Protéger son entreprise des cyberattaques à Paris

Une gérante d'agence immobilière du 8e m'a appelé un vendredi après-midi de mars : son comptable venait de valider un virement de 14 000 € vers un « nouveau RIB fournisseur », reçu par e-mail depuis une adresse presque identique à celle de leur imprimeur habituel, un seul caractère changé. L'argent était parti, la banque n'a rien pu bloquer une fois l'ordre exécuté. Ce n'est pas un cas isolé : les rançongiciels et le phishing ciblent en priorité les structures de moins de dix salariés, parce qu'elles ont presque toujours moins de protections en place et personne dédié à la sécurité informatique. Se protéger vraiment ne demande ni un budget de grande entreprise ni des semaines de travail, mais il faut mettre les bonnes mesures en place, dans le bon ordre, avant l'incident plutôt qu'après.

Le vrai visage de la menace pour les TPE et PME parisiennes

Le phishing arrive presque toujours par e-mail : une facture avec de nouvelles coordonnées bancaires, un message qui imite Microsoft ou un transporteur, une relance d'un client réel dont la boîte mail a elle-même été compromise. Le même principe existe par téléphone, avec un faux technicien qui prétend intervenir en urgence sur un poste soi-disant infecté ; j'ai détaillé cette variante dans l'article sur l'arnaque au faux support technique. Dans les deux cas, le ressort est identique : créer une urgence qui empêche de vérifier avant d'agir.

Un cabinet d'architectes de Levallois m'a contacté un lundi matin, tous les dossiers de plans chiffrés du jour au lendemain par un rançongiciel entré via une pièce jointe ouverte le vendredi précédent. Aucune sauvegarde n'avait été testée depuis des mois ; celle qui existait, sur un disque externe branché en permanence, avait été chiffrée avec le reste. Il a fallu reconstruire une partie des dossiers à partir d'échanges e-mail et de versions déjà envoyées aux clients, plusieurs jours de travail perdus. Un rançongiciel ne se contente jamais de bloquer un seul poste : il se propage tant qu'il trouve des dossiers partagés accessibles, ce qui rend la segmentation du réseau et des sauvegardes déconnectées aussi importantes que l'antivirus lui-même.

Les mots de passe faibles et réutilisés restent la porte d'entrée la plus fréquente : un mot de passe volé sur un service tiers, revendu après une fuite, est testé automatiquement sur des dizaines d'autres comptes, y compris la messagerie professionnelle. Les systèmes non mis à jour aggravent le risque : un vieux Windows 10 encore en service, ou un ordinateur trop ancien pour recevoir les correctifs de sécurité, laisse des failles connues grandes ouvertes. Si une partie de votre parc a plus de six ou sept ans, l'article sur réparer ou remplacer un vieil ordinateur aide à trancher poste par poste avant que la question ne se pose en urgence.

Les protections qui comptent vraiment, classées par rapport coût/bénéfice

Il existe des dizaines de mesures possibles, mais dans une petite structure, l'ordre compte autant que la liste elle-même. Voici les huit protections que je mets en place en priorité chez mes clients parisiens, du moins cher au plus engageant, classées selon ce qu'elles évitent réellement plutôt que selon leur réputation.

1. L'authentification à deux facteurs, la protection la moins chère

C'est la mesure au meilleur rapport protection/effort : gratuite ou presque sur la messagerie, les outils cloud et les accès bancaires, elle bloque l'immense majorité des connexions frauduleuses même quand un mot de passe a fuité ailleurs. Sur Microsoft 365, l'activer pour toute l'équipe prend en général moins d'une heure ; c'est un des premiers réglages que je vérifie lors d'une intervention Microsoft 365 à Paris. Privilégiez une application d'authentification plutôt qu'un code par SMS, plus facile à intercepter.

2. Les mises à jour, sur tous les postes, sans exception

La grande majorité des rançongiciels exploitent des failles déjà corrigées par l'éditeur, parfois depuis des mois. Un poste qui affiche « mise à jour reportée » depuis des semaines est une porte laissée entrouverte. Automatisez les mises à jour de Windows, macOS et des logiciels métier plutôt que de compter sur chaque salarié pour cliquer au bon moment. J'ai détaillé la marche à suivre dans le guide pour mettre à jour un ordinateur.

3. Des sauvegardes en 3-2-1, testées, pas seulement présentes

Une sauvegarde qui n'a jamais été restaurée pour de vrai n'est pas une garantie, c'est un espoir. La règle 3-2-1 reste la référence : trois copies des données, sur deux supports différents, dont une hors du réseau principal. Un disque externe branché en permanence se fait chiffrer avec le reste en cas de rançongiciel, comme pour le cabinet d'architectes évoqué plus haut. Je détaille la mise en place complète, y compris pour un budget de TPE, dans l'article sur comment sauvegarder ses données importantes. Prévoyez au minimum un test de restauration par trimestre : c'est ce test qui manque presque toujours.

4. Un gestionnaire de mots de passe pour toute l'équipe

Retenir quinze mots de passe uniques et complexes n'est réaliste pour personne, ce qui pousse presque tout le monde à réutiliser la même variante partout. Un gestionnaire partagé pour l'équipe (Bitwarden, 1Password ou l'équivalent intégré à Microsoft 365) génère et stocke un mot de passe différent pour chaque service, avec un seul mot de passe maître à retenir. Comptez une à deux heures pour le déployer et former l'équipe.

5. Un pare-feu et un réseau correctement segmenté

Le pare-feu de la box suffit rarement seul dans un bureau de plusieurs postes : un pare-feu professionnel, ou au minimum un routeur correctement configuré, filtre le trafic entrant et limite ce qu'un poste compromis peut atteindre sur le reste du réseau. Séparer le réseau invité du réseau professionnel, isoler l'imprimante réseau et les postes comptables sur un segment distinct empêche un rançongiciel de se propager d'un poste à tout le bureau. J'ai consacré un article entier à ce sujet dans le guide pour sécuriser le Wi-Fi de son entreprise.

6. La sensibilisation du personnel, la protection la moins chère et la plus négligée

La meilleure technologie ne protège pas contre un salarié pressé qui clique sans vérifier. Une session de trente minutes, deux fois par an, pour montrer à quoi ressemble une vraie facture piégée ou un faux appel de support technique, change concrètement le nombre de clics risqués. Montrez les exemples réels reçus par l'entreprise elle-même. Instaurez aussi un réflexe simple : toute demande de virement ou de changement de coordonnées bancaires se confirme par téléphone, sur un numéro connu à l'avance, jamais par retour du même e-mail.

7. Un antivirus ou un EDR professionnel, pas la version gratuite grand public

Un antivirus gratuit grand public détecte les menaces connues, mais réagit rarement à un comportement suspect en temps réel, ce qui est exactement ce dont un rançongiciel a besoin pour chiffrer des fichiers avant d'être repéré. Une solution professionnelle (EDR) surveille les comportements, pas seulement les signatures, et peut isoler un poste automatiquement. Si un poste est déjà infecté, la marche à suivre est détaillée dans le guide pour nettoyer un ordinateur infecté par un virus.

8. Des accès limités au strict nécessaire

Chaque salarié n'a pas besoin d'un accès administrateur sur son propre poste, ni d'un accès à tous les dossiers partagés de l'entreprise. Limiter les droits réduit ce qu'un rançongiciel ou un compte compromis peut atteindre. Retirez aussi les accès d'un salarié qui quitte l'entreprise le jour même de son départ, messagerie comprise : c'est un oubli fréquent qui laisse un compte actif pendant des mois sans que personne ne s'en aperçoive.

Ce que je vérifie pendant un audit de cybersécurité

Un audit sur site commence par un inventaire complet : combien de postes, quels systèmes, quels logiciels, quels comptes cloud, avec les mêmes outils que j'utilise au quotidien, détaillés dans l'article sur les outils d'un technicien informatique. Vient ensuite le contrôle des mises à jour en attente, un test réel de restauration des sauvegardes, une vérification du Wi-Fi et du pare-feu, un contrôle des accès actifs. Pour une structure qui grandit et envisage un serveur local, j'intègre une estimation détaillée dans l'article sur le prix d'installation d'un serveur pour petite entreprise. L'audit se termine par un rapport écrit classant les corrections par priorité, pas une liste de trente points sans hiérarchie.

Combien coûte une vraie protection en 2026

Pour une structure de trois à huit postes, un audit initial coûte entre 150 et 300 €. La mise en place de l'authentification à deux facteurs et d'un gestionnaire de mots de passe se facture en général entre 150 et 350 €, formation comprise. Une solution de sauvegarde correcte, avec un espace cloud dimensionné et le test de restauration initial, tourne autour de 20 à 60 € par mois. Un pare-feu professionnel bien configuré représente un investissement ponctuel de 250 à 800 €, installation comprise. Pour un suivi continu, un contrat de maintenance informatique pour PME démarre autour de 80 à 150 € par mois pour moins de dix postes, mises à jour incluses.

Quand appeler un technicien plutôt que gérer ça seul

Certains signaux ne laissent pas le temps de tergiverser : des fichiers soudain illisibles ou renommés avec une extension inconnue, un message de rançon affiché à l'écran, des connexions suspectes sur un compte professionnel. Dans ces cas, un dépannage informatique à Paris en urgence limite la propagation avant qu'elle n'atteigne d'autres postes. En dehors de l'urgence, si votre entreprise n'a jamais eu d'audit ou si personne ne sait qui a accès à quoi, un point complet vaut mieux qu'attendre le premier incident. La plupart de mes clients m'appellent après une frayeur ; ceux qui appellent avant s'en sortent toujours moins cher.

Questions fréquentes sur la protection contre les cyberattaques

Combien coûte un audit de cybersécurité pour une TPE à Paris ?

Comptez entre 150 et 300 € pour un audit sur site d'une structure d'un à cinq postes : inventaire, contrôle des mises à jour, test des sauvegardes, vérification du Wi-Fi et des mots de passe, puis un rapport de correctifs prioritaires. Au-delà de dix postes ou avec un serveur, le tarif se calcule au cas par cas.

L'authentification à deux facteurs suffit-elle à protéger mon entreprise ?

Non, mais c'est la mesure la moins chère avec le meilleur rapport protection/effort : elle bloque la grande majorité des connexions frauduleuses même quand un mot de passe a fuité. Elle s'ajoute aux mises à jour, aux sauvegardes testées et à la vigilance sur les e-mails, elle ne les remplace pas.

Que faire immédiatement après une attaque par rançongiciel ?

Débranchez la machine touchée du réseau et du Wi-Fi sans l'éteindre si possible, pour préserver les traces utiles à une analyse. Ne payez pas la rançon avant d'avoir vérifié l'état réel des sauvegardes. Faites appel à un technicien pour isoler les autres postes et restaurer les données depuis une sauvegarde saine plutôt que du poste infecté.

Une entreprise de trois ou quatre personnes est-elle vraiment une cible ?

Oui, et souvent plus qu'une grande structure : les attaques par rançongiciel et par phishing sont largement automatisées, elles ciblent des adresses e-mail et des failles connues, pas la taille de l'entreprise. Une petite structure avec peu de protections représente une cible plus facile, donc plus rentable.

Vous voulez un audit de cybersécurité complet pour votre entreprise à Paris ? Appelez ou écrivez-moi au 07 66 84 52 57, par téléphone ou WhatsApp. Je viens sur place, je vérifie ce qui compte vraiment et je vous laisse un plan d'action clair, sans jargon inutile.