La plupart des PME imaginent qu’une cyberattaque ressemble à ce qu’on voit dans les films : un ransomware qui chiffre tout du jour au lendemain, ou une page d’accueil défigurée avec un message en rouge. La réalité est plus discrète. Et c’est précisément cette discrétion qui la rend dangereuse.
Une intrusion peut rester discrète : accès inhabituel, compte détourné ou données consultées sans autorisation. Les antivirus et les journaux sont complémentaires.
Voici sept signaux faibles, concrets, qui méritent votre attention.
1. Des connexions à des heures bizarres
Votre comptable se connecte au serveur à 3h du matin un dimanche : la question se pose d’elle-même. Microsoft 365 et Google Workspace tracent toutes les connexions avec horodatage et géolocalisation IP. Ces journaux sont accessibles, il suffit d’aller les consulter.
Le signal à surveiller : une connexion réussie depuis un pays où vous n’avez aucun collaborateur, ou des accès répétés en pleine nuit sur des comptes qui n’ont aucune raison d’être actifs à ces horaires. Ce n’est pas un diagnostic, c’est une raison de creuser.
2. Des règles de redirection mail que vous n’avez pas créées
C’est l’un des classiques documentés dans les rapports du CERT-FR. L’attaquant accède à une boîte mail, configure une règle qui copie automatiquement tous les entrants vers une adresse externe, puis s’efface. Vous ne voyez rien dans votre interface habituelle.
Vérifiez périodiquement les règles de redirection sur tous les comptes, en priorité sur les boîtes des dirigeants et de la comptabilité : ce sont les cibles les plus visées pour la fraude au virement. La vérification prend cinq minutes dans les paramètres avancés. Peu de PME la font régulièrement.
3. Des comptes utilisateurs que personne ne reconnaît
Sur votre Active Directory, votre serveur, votre CMS WordPress, votre back-office : un compte apparu sans que vous l’ayez créé est un signal d’alerte maximal. Les attaquants en créent fréquemment un de secours pour conserver un accès même si le compte initial est désactivé ou que le mot de passe est changé.
Auditez régulièrement la liste des comptes actifs. Examinez les comptes inutilisés avec leur responsable avant de les désactiver : certains comptes de service ont un usage peu fréquent.
4. Du trafic réseau sortant inhabituel
Si votre serveur de fichiers transfère plusieurs gigaoctets vers une adresse IP étrangère en pleine nuit, vérifiez la destination et le processus concerné. Il peut s’agir d’une sauvegarde légitime ou d’un transfert non autorisé.
Les routeurs de niveau professionnel et les solutions de monitoring réseau permettent de détecter ces volumes anormaux. Sans cette visibilité, vous naviguez sans instrument de bord. Si vous n’avez pas accès à ces métriques, c’est déjà un sujet à traiter.
5. Des fichiers chiffrés ou renommés sans raison
Des fichiers qui deviennent illisibles ou portent une extension inattendue justifient une investigation. Une panne, un logiciel ou un chiffrement malveillant peuvent produire des symptômes proches. Préservez les informations utiles et faites qualifier la situation sans lancer de nettoyage improvisé.
6. Des performances dégradées sans explication
Un poste qui rame soudain, un serveur qui sature, des recherches web qui partent vers des adresses inconnues : ce sont parfois les symptômes d’un mineur de cryptomonnaie installé discrètement, ou d’un malware qui scanne votre réseau interne pour identifier d’autres machines à infecter.
Avant de blâmer Windows ou de réinstaller le navigateur, regardez ce qui tourne dans le gestionnaire de tâches. Un processus sans nom reconnaissable qui consomme 80 % du CPU a besoin d’une explication.
7. Vos collaborateurs reçoivent des emails “de votre part” qu’ils n’ont pas demandés
C’est souvent à ce moment que la compromission sort de l’ombre. Un attaquant qui contrôle une boîte mail va l’utiliser pour envoyer des messages de phishing à vos contacts, ou tenter une fraude au virement en se faisant passer pour le dirigeant.
Si plusieurs personnes signalent avoir reçu un mail suspect “de votre part”, la prévention est déjà derrière vous. Mais c’est encore le moment de limiter les dégâts : isoler le compte, changer les accès, contacter les destinataires pour les alerter.
Que faire si vous avez un doute ?
Ces signaux demandent une analyse dans leur contexte. Un seul accès clairement non autorisé peut suffire à déclencher une prise en charge ; leur absence ne garantit pas la sécurité.
Préservez les traces disponibles et sollicitez votre équipe informatique ou un intervenant en réponse à incident. Évitez les manipulations qui effaceraient les journaux ou les preuves.
Pour un compte piraté, Cybermalveillance.gouv.fr conseille notamment de changer les accès compromis et de prévenir les contacts concernés. Appliquez ces mesures depuis un appareil sain et faites vérifier les sessions, les règles de messagerie et les moyens de récupération.
Yabee Corp accompagne les TPE et PME sur les audits de sécurité et les tests d’intrusion, que ce soit pour identifier des failles avant qu’elles ne soient exploitées dans un périmètre convenu à l’avance. Si vous avez besoin d’un avis extérieur, un appel découverte prend 20 minutes.
Cet article est informatif. En cas de doute sur une intrusion réelle, contactez immédiatement un professionnel de la cybersécurité ou l’ANSSI.