé les ransomwares séparément, car ils sont parmi les plus grandes menaces pour les PME, les malwares en général représentent un danger considérable. Selon leur type, ils peuvent compromettre la sécurité de vos systèmes informatiques et perturber vos opérations.
    

4. Les attaques DDoS
   Les attaques par déni de service distribué (DDoS) visent à mettre hors service un site Web, un serveur ou un réseau cible. Lors d'une attaque DDoS, une multitude de systèmes compromis attaquent simultanément une cible spécifique. En raison du grand nombre de requêtes, ces attaques sont particulièrement efficaces, ralentissant considérablement le service, voire le rendant complètement inopérant.

Une attaque DDoS peut être particulièrement dommageable et coûteuse pour une PME. Une étude récente a montré qu'une attaque DDoS coûte en moyenne 120 000 $ à une PME (4).

5. Les botnets
   Un bot est un appareil ou un système compromis, contrôlé à distance par un attaquant. Lorsqu'un grand nombre de systèmes informatiques sont infectés, ils forment un botnet. Les ordinateurs portables, de bureau et tout appareil connecté à Internet ou à un réseau compromis peuvent en faire partie. L'objectif est d'utiliser ces appareils pour mener des activités malveillantes, comme des attaques DDoS, l'envoi de spams, la propagation de malwares...

II) Erreurs conduisant à des failles de cybersécurité

Les cyberattaques représentent, bien sûr, le plus grand risque pour votre PME. Mais en réalité, ces attaques sont souvent facilitées par les choix stratégiques en cybersécurité et leur gestion quotidienne.

1. Vulnérabilités non gérées
   Les vulnérabilités non gérées sont des failles de sécurité résultant d'une mauvaise gestion des outils de cybersécurité et de mesures de protection négligées. Cela inclut l'absence de mises à jour des systèmes ou logiciels, des logiciels obsolètes, des configurations inappropriées et des vulnérabilités non corrigées. Elles sont souvent dues à un manque de ressources ou de personnel en cybersécurité et constituent une faille facile pour les cybercriminels.
    

2. Mots de passe faibles
   Une vulnérabilité courante, mais cruciale, est l'utilisation de mots de passe faibles. La nécessité d'un mot de passe complexe pour protéger l'infrastructure informatique est bien connue, mais reste une faiblesse majeure en cybersécurité, notamment lorsqu'aucune équipe informatique ne supervise la stratégie de sécurité. Un mot de passe faible est une porte d’entrée simple pour les cybercriminels.
    

3. Menaces internes
   Les menaces internes sont considérées comme l'un des plus grands risques pour votre PME, au même niveau que le phishing ou les ransomwares. Employés actuels ou anciens, partenaires commerciaux ou sous-traitants : toute personne ayant accès aux données sensibles de votre entreprise peut les utiliser à mauvais escient.

Les PME sont particulièrement vulnérables à ce type de menace, car elles utilisent souvent des outils de cybersécurité traditionnels qui n'analysent pas efficacement les comportements humains.

4. Erreurs humaines
   Les erreurs humaines sont inévitables et constituent une faiblesse majeure en cybersécurité. Bien sûr, tout le monde peut faire des erreurs, mais les cybercriminels exploitent cette faille en créant des situations propices aux erreurs des employés. Cela s’appelle l’ingénierie sociale, dont l’exemple le plus courant est le phishing mentionné précédemment.
    

5. Appareils mobiles
   Les smartphones et autres appareils mobiles sont souvent négligés dans les stratégies de cybersécurité des entreprises, et pas seulement des PME. Or, ces appareils stockent une grande quantité de données sensibles et sont souvent utilisés dans des lieux publics avec des réseaux Wi-Fi non sécurisés. Leur protection peut constituer un avantage concurrentiel considérable.

(1) https://www.stelliant.com/actualites/besse-stelliant-etude-cyber/

(2) https://20641927.fs1.hubspotusercontent-na1.net/hubfs/20641927/Site%20Assets/Resources/Whitepapers/Whitepaper-Osterman-Research-The-Business-Cost-of-Phishing.pdf

(3) https://www.zdnet.com/article/company-shuts-down-because-of-ransomware-leaves-300-without-jobs-just-before-holidays/

(4) https://www.techinsurance.com/resources/ddos-small-business-costs