Un matin, Sophie B. ouvre une facture d'un fournisseur qu'elle connaît depuis des années. Le logo est le bon, le ton habituel, mais le numéro de compte a changé — « nouvelle banque », précise le courriel. Dans une fiduciaire qui manipule chaque jour les données bancaires de centaines de clients, ce genre de détail décide parfois de toute une journée, et parfois de bien plus.
La bonne nouvelle : il n'existe pas cinquante menaces à connaître, mais une petite poignée qui revient sans cesse. Les comprendre, c'est déjà reprendre la main.
Pourquoi une PME concentre autant de cyber-risques
On imagine souvent que les cyber-risques visent les grands groupes. C'est l'inverse. Une PME suisse est une cible parce qu'elle est accessible : peu ou pas d'informaticien à demeure, des budgets serrés, et surtout des circuits de décision courts où l'on se fait confiance entre collègues. Pour un attaquant, c'est un excellent rapport effort/résultat — il n'a pas besoin de percer un coffre-fort, juste de profiter d'un moment d'inattention.
Une entreprise de services comme une fiduciaire est particulièrement exposée pour une raison simple : elle ne détient pas que son propre argent, elle détient les données financières et bancaires de ses clients. Ce qui fait sa valeur fait aussi sa surface d'attaque. Un attaquant qui s'introduit dans sa messagerie n'accède pas à un seul compte, mais à un portefeuille entier de virements potentiels et à des mois de correspondance qu'il peut imiter à la perfection.
Autre facteur aggravant : la conviction, très répandue dans les petites structures, de « ne pas être une cible intéressante ». C'est précisément cette baisse de garde qui fait le prix des PME aux yeux des attaquants — ils ratissent large et automatisent, sans choisir leurs victimes une par une. L'essentiel des cyber-risques d'une PME se ramène en réalité à quatre familles, que voici sans dramatiser.
L'hameçonnage (phishing) : la fausse facture presque payée
L'hameçonnage, c'est le fait de recevoir un message qui imite un interlocuteur de confiance — une banque, un fournisseur, un service public — pour vous pousser à cliquer, à payer ou à livrer un mot de passe. Le message de Sophie B. en est un exemple parfait : rien n'a l'air faux, on vous demande simplement de faire ce que vous faites déjà tous les jours, mais vers le mauvais destinataire.
C'est de loin la porte d'entrée la plus fréquente. Elle ne cible pas une faille informatique, mais un réflexe humain : la routine et la confiance. On ne s'en protège pas avec un outil miracle, mais avec une habitude — vérifier avant d'agir.
La fraude au président : « le patron » qui demande un virement urgent
La fraude au président est une variante ciblée de l'hameçonnage : un message se fait passer pour un dirigeant ou un associé et réclame un virement urgent, confidentiel, « à régler avant ce soir ». Dans une petite structure où l'on connaît personnellement la personne qui signe les paiements, la pression sociale fait le reste : qui a envie de contredire son associé sur une affaire pressée ?
Le piège tient tout entier dans le sentiment d'urgence. Une demande qui interdit de vérifier — « n'en parle à personne », « c'est confidentiel », « c'est pour aujourd'hui » — devrait précisément déclencher une vérification.
Le rançongiciel (ransomware) : le lundi où tout est chiffré
Un rançongiciel est un logiciel malveillant qui chiffre vos fichiers — les rend illisibles — puis réclame une rançon pour vous en rendre l'accès. Souvent, il entre par une pièce jointe ouverte sans y penser, puis se propage discrètement avant de tout verrouiller d'un coup, généralement au pire moment.
Pour une PME, l'enjeu n'est pas seulement la rançon : c'est l'arrêt. Plus de comptabilité, plus de messagerie, plus de dossiers clients pendant des jours, en pleine période de bouclement. La vraie protection n'est pas de payer — rien ne garantit qu'on récupère ses fichiers — mais de pouvoir repartir de sauvegardes récentes, à condition qu'elles existent vraiment et qu'on les ait déjà testées.
La fuite de données : quand un dossier client s'échappe
Une fuite de données, c'est la sortie non voulue d'informations confidentielles : un fichier envoyé au mauvais destinataire, une boîte de messagerie piratée, une clé USB perdue dans un train. Pas besoin d'un pirate sophistiqué — une erreur de clic suffit.
En Suisse, ce risque a une dimension légale. La nLPD, la loi fédérale sur la protection des données en vigueur depuis 2023, attend d'une PME qu'elle prenne des mesures de sécurité « appropriées » et qu'elle annonce à l'autorité fédérale (le PFPDT) les violations susceptibles de nuire aux personnes concernées. Pour une fiduciaire liée au secret professionnel, la perte de confiance d'un client pèse souvent plus lourd que l'incident lui-même.
Ce qu'il faut retenir
Trois idées valent mieux qu'une longue liste de peurs.
D'abord, la plupart des cyber-risques ne visent pas vos machines, mais vos habitudes : un clic, une confiance, une urgence. C'est une bonne nouvelle, car les habitudes se changent sans budget informatique.
Ensuite, ces menaces se recoupent. Le même réflexe de vérification bloque à la fois la fausse facture, la fraude au président et une bonne partie des tentatives de vol de mot de passe. On progresse donc vite en agissant sur quelques points bien choisis.
Enfin, en Suisse, la protection des données n'est pas une option de confort : la nLPD en fait une responsabilité de dirigeant, au même titre que la tenue des comptes. Personne n'attend d'une PME qu'elle se transforme en forteresse — mais qu'elle prenne des mesures raisonnables et sache expliquer ce qu'elle fait de la confiance qu'on lui accorde.
Les gestes à installer cette semaine
1. Vérifier par un canal connu toute demande d'argent
Tout changement de coordonnées bancaires, toute demande de virement inhabituelle ou pressante se vérifie en rappelant la personne sur un numéro que vous connaissez déjà — jamais celui qui figure dans le message. Ce seul réflexe neutralise la fausse facture et la fraude au président. Au-delà d'un montant que vous fixez, exigez deux validations.
2. Activer la double authentification partout où c'est possible
La double authentification (MFA) ajoute, en plus du mot de passe, une seconde preuve — par exemple un code sur votre téléphone. Même si un mot de passe fuite, le compte reste fermé. Activez-la en priorité sur la messagerie et sur votre logiciel métier : c'est gratuit et c'est la mesure qui rapporte le plus.
3. Savoir où sont vos données et vérifier vos sauvegardes
Prenez dix minutes pour lister où vivent vos informations sensibles (messagerie, logiciel comptable, disques partagés) et assurez-vous qu'une sauvegarde récente existe. Surtout, vérifiez qu'on l'a déjà restaurée au moins une fois : une sauvegarde jamais testée est une hypothèse, pas une protection. L'office fédéral de la cybersécurité (NCSC/OFCS) publie des recommandations pratiques pour cela.
Où en êtes-vous vraiment ?
Ces gestes réduisent nettement l'exposition d'une PME, mais ils ne disent pas où se situent, précisément, vos points faibles. C'est là qu'une auto-évaluation structurée aide : passer en revue, question par question, vos cyber-risques réels plutôt que d'agir au ressenti.
Cyber Passport ne certifie rien et ne vous déclare pas « en sécurité ». Il vous montre, domaine par domaine, où votre organisation est solide et où elle repose encore sur la confiance ou l'habitude — pour décider ensuite, en connaissance de cause, par quoi commencer.
