Un mardi matin, dans une menuiserie de l’indre et loire (37), la gérante, ouvre un email de son fournisseur de bois habituel. Le ton est cordial, le logo est le bon, la signature aussi. Seul détail : le fournisseur annonce un changement de banque et joint un nouveau RIB pour régler la facture du mois.
Claire prépare le virement. Puis elle s’arrête. Elle a un doute. « Ils ne nous ont jamais prévenus de rien… » Elle décroche son téléphone et appelle son contact habituel, au numéro qu’elle connaît. Réponse immédiate : aucun changement de banque. Le mail est un faux.
Le virement n’est pas parti. Mais Claire a eu très peur. Et une question la travaille : « La prochaine fois, est-ce qu’on aura autant de chance ? »
« La cybersécurité, ce n’est pas pour les grandes entreprises ? »
Comme beaucoup de dirigeants de TPE et de PME que nous croisons ou que nous accompagnons pour améliorer leur niveau de cybersécurité, cette gérante pensait que les pirates s’intéressaient aux grands groupes. Sa menuiserie compte 15 salariés, dix ordinateurs au bureau, différentes boîtes email et un logiciel de devis/facture. « Qu’est-ce qu’on aurait à voler ? »
C’est justement ce que nous lui avons expliqué lors de notre premier échange. Les fraudes au faux RIB, l’hameçonnage ou les rançongiciels visent aussi les petites structures, souvent moins protégées. Et pour une TPE, un virement détourné ou des jours sans accès aux devis et aux factures peuvent peser très lourd.
Cette gérante avait une crainte : « Je n’ai ni le temps ni le budget pour un grand projet informatique. » Bonne nouvelle : ce n’était pas nécessaire.
Un diagnostic d’une demi-journée
Nous avons commencé par notre diag cyber qui est un état des lieux simple, sur place, avec la gérante et son assistante : qui a accès à quoi, où sont les données importantes, comment sont faites les sauvegardes, comment arrivent les factures ?
Les constats étaient classiques : un mot de passe identique pour plusieurs comptes, des comptes sans double authentification, des sauvegardes sur un disque dur jamais testé et toujours branché, et un vieux poste qui ne recevait plus de mises à jour. Bref plusieurs portes laissées entrouvertes.
Cinq actions concrètes, sans usine à gaz
Plutôt qu’un long rapport, nous avons proposé un plan court, priorisé selon l’impact et la facilité de mise en œuvre :
- Activer la double authentification sur la messagerie et les comptes sensibles : quelques minutes par utilisateur, et un vol de mot de passe ne suffit plus pour entrer.
- Mettre en place un gestionnaire de mots de passe : fini les mots de passe recopiés partout ou notés sur un post-it.
- Fiabiliser les sauvegardes : une copie automatique hors ligne ou externalisée, et surtout un test de restauration pour vérifier qu’elle fonctionne vraiment.
- Remplacer le poste obsolète et vérifier que les mises à jour automatiques sont actives partout.
- Instaurer une règle simple : tout changement de coordonnées bancaires est vérifié par un appel au numéro habituel, jamais à celui indiqué dans le mail.
Deux heures de sensibilisation qui changent tout
Dernière étape : une session de sensibilisation de deux heures avec toute l’équipe, y compris les compagnons d’atelier qui consultent leurs emails sur smartphone. Pas de jargon : de vrais exemples de faux mails, des astuces pour repérer un lien piégé, et un message clé : « En cas de doute, on signale. On ne reprochera jamais à personne d’avoir posé la question. »
Quelques mois plus tard, Thomas, un des menuisiers, reçoit un faux message de livraison sur son téléphone. Il ne clique pas, fait une capture d’écran et l’envoie à Claire. La culture de la sécurité commençait à s’installer.
Ce que cette histoire montre
Pour améliorer sa cybersécurité, une TPE n’a pas besoin d’un budget de grand groupe. Elle a besoin d’un regard extérieur, de priorités claires et de quelques bonnes habitudes. La plupart des mesures mises en place ici reposent sur des outils déjà disponibles ou peu coûteux, et sur un peu de formation.
La gérante le résume à sa façon : « On n’est pas devenus des experts. On a juste fermé les portes qu’on laissait ouvertes. »
Vous dirigez une TPE à Tours ou en Centre-Val de Loire ? Nos experts en cybersécurité et conformité réalisent des diagnostics simples et des sessions de sensibilisation adaptées aux petites structures. Contactez-nous pour faire le point, sans engagement.