Comment savoir si ton entreprise a déjà été piratée (sans le savoir) ?

Beaucoup de dirigeants pensent qu'ils remarqueraient un piratage immédiatement. En pratique, c'est rarement le cas. Un attaquant qui est entré n'a aucun intérêt à faire du bruit. Plus il reste inaperçu, plus il peut lire tes données et mieux il peut ancrer son accès. Étude après étude, on constate qu'une intrusion passe en moyenne inaperçue pendant des mois avant que quelqu'un ne s'en rende compte.

La question n'est donc pas seulement de savoir si ta sécurité informatique peut bloquer une attaque, mais aussi si tu remarquerais une attaque qui a déjà eu lieu. Voici les signaux que nous rencontrons le plus souvent en pratique, et des contrôles concrets que tu peux faire toi-même aujourd'hui.

Des signaux à ne pas ignorer

Une intrusion s'annonce rarement par une alerte claire. Ce sont généralement de petites choses qui ne collent pas :

• Les systèmes ou internet deviennent soudain nettement plus lents, ou des appareils chauffent alors que rien de lourd ne tourne.
• Des connexions inexpliquées : un login depuis l'étranger, en pleine nuit, ou sur un appareil que personne ne reconnaît.
• Des clients ou fournisseurs se plaignent d'e-mails étranges soi-disant de ta part, avec des factures ou des liens que tu n'as jamais envoyés.
• La sécurité est soudain désactivée : l'antivirus est coupé, les mises à jour sont désactivées, ou un collaborateur ne peut plus modifier un paramètre.
• Des comptes inconnus ou de nouvelles règles dans la boîte mail, par exemple une règle qui déplace discrètement tous les mails de ton comptable vers un dossier, non lus.
• Un message d'extorsion ou une demande de rançon, ou des fichiers soudain chiffrés et inutilisables.

Ce dernier point sur les règles de messagerie passe souvent inaperçu. Les attaquants mettent en place des règles de transfert ou de déplacement silencieuses pour que tu ne voies pas les traces de leur fraude. Tu ne le remarques que lorsqu'un client appelle au sujet d'une facture que tu n'as jamais envoyée.

Des contrôles à faire toi-même aujourd'hui

Pas besoin d'une enquête coûteuse pour avoir une première image. Ces contrôles te prennent une demi-heure au total :

1. Vérifie l'historique de connexion de ton e-mail et de tes comptes principaux. Dans Microsoft 365 et Google Workspace, tu vois par utilisateur les connexions récentes, avec l'heure, le lieu et l'appareil. Cherche les connexions qui ne cadrent pas.
2. Contrôle les règles de transfert et de boîte mail sur chaque compte. Supprime tout ce que tu n'as pas configuré toi-même et demande-toi qui a pu le créer.
3. Teste tes adresses sur haveibeenpwned.com. Si ton e-mail apparaît dans une fuite connue, pars du principe que le mot de passe associé est entre de mauvaises mains.
4. Vérifie que l'authentification multifacteur (MFA) est vraiment activée pour tout le monde, pas seulement pour le dirigeant. Sans MFA, un seul mot de passe fuité suffit à entrer.
5. Passe en revue les comptes qui existent et sont actifs. Reste-t-il un accès ouvert d'un ancien collaborateur ou d'un tiers que tu ne reconnais plus ?

Si tu trouves quelque chose de suspect, ne change pas dans la panique tous les mots de passe et rien d'autre. Cliquer à l'aveugle prévient l'attaquant et peut effacer des traces dont tu auras besoin plus tard. Documente d'abord ce que tu vois, puis fais appel à quelqu'un qui sait où regarder.

Du soupçon à la certitude

Les contrôles ci-dessus donnent une première impression, pas une réponse définitive. Ils te disent surtout si quelque chose mérite un examen approfondi. Un contrôle en profondeur examine aussi les fichiers journaux, les droits d'accès et les systèmes que tu ne vois pas au quotidien. La bonne nouvelle : justement parce que les attaquants comptent sur le silence, un examen ciblé donne souvent vite des résultats. Et même si tu ne trouves rien, tu sais au moins où tu en es.