Jeux olympiques de Paris (JOP) : rehaussez le niveau de protection contre les menaces cyber de votre TPE PME !

Les TPE PME face à un risque croissant de cyberattaque

Les TPE et PME, souvent moins bien protégées que les grandes organisations, sont de plus en plus souvent victimes de cyberattaques. Elles représentaient ainsi 40 % des attaques par rançongiciel traitées ou rapportées à l’Agence nationale de la sécurité des systèmes d’information (Anssi) en 2022.

Alors qu’on estime que seul un tiers des TPE et PME est considéré comme correctement paré contre les menaces en ligne, il est urgent que leurs dirigeants prennent les mesures indispensables pour protéger leur entreprise. 
 

Quelles sont les 5 cyberattaques dont les TPE et PME doivent particulièrement se méfier durant les JO ? 

Les attaques par Déni de Service Distribué (DDoS)

Les attaques DDoS visent à rendre un site web ou un service en ligne indisponible en le submergeant de trafic. Même exécutées sur un simple formulaire de contact sur un site internet, ces attaques peuvent perturber gravement les opérations d’une entreprise. Des attaquants peuvent également menacer l’entreprise d’une attaque DDoS et lui demander une somme d’argent pour ne pas l’attaquer.

Consulter les conseils de cybermalveillance.gouv.fr concernant les attaques DDoS :

• Attaque DDoS, que faire ?

Les attaques par rançongiciels (ransomware)

Un cybercriminel qui parvient à installer un logiciel de rançon sur le réseau d’une entreprise pourra ensuite en chiffrer les fichiers sensibles et les rendre inaccessibles jusqu’à ce qu’une rançon soit payée pour obtenir la clé de déchiffrement. Bien souvent, même une fois la rançon payée, non seulement les données ne sont pas récupérées, mais elles se retrouvent en vente sur le dark web.

Consulter les conseils de cybermalveillance.gouv.fr concernant les attaques rançongiciels :

• Rançongiciel ou ransomware, que faire ?

L'hameçonnage (ou phishing)

Pour perpétrer cette attaque, un cybercriminel va envoyer un e-mail ou un SMS frauduleux qui semble provenir d’une source fiable pour inciter le destinataire à révéler des informations sensibles (un mot de passe, par exemple) ou à installer un logiciel malveillant.

Consulter les conseils de cybermalveillance.gouv.fr concernant les attaques par hameçonnage :

• Que faire en cas de phishing ou hameçonnage ?

Usurpation d’identité et fraude au président

Ces attaques impliquent l’usurpation d’identité d’une personne dirigeante de l’entreprise pour tromper les employés et les inciter à effectuer des transferts de fonds ou à révéler des informations confidentielles.

Consulter les conseils de cybermalveillance.gouv.fr concernant les attaques par usurpation d’identité :

• Que faire en cas de fraude au virement ou au « faux RIB » ?
• Que faire en cas de fraude au faux conseiller bancaire ?
• Comment se prémunir d’une arnaque au faux support technique ?

Exfiltration de données et fraude

Le cybercriminel vole ici des informations sensibles comme des données clients ou financières, afin de les revendre sur le dark web ou de les utiliser pour des fraudes telles que l’usurpation d’identité, la fraude à la carte de crédit, la fraude bancaire, le phishing et d’autres formes de criminalité financière.

Consulter les conseils de cybermalveillance.gouv.fr et France Num pour améliorer la protection des bases de données avec des systèmes de chiffrement et des accès restreints : 

• Le chiffrement des données : une protection indispensable pour les TPE PME
• Pourquoi et comment bien gérer ses mots de passe ?

Au-delà de ces aspects techniques, la TPE/PME devra aussi former ses salariés à reconnaître les tentatives de fraude et à signaler immédiatement toute activité suspecte.

La sensibilisation des salariés de l'entreprise : condition indispensable de la protection des TPE PME contre les risques cyber

Le facteur humain : une des causes principales de cyberattaques 

Le manque de formation et de sensibilisation des salariés de l’entreprise est un point critique. Les erreurs humaines, telles que la négligence dans la gestion des mots de passe, le manque de vigilance face aux emails de phishing, ou encore l’utilisation de périphériques inconnus, augmentent considérablement les risques. 

Un QR code scanné sans précaution ou une clé USB trouvée par terre puis connectée à un ordinateur peuvent ouvrir la porte du système informatique de l’entreprise à des cybercriminels.

Pour aider les TPE et PME à sensibiliser leurs salariés, cybermalveillance a crée le dispositif SensCyber. 

Check-list des mesures de protection recommandées aux TPE PME par  Cybermalveillance.gouv.fr pour les JOP

Cybermalveillance.gouv.fr recommande aux petites et moyennes entreprises, associations d’élever leur niveau de protection en veillant à la bonne mise en place des mesures de cybersécurité suivantes. 

Renforcer la sécurité des accès extérieurs à votre réseau informatique interne

• Vérifiez les règles de filtrage de vos pare-feux et intensifiez leur supervision pour détecter toute connexion ou trafic suspect ;
• Fermez tous les accès non indispensables et restreignez les accès extérieurs aux seules zones géographiques autorisées (ex : empêcher des connexions depuis l’étranger si non nécessaires ou limitées aux seules zones autorisées) ;
• Renforcez la solidité des mots de passe et systématisez l’emploi d’une double authentification pour tous vos accès extérieurs ;
• Utilisez des connexions sécurisées à vos infrastructures internes au travers d’un VPN (Virtual Private Network ou réseau privé virtuel en français) ;
• Coupez les accès extérieurs à votre réseau en dehors de plages d’activité normale de votre organisation (ex : nuit, week-end, jours fériés…).

Renforcer vos procédures de sauvegardes

• Augmentez la fréquence de sauvegarde de tous vos systèmes et applications critiques en en gardant des copies déconnectées et en vérifiant le bon fonctionnement de leur restauration ;
• Éteignez si possible vos serveurs, systèmes de sauvegarde en ligne et postes de travail en dehors de plages d’activité normale de votre organisation (ex : nuit, week-end, jours fériés…).

Mettre à jour vos équipements

• Assurez-vous de la bonne mise à jour des correctifs de sécurité de tous vos équipements, et en particulier ceux directement exposés sur Internet (points d’accès extérieurs, VPN, pare-feux, site Internet…).

Utiliser un antivirus 

• Utilisez un antivirus à jour sur l’ensemble de vos postes de travail et serveurs.

Réaliser une revue de la sécurité de votre site Internet 

• Assurez-vous que votre site est bien tenu à jour de tous ses correctifs de sécurité (système d’exploitation, gestionnaire de contenu, base de données, extensions/plugins…) et qu’il est régulièrement sauvegardé ;
• Vérifiez que les droits d’accès en administration ou en mise à jour du site sont limités aux seules personnes indispensables, que leurs mots de passe sont solides et qu’ils accèdent au site avec une double authentification.

Renforcer la sécurité de vos comptes de réseaux sociaux

• Limitez les droits d’accès en administration ou publication de vos réseaux sociaux aux seules personnes indispensables et veillez à ce qu’elles aient systématiquement activé la double authentification.

Actualiser et vérifier vos plans de crise en cas de cyberattaque

• Définissez les annuaires de crise, moyens de communication de secours, contrats de support informatique, etc. dont vous pourriez avoir besoin en cas de cyberattaque. 

Sensibiliser vos collaborateurs

• Sensibilisez l’ensemble de vos collaborateurs aux risques et rappelez les consignes de sécurité, notamment sur les comportements à avoir face à un message suspect, ou contenant une pièce-jointe ou un lien pour les télécharger.

En savoir plus

• Guides et conseils en cybersécurité
• Cybermalveillance : JOP 2024 : état de la menace et mesures de cybersécurité renforcées pour les petites et moyennes entreprises, associations, collectivités
• Sécurité du numérique pour les entreprises : comment se protéger
• L’Afnic met les TPE et PME en garde contre la recrudescence de cyberattaques durant les Jeux Olympiques de Paris 2024
• ANSSI : Grands événements sportifs - Évaluation de la menace