La faille, c’est rarement le pare-feu

Les entreprises investissent dans un pare-feu, un antivirus, une double authentification. Puis quelqu’un clique sur une pièce jointe un mardi matin, et l’ensemble ne sert à rien.

Ce n’est pas une caricature : selon les rapports d’incidents publiés chaque année, la grande majorité des attaques réussies commencent par une action humaine. Pas par une prouesse technique — par un courriel bien tourné, un appel téléphonique convaincant, un mot de passe réutilisé.

La conséquence est inconfortable pour le métier : la meilleure dépense de sécurité d’une PME n’est presque jamais du matériel. C’est du temps passé avec les équipes.

Pourquoi le module annuel ne change rien

La réponse habituelle existe : un module en ligne, quarante minutes, un quiz à la fin, une attestation. C’est mieux que rien, et c’est très loin de suffire. Trois raisons.

Il est hors contexte. On y apprend à repérer un courriel frauduleux sur des exemples génériques, en anglais parfois, très éloignés de ceux que reçoit réellement votre comptable. Le jour venu, le message ressemble à une facture de votre vrai fournisseur, avec votre vraie référence de commande.

Il est passif. Regarder une vidéo ne crée pas de réflexe. Ce qui crée un réflexe, c’est de s’être fait prendre une fois, sans conséquence, et d’en avoir parlé.

Il culpabilise. Le ton de ces modules laisse entendre que se faire avoir est une faute. Résultat inverse de celui recherché : la personne qui a cliqué ne le signale pas, et l’entreprise perd les quelques heures pendant lesquelles on pouvait encore limiter les dégâts.

Ce qui fonctionne

Deux heures, en présence, avec des exemples réels. Nous demandons avant la séance quelques courriels suspects réellement reçus par l’entreprise. Ce sont eux qu’on décortique. L’effet est sans comparaison avec un cas d’école : les gens reconnaissent l’adresse, le fournisseur, la tournure.

Un test grandeur nature, annoncé à l’avance. Une campagne de faux courriels frauduleux, envoyée à l’équipe quelques semaines après la formation. Annoncée — « il y aura un test dans le trimestre » — mais sans dire quand. L’objectif n’est pas de piéger, c’est de mesurer et de rejouer l’exercice.

Une règle simple, unique, mémorisable. Pas quinze consignes. Une seule : toute demande de paiement ou de changement de coordonnées bancaires se vérifie par téléphone, au numéro qu’on connaît, jamais à celui indiqué dans le message. Cette phrase seule évite la fraude au président et la fraude au faux fournisseur, qui représentent l’essentiel des pertes financières en PME.

Un droit à l’erreur explicite. Il faut dire, devant tout le monde, que signaler un clic malheureux dans les cinq minutes ne vaudra jamais un reproche. C’est la mesure la moins coûteuse et la plus efficace de toute la liste.

Les quatre sujets qui couvrent l’essentiel

• Le courriel frauduleux. Comment on repère une adresse d’expéditeur maquillée, pourquoi l’urgence est toujours suspecte, et le réflexe de survoler un lien avant de cliquer.
• Les mots de passe. Non pas « douze caractères avec un symbole », mais le vrai sujet : ne jamais réutiliser celui de la messagerie professionnelle ailleurs, et se servir d’un gestionnaire. Une demi-heure d’installation vaut mieux qu’un an de recommandations.
• Le téléphone et les réseaux sociaux. On oublie que l’attaquant appelle aussi, et qu’il a lu la page « équipe » de votre site avant de le faire.
• Que faire quand c’est arrivé. Débrancher le réseau, ne pas éteindre la machine, prévenir immédiatement. Trois gestes, qui changent radicalement l’issue.

Et la direction ?

Un détail qui n’en est pas un : le dirigeant doit être dans la salle. Non pas pour surveiller, mais parce que la fraude au président vise précisément sa signature, et parce qu’une consigne à laquelle la direction ne se plie pas n’est pas suivie par les équipes. Nous avons vu des sessions où le message implicite était « ces règles sont pour vous, pas pour moi » — elles n’ont servi à rien.

Ce que ça coûte, et ce que ça évite

Une session de deux heures pour une équipe, suivie d’une campagne de test et d’un point de restitution, se situe autour de 600 à 1 200 € selon l’effectif. À renouveler une fois par an, et à refaire pour chaque nouvel arrivant.

En face, une attaque par rançongiciel dans une PME, c’est plusieurs jours d’arrêt, une remise en état, parfois une perte de données définitive. Une fraude au virement, c’est un montant qui se récupère rarement.

Ce calcul est le plus favorable de toute l’informatique d’entreprise, et c’est pourtant la ligne qu’on retire en premier des budgets. Nous en parlons à chaque audit, y compris quand la formation n’est pas ce qu’on est venu vendre.