Début octobre, à Monaco, plusieurs milliers de spécialistes de la cybersécurité étaient réunis pour les Assises, le grand rendez-vous annuel de la profession. On s’attendait à des discours sur l’intelligence artificielle et les menaces de demain. Vincent Strubel, directeur général de l’ANSSI, l’agence nationale chargée de la cybersécurité, a choisi un tout autre registre. Il a posé à la salle une question simple : « Est-ce qu’on donne parfois trop dans le buzzword et pas assez dans les fondamentaux ? »

Cette question s’adressait à des experts de grandes organisations. Elle vaut encore plus pour une entreprise de moins de 10 personnes. On vous explique pourquoi.

Ce qui s’est dit à Monaco : des fuites en série et des failles « de base »

L’année 2026 restera celle des fuites de données. Organismes publics, grandes entreprises, plateformes de services : les annonces de cyberattaque se sont succédé. L’exemple le plus parlant a été rappelé à l’occasion de cette intervention, rapportée par le Journal du Net : en août 2026, la Direction générale des finances publiques a subi une fuite touchant 678 000 particuliers et professionnels, à la suite d’accès illégitimes à son système d’information.

Des vulnérabilités élémentaires, pas de la science-fiction

Le plus marquant n’est pas le chiffre, mais le diagnostic. Selon l’ANSSI, le rapport d’incident décrit des failles que les professionnels rencontrent tous les jours, partout. Il ne s’agit pas d’une attaque hors norme menée avec des outils de science-fiction, mais de vulnérabilités élémentaires qui n’avaient pas été corrigées.

Des attaquants plus nombreux et plus jeunes

Le directeur général de l’ANSSI a aussi souligné un changement : les attaques ne viennent plus seulement de groupes criminels organisés. Des individus isolés, parfois très jeunes, en sont aussi à l’origine.

À retenir : si une administration dotée d’équipes spécialisées peut être prise en défaut sur les bases, une TPE sans informaticien l’est encore plus facilement. Bonne nouvelle : ces bases sont à votre portée.

Pourquoi votre TPE est concernée, même si « vous n’avez rien d’intéressant à voler »

C’est la phrase qu’on entend le plus souvent chez les dirigeants de petites entreprises. Elle repose sur une idée fausse : les attaquants ne vous ciblent pas pour ce que vous valez, mais parce que vous êtes accessible.

Ce que disent les chiffres du Baromètre France Num 2026

Les chiffres du Baromètre France Num 2026, publié fin septembre par la Direction générale des Entreprises auprès de plus de 9 000 TPE et PME, sont clairs :

39 % des TPE-PME ont été confrontées à au moins un incident de cybersécurité au cours des douze derniers mois ;
53 % des dirigeants craignent de perdre leurs données ou de se faire pirater.

Les fuites de données rendent les arnaques plus crédibles

Les fuites de données à répétition aggravent le risque pour vous. Votre adresse e-mail, votre nom, votre numéro de téléphone, parfois votre SIREN ou votre IBAN circulent déjà. Ils servent à fabriquer des messages piégés très crédibles : fausse facture d’un fournisseur, faux courrier des impôts, faux appel de votre banque. Plus le message s’appuie sur des données exactes, plus il est convaincant.

Pour une petite structure, les conséquences d’un incident sont immédiates : messagerie bloquée, fichiers clients inaccessibles, virement détourné, site piraté. Et il n’y a pas d’équipe informatique pour reprendre la main le lendemain.

Les 5 fondamentaux qui ferment les portes d’entrée à une cyberattaque

Pas d’outil miracle ici. Cinq gestes, la plupart gratuits, à mettre en place en une demi-journée. Pour aller plus loin, notre guide de la cybersécurité pour les TPE reprend l’ensemble du socle.

1. Activer la double authentification sur les comptes sensibles

C’est la mesure la plus efficace contre le vol de mot de passe. Même si un pirate récupère votre mot de passe, il lui manque le code reçu sur votre téléphone. Pourtant, seules 39 % des TPE-PME l’utilisent aujourd’hui, selon le Baromètre France Num 2026. Nous détaillons sa mise en place dans notre article sur les mots de passe et la double authentification.

2. Un mot de passe unique par service, rangé dans un gestionnaire

Réutiliser un mot de passe, c’est confier la même clé à toutes les serrures. Si un service fuit, tous les autres tombent. L’ANSSI recommande des mots de passe longs, d’au moins 12 caractères, dans ses recommandations relatives aux mots de passe. Personne ne peut retenir des dizaines de mots de passe de ce type : un gestionnaire de mots de passe le fait pour vous et remplace avantageusement le fichier Excel ou le post-it.

3. Laisser les mises à jour se faire automatiquement

Une grande partie des attaques exploitent des failles déjà corrigées par les éditeurs, sur des postes ou des logiciels qui n’ont pas été mis à jour. Activez les mises à jour automatiques sur les ordinateurs, les téléphones, les navigateurs et la suite bureautique, y compris Microsoft 365. Si vous avez un site WordPress, ses extensions doivent suivre le même rythme.

4. Une sauvegarde externe… et testée

Deux tiers des TPE-PME disposent d’une sauvegarde externe (67 % selon France Num). C’est bien, à une condition : savoir qu’elle fonctionne. Une sauvegarde qui n’a jamais été restaurée est une promesse, pas une protection. Gardez une copie déconnectée ou isolée de votre réseau, pour qu’un rançongiciel ne puisse pas la chiffrer en même temps que vos fichiers, et faites un test de restauration au moins une fois par trimestre. La règle du 3-2-1 vous donne une méthode simple.

5. Une procédure d’incident tenue sur une page

Le jour où un incident survient, on perd un temps précieux à se demander quoi faire. Rédigez une page, affichée ou partagée avec toute l’équipe :

qui prévenir en interne et chez votre prestataire informatique ;
débrancher du réseau le poste suspect, sans l’éteindre ;
changer les mots de passe depuis un autre appareil ;
prévenir votre banque en cas de doute sur un virement ;
si des données personnelles ont fuité, notifier la CNIL dans les 72 heures.

Une procédure n’est utile que si chacun la connaît : nos conseils pour sensibiliser votre équipe à la cybersécurité vous aident à la faire vivre. Et pour le volet données personnelles, voyez par où commencer avec le RGPD.

Cybermois 2026 : passez à l’action

À l’occasion du Cybermois, qui a lieu chaque année en octobre, toute l’équipe iokoo vous invite à mettre en œuvre ces 5 recommandations. Et si certaines vous paraissent complexes, si vous avez besoin d’être accompagné : créez votre compte iokoo.

C’est précisément notre rôle de vous assurer un service informatique complet : sécuriser le socle informatique des petites entreprises, sans jargon et sans outil superflu. Découvrez notre accompagnement en cybersécurité. Vous voulez savoir où vous en êtes ? Faites le point avec nous.

Sources

Journal du Net, « Assises de la cybersécurité 2026 : haro sur les fuites de données », 8 octobre 2026.
Direction générale des Entreprises / France Num, Baromètre France Num 2026, communiqué du 28 septembre 2026.
Cybermalveillance.gouv.fr et CNIL, ressources Cybermois 2026, 1er octobre 2026.
ANSSI, recommandations relatives à l’authentification multifacteur et aux mots de passe (cyber.gouv.fr).

Cybermois : ce que le patron de la cybersécurité nationale a dit aux experts, et qui vaut pour votre TPE