Savez vous que les TPE et les PME représentaient 40 % des attaques par rançongiciel en 2022 ?Le faible niveau de connaissance des salariés des entreprises en matière de cybersécurité est particulièrement mis en cause. C'est la raison pour laquelle nous vous partageons ici les bonnes pratiques à connaitre pour vous prémunir contre toutes les formes de piratage informatique dans votre entreprise. Chaque collaborateur porte une part de responsabilité dans la sécurité des réseaux informatiques de l’entreprise.
Quelles sont les conséquences d’une cyberattaque pour une entreprise ?
C'est forcément compliqué pour un dirigeant de reconnaître qu’une faille existe dans son système informatique, pouvant potentiellement impacter ses clients et ses fournisseurs. Pourtant, le risque est réel. Le piratage informatique entraine des conséquences catastrophiques pour l'entreprise qui en est victime :
- Manque à gagner en raison de l’indisponibilité des réseaux et/ou du matériel de l’entreprise
- Perte de données indispensables au fonctionnement courant
- Impact négatif sur la réputation de l’entreprise et perte de confiance des partenaires
- Coût financier lié à l’intervention d’un professionnel de la cybersécurité
- Coût financier lié au versement de rançons aux malfaiteurs.
Dans les cas les plus graves, le piratage informatique peut même conduire au dépôt de bilan.
Outre les hôpitaux et d'autres institutions publiques, les TPE et PME constituent une cible de choix pour les pirates, car leurs systèmes informatiques sont généralement moins protégés.
Quelles sont les 4 formes de piratage informatique en entreprise ?
Vol de mots de passe, hameçonnage, rançongiciel et logiciels malveillants continuent de gagner en sophistication. En 2023, le piratage de compte représentait 23,5 % des attaques. Le hameçonnage : 21 % ; et les attaques par rançongiciels : 17 %. Décryptage des différentes méthodes utilisées par les cybercriminels.
Le phishing (ou hameçonnage)
Cette méthode consiste à envoyer des emails frauduleux en se faisant passer pour un tiers de confiance (banque, administration), pour dérober à vos salariés des informations confidentielles. Les attaques qui concernent les faux ordres de virement étaient en forte augmentation (+62,7%) en 2023.
Ces e-mails frauduleux sont rédigés de manière à créer chez la victime un sentiment d'urgence pour l'inciter à ouvrir :
- un lien qui mène à un faux site Internet malveillant, souvent copie parfaite de l'original,
- une pièce-jointe qui contient un virus.
Le but étant d'obtenir des données confidentielles comme les mot de passe ou des coordonnées bancaires.
Les rançongiciels (ou ransomwares)
Il s'agit de virus qui s'infiltrent dans le réseau informatique de l'entreprise depuis un simple téléchargement. Le pirate informatique paralyse ainsi tout votre système d’information en chiffrant les données. L'objectif étant d'obtenir de l'argent (la rançon) en échange de la clé qui vous permettra de déchiffrer et restaurer les données.
Le vol de mot de passe
Pour récupérer vos mots de passe, voire usurper votre identité, les cybercriminels utilisent des logiciels qui génèrent de façon massive le plus grand nombre de combinaisons possibles. Ils récupèrent des informations sur vos réseaux sociaux pour pouvoir deviner votre mot de passe après plusieurs essais.
Le logiciel malveillant (malware)
Il s'agit là d'un programme développé pour nuire à un système informatique. Il se cache potentiellement dans une clé USB "piégée", ou un logiciel de téléchargement gratuit.
Rappelez à vos salariés de ne jamais connecter un matériel inconnu à leur ordinateur. Une clé USB peut abriter un fichier malveillant. De même, ne jamais installer une mise à jour soi-disant obligatoire, ni se connecter à son site bancaire à partir d'un réseau Wi-Fi situé dans un lieu public.
Quelles solutions pour renforcer votre sécurité sur Internet face aux cyber menaces ?
Pour prémunir votre entreprise des risques de piratage informatique, il existe heureusement plusieurs réflexes à adopter - et à faire adopter par vos salariés, dès maintenant :
- Soyez vigilants sur Internet. Naviguez seulement sur les sites dont l’adresse commence par « https » ;
- Faites auditer régulièrement la sécurité de votre propre site Web ;
- Protégez le nom de domaine de votre site Web pour pour vous prémunir de tout usage frauduleux. Enregistrez votre nom de domaine sous forme de marque auprès de l’INPI ;
- Effectuez des sauvegardes régulières de votre site web et de l'ensemble de vos données. Déconnectez votre support de sauvegarde après utilisation ;
- Quand vous travaillez à l'extérieur de vos locaux, privilégiez la connexion 4G de votre abonnement téléphonique pour éviter les réseaux Wi-Fi publics ;
- Traitez vos e-mails avec attention. Ne cliquez pas sur les liens, ni sur les pièces jointes lorsque le contenu vous semble douteux ;
-
Utilisez un mot de passe suffisamment long, complexe et différent pour chaque service. Il existe des moyens mnémotechniques efficaces, comme la méthode phonétique par exemple : ght1PC%E7am signifiant J’ai acheté 1 PC pour cent euros cet après-midi ;
-
Ne communiquez jamais vos mots de passe, même pour une « maintenance » ou un « dépannage informatique » ;
- Privilégiez les sources officielles pour télécharger vos logiciels, comme les sites des éditeurs par exemple ;
- Vérifiez régulièrement que vos antivirus sont bien à jour sur tous les PC, portables et mobiles professionnels. De même, faites les mises à jour qu’elles vous sont proposées et vérifiez régulièrement que vous n’avez pas été infecté. Les attaques contre les appareils mobiles ont augmenté de 50% en 2023 !
La cybersécurité s’inscrit dans une démarche globale à adopter au sein de votre entreprise. C’est pourquoi vous devez sensibiliser vos employés aux risques et aux bonnes pratiques à adopter. N’hésitez pas à consulter le guide pratique conçu spécialement pour les PME par l’ANSSI (Agence nationale de la sécurité des systèmes d’information), afin d’obtenir de nombreux conseils pratiques.
Vous pouvez aussi opter pour la solution de Bpifrance : Le Diag Cybersécurité. Il permet aux dirigeants de dresser un état des lieux et de proposer des recommandations adaptées pour vous prémunir contre les risque de cyber attaques.
Où s’adresser en cas de piratage de votre entreprise ?
Comment établir un diagnostic ?
Si vous pensez que votre entreprise est victime d’un piratage informatique, rendez-vous sur le site de l’organisme public Cybermalveillance qui propose un outil de diagnostic en ligne gratuit.
Vous disposerez ainsi de conseils personnalisés en fonction de la situation et du type de cyberattaque.
Qui contacter en cas de cyberattaque ?
En interne, vous devez tout d’abord contacter les personnes en charge du support informatique et constituer une équipe de crise avec les représentants des ressources humaines, du juridique et la direction financière.
En externe, vous devez alerter votre banque pour éviter les transferts de fonds frauduleux et déclarer le sinistre auprès de votre assureur.
Attention ! Si les pirates vous réclament une rançon, il est déconseillé de la payer car vous n’avez aucune garantie qu’ils rétabliront vos données, ni même qu'elles n’ont pas déjà été utilisées.
Comment déposer plainte ?
Dès que possible, vous pouvez déposer plainte auprès de :
- La brigade de gendarmerie
- Le commissariat de police
- Le procureur de la République du tribunal judiciaire, par écrit
Pour appuyer votre plainte, il est indispensable de conserver toutes les preuves de la cyberattaque dès lors que vous l’avez identifiée : messages, journaux de connexions, matériel impacté, etc.
Comment faire pour récupérer des données piratées ?
En fonction de la solution de gestion de données ou de l’antivirus que vous utilisez, vous aurez peut-être la possibilité de récupérer tout ou partie des données piratées. À condition bien sûr d'avoir paramétré et programmé des sauvegardes régulières.
Qui est responsable en cas de piratage ?
L'entreprise peut être tenue responsable si elle n'a pas mis en place des mesures de sécurité adéquates pour protéger ses données et celles de ses clients.
Pour rappel, l'entreprise est soumise à un certain nombre d’obligations définies dans le RGPD. L’objectif étant de protéger la vie privée des personnes à qui appartiennent ces données personnelles (nom, identifiant, numéro client, etc.). Or, pour être conforme au RGPD, vous devez notamment garantir la sécurisation des données personnelles de tous les tiers concernés.
Donc, si une cyberattaque entraîne la fuite de données personnelles et cause préjudice à ses clients, le dirigeant encourt des sanctions financières en cas d'absence d'un système protecteur de cybersécurité.
L'essentiel à retenir
Les cybercriminels ciblent les entreprises de toutes tailles, et à commencer par les TPE et PME perçues comme plus vulnérables. Pour protéger votre entreprise, il est indispensable d’identifier en amont les risques de cyberattaques et de mettre en place tous les dispositifs adaptés, notamment la formation à vos salariés.
Vous cherchez un véritable partenaire de confiance et des tarifs compétitifs ? Contactez nos experts-comptables en ligne pour cette question cruciale et toutes les autres ! Vous bénéficierez de conseils personnalisés et de nos expertises en comptabilité, fiscalité, juridique et RH.
