Quelles sont les erreurs les plus courantes en matière de cybersécurité et comment les éviter ?

Informatec Digital » Ressources » Quelles sont les erreurs les plus courantes en matière de cybersécurité et comment les éviter ?

Nos vies personnelles et professionnelles se sont déplacées en ligne, mais nos méthodes de protection n'ont pas toujours suivi le même rythme . Alors que nous envoyons des courriels, gérons nos opérations bancaires en ligne ou partageons des photos sur les réseaux sociaux, des milliers de nouvelles menaces numériques apparaissent chaque jour, à l'affût de la moindre faille de sécurité.

Contrairement à une idée répandue, la plupart des incidents de cybersécurité ne sont pas dus à des attaques sophistiquées dignes d'un film, mais plutôt à des erreurs de cybersécurité très courantes et largement évitables . Des mots de passe faibles aux réseaux Wi-Fi publics dangereux, en passant par les logiciels obsolètes et l' absence de sauvegardes , de petites erreurs quotidiennes peuvent se transformer en problèmes graves pour les particuliers, les petites entreprises, voire les grandes sociétés.

Pourquoi les erreurs de cybersécurité coûtent-elles si cher ?

Les chiffres sont stupéfiants : des centaines de milliers de nouvelles variantes de logiciels malveillants sont détectées chaque jour, et des millions de combinaisons d’identifiants et de mots de passe volés circulent sur le dark web . De nombreuses failles de sécurité sont dues à un employé qui a cliqué là où il n’aurait pas dû, a réutilisé le même mot de passe partout ou a connecté un appareil non sécurisé.

Dans le monde des affaires, notamment chez les indépendants et les PME, persiste l'idée reçue selon laquelle « cela n'arrive qu'aux grandes entreprises », alors qu'en réalité, près de la moitié des petites entreprises ont déjà subi une cyberattaque . Et le constat le plus alarmant : un nombre important de celles qui subissent un incident grave finissent par fermer leurs portes en quelques mois, en raison des conséquences économiques, juridiques et réputationnelles.

De plus, des réglementations telles que le RGPD, la LOPDGDD et le Cadre national de sécurité imposent une protection des données rigoureuse . Une simple erreur, comme par exemple laisser une base de données accessible dans le cloud, peut entraîner des amendes pouvant atteindre 4 % du chiffre d'affaires annuel , une perte de clientèle et une atteinte à la réputation très difficile à réparer.

Pour toutes ces raisons, la cybersécurité ne peut plus être considérée comme un luxe ou un simple enjeu informatique. Elle doit être intégrée à la stratégie d'entreprise, en gardant à l'esprit que le facteur humain demeure le maillon faible, mais aussi le plus facile à renforcer grâce à une formation continue, des processus clairs et des outils adaptés.

Mots de passe faibles et réutilisés : le point d’entrée idéal

Une erreur classique en matière de cybersécurité consiste à utiliser des mots de passe ridiculement simples ou répétitifs pour tous ses services . Des combinaisons comme « 123456 », « qwerty » ou « password » figurent année après année dans le classement des mots de passe les plus utilisés… et les plus volés.

Les attaquants exploitent deux failles : d’une part, l’utilisation de mots de passe évidents qui peuvent être déchiffrés par des attaques par force brute ; d’autre part, le bourrage d’identifiants , qui consiste à tester des ensembles nom d’utilisateur/mot de passe divulgués par un service sur des dizaines de sites web différents, sachant que de nombreuses personnes réutilisent le même mot de passe pour leur messagerie électronique, leurs réseaux sociaux, leurs services bancaires en ligne ou leurs applications d’entreprise.

Dans une entreprise, un employé qui utilise le même mot de passe pour sa messagerie personnelle, son système ERP et le VPN de l'entreprise représente une menace à long terme. Si l'une de ces plateformes est compromise, tous les autres accès le sont automatiquement. Et si ce compte dispose de privilèges élevés, les conséquences peuvent être catastrophiques.

La solution consiste à accepter que la mémoire humaine ne soit pas toujours fiable et à s'appuyer sur des outils et des politiques : des mots de passe longs (au moins 12 à 14 caractères), uniques pour chaque service et gérés avec un bon gestionnaire de mots de passe . De plus, l'activation de l'authentification multifacteurs (AMF) pour tous les points d'accès critiques garantit que même en cas de vol du mot de passe, un deuxième facteur (application, SMS, clés physiques, biométrie, etc.) sera toujours requis pour se connecter.

Authentification faible et absence de vérification en deux étapes

Dans le même ordre d'idées, une autre erreur fréquente consiste à ne pas activer la vérification en deux étapes lorsque la plateforme le permet . Les comptes de messagerie, les réseaux sociaux, les services cloud et les panneaux d'administration proposent l'authentification multifacteur (MFA) depuis des années, mais de nombreux utilisateurs l'ignorent par paresse ou par crainte de « complexifier » le processus de connexion.

En réalité, la vérification en deux étapes bloque la grande majorité des attaques automatisées à la source et complique considérablement la tâche des cybercriminels, même lors de campagnes ciblées. Les principaux fournisseurs reconnaissent eux-mêmes que l'authentification multifacteur bloque la quasi-totalité des attaques de bots.

Dans le monde mobile, un phénomène similaire se produit avec les systèmes de verrouillage d'écran : certaines personnes n'utilisent toujours ni code PIN, ni schéma, ni mot de passe, ni données biométriques pour protéger leur smartphone. Un téléphone déverrouillé est une proie facile pour quiconque le trouve ou le vole, car il donne un accès direct aux e-mails, aux réseaux sociaux, aux applications bancaires, aux documents et aux codes de vérification.

Il est essentiel de configurer un système de verrouillage robuste et d'éviter les codes PIN évidents (comme 0000 ou 1234). Combiné à la reconnaissance d'empreintes digitales ou faciale, ce système offre un équilibre parfait entre sécurité et praticité. Certaines plateformes permettent même de gérer l'appareil à distance et d'effacer toutes les données en cas de perte.

Hameçonnage, liens suspects et ingénierie sociale

Lorsqu'un utilisateur clique sur une pièce jointe malveillante ou l'ouvre, il risque de divulguer ses identifiants sur un faux site web, de télécharger un logiciel malveillant ou de permettre à un pirate de prendre le contrôle de son ordinateur. Des variantes comme le spear phishing (qui cible des individus spécifiques en utilisant de vraies informations les concernant), le smishing (par SMS) ou le vishing (par appel vocal) rendent ces escroqueries encore plus crédibles.

Sur les réseaux sociaux et les applications de messagerie, les cybercriminels exploitent également les liens raccourcis et les sites de téléchargement de musique, de films ou de photos aux noms inhabituels . L'URL réelle étant invisible, il est beaucoup plus facile de dissimuler une page malveillante qui installe des logiciels espions, des chevaux de Troie, voire des rançongiciels, dès sa consultation.

La défense repose ici sur la technologie et la formation : filtres anti-spam, analyse automatisée des liens et des pièces jointes, mais surtout, formation continue des employés et des utilisateurs pour qu’ils apprennent à repérer les signaux d’alerte (fautes d’orthographe, domaines inhabituels, demandes urgentes de données, modifications de compte bancaire sans vérification, etc.). Des simulations régulières d’hameçonnage sont très efficaces pour mesurer le niveau d’exposition et améliorer les pratiques.

Logiciel obsolète, correctifs en attente et contrôle de compte d'utilisateur (UAC) désactivé

Une autre erreur fréquente consiste à reporter sans cesse les mises à jour du système d'exploitation et des applications . Ces notifications « un nouveau correctif est disponible » que beaucoup marquent comme « me le rappeler plus tard » contiennent souvent des correctifs pour des failles de sécurité connues, dont beaucoup sont activement exploitées par des pirates informatiques.

Les cybercriminels consultent les mêmes bases de données de vulnérabilités que les administrateurs système et les développeurs. Dès qu'un fabricant publie un bulletin et un correctif pour une faille critique, des analyses massives sont lancées afin de détecter les systèmes non mis à jour . Si une entreprise tarde à installer ces correctifs pendant des semaines, voire des mois, elle expose son réseau à des attaques.

À cela s'ajoute la mauvaise pratique consistant à désactiver des contrôles comme le Contrôle de compte d'utilisateur (UAC) sous Windows , car il est agaçant de voir des fenêtres s'afficher pour demander l'autorisation d'effectuer des modifications. Ce mécanisme est précisément celui qui vous alerte lorsqu'une tentative de modification de paramètres critiques ou d'installation de logiciels non autorisés est effectuée. S'il est désactivé, les logiciels malveillants ont beaucoup plus de facilité à agir.

La solution la plus judicieuse consiste à mettre en place une politique de gestion des correctifs claire : inventaire des correctifs, mises à jour automatiques dès que possible, tests en environnement de préproduction pour les correctifs critiques et priorité absolue pour tout élément affectant la sécurité . Dans les moyennes et grandes entreprises, une plateforme centralisée pour le déploiement des mises à jour et le suivi de leur état est quasiment indispensable.

Les cybercriminels consultent les mêmes bases de données de vulnérabilités que les administrateurs système et les développeurs. Dès qu'un fabricant publie un bulletin et un correctif pour une faille critique, des analyses sont lancées pour cibler les systèmes non mis à jour.

Logiciels malveillants, téléchargements suspects et périphériques externes non sécurisés

Les logiciels malveillants ne se limitent plus aux virus classiques qui ralentissent votre ordinateur. Aujourd'hui, on parle de rançongiciels qui chiffrent tous vos fichiers et exigent une rançon , de chevaux de Troie qui se font passer pour des programmes légitimes, de RAT qui permettent de prendre le contrôle de votre ordinateur à distance, de logiciels espions qui volent vos identifiants et vos données bancaires, et même de logiciels malveillants de cryptojacking qui minent des cryptomonnaies en exploitant la puissance de calcul de votre machine.

L'un des vecteurs d'infection des logiciels malveillants est le téléchargement non sollicité de logiciels « gratuits » ou provenant de sources douteuses . Les fenêtres contextuelles classiques qui vous avertissent que votre ordinateur est infecté et vous incitent à installer un prétendu antivirus miracle sont encore très répandues. En réalité, cet « antivirus » est le logiciel malveillant lui-même, capable même de désactiver les solutions de sécurité légitimes.

Les périphériques de stockage externes constituent une autre source de risque : clés USB, disques durs portables ou cartes mémoire inconnues trouvées au bureau ou lors d’un événement et connectées à un ordinateur par curiosité. Un simple périphérique « oublié » au bon endroit peut infecter tout un réseau s’il contient un logiciel malveillant capable de se propager.

En entreprise, la règle doit être claire : tout appareil non professionnel ou non autorisé ne doit pas être connecté. De plus, tout support externe doit être analysé par un antivirus à jour avant d’accéder à son contenu, et l’utilisation des clés USB doit être restreinte sur les machines critiques.

Wi-Fi public, réseaux mal configurés et espionnage numérique

Avec l'essor du télétravail et des voyages à distance, nombreuses sont les personnes qui se connectent à Internet depuis des cafés, des aéroports ou des hôtels via des réseaux ouverts. Le problème est que le Wi-Fi public est souvent peu sécurisé : le trafic peut être facilement intercepté ou manipulé sans chiffrement supplémentaire.

Pour ne rien arranger, les attaquants créent eux-mêmes de faux points d'accès aux noms alléchants (« Wi-Fi gratuit », « Cafétéria_clients », etc.). Lorsqu'un utilisateur s'y connecte, tout son trafic transite par l'ordinateur du cybercriminel, qui peut ainsi voler ses identifiants, injecter du code malveillant ou le rediriger vers de faux sites web à l'insu de la victime.

En entreprise, il est fréquent de trouver des réseaux internes mal segmentés, des routeurs avec des mots de passe par défaut, des ports inutilement ouverts et des pare-feu mal configurés . Toute erreur de ce type facilite la propagation latérale au sein du réseau une fois qu'un attaquant a obtenu un point d'entrée initial.

Il est recommandé de désactiver l'utilisation du Wi-Fi public pour les tâches sensibles ou, si nécessaire, de se connecter systématiquement via un VPN fiable qui chiffre l'intégralité du trafic. En entreprise, il est essentiel d'utiliser des protocoles modernes (tels que WPA3 avec authentification 802.1X), de séparer complètement le réseau invité du réseau interne, de surveiller les points d'accès non autorisés et de vérifier régulièrement la configuration de tous les périphériques réseau.

Utilisation non sécurisée du cloud et mauvaise gestion des accès

Le cloud a grandement simplifié le partage de fichiers et le travail collaboratif, mais il a introduit de nouvelles erreurs courantes : stocker des données sensibles dans des services cloud sans chiffrement adéquat, partager des liens publics sans contrôle ou ne pas vérifier qui dispose des autorisations de lecture ou d’écriture sont des erreurs très fréquentes.

De nombreuses fuites de données surviennent lorsqu'une personne laisse un compartiment, un dossier ou une base de données cloud accessible, sans mot de passe ou avec des identifiants par défaut. Dans d'autres cas, un employé ayant quitté l'entreprise conserve l'accès à des référentiels ou à des panneaux d'administration en raison de l'absence de procédures de désactivation des comptes.

Par ailleurs, la gestion des permissions internes est souvent négligée. Utilisateurs disposant de privilèges d'administrateur inutiles, comptes de service avec un accès complet, rôles qui s'accumulent au fil du temps… tout cela contrevient au principe du moindre privilège, qui stipule que chaque personne ne doit avoir accès qu'à ce dont elle a besoin pour son travail.

Une approche moderne consiste à mettre en œuvre des solutions de gestion des identités et des accès (IAM) et des modèles de confiance zéro , où aucun accès n'est considéré comme acquis et où tout est vérifié en permanence (identité de l'utilisateur, appareil et lieu d'utilisation, ressources auxquelles il souhaite accéder, etc.). De plus, des revues périodiques des autorisations doivent être effectuées, les processus d'intégration et de départ des employés automatisés, et l'accès aux ressources critiques audité.

Appareils mobiles non protégés et BYOD non contrôlés

Les smartphones et les tablettes sont devenus des outils de travail indispensables, mais de nombreuses entreprises n'ont toujours pas de politique claire concernant l'utilisation des appareils personnels (BYOD) pour accéder aux ressources de l'entreprise . Un appareil mobile doté d'applications non vérifiées, sans chiffrement, sans écran de verrouillage ou constamment connecté à des réseaux non sécurisés constitue une porte d'entrée privilégiée pour les pirates informatiques.

Les logiciels malveillants mobiles peuvent dérober des identifiants, espionner les communications, intercepter les SMS de vérification , voire s'introduire dans le réseau interne d'une entreprise. De plus, la présence simultanée de données personnelles et professionnelles sur ces appareils complexifie considérablement les aspects juridiques et opérationnels de tout incident.

Pour minimiser les risques, il est conseillé de définir une politique BYOD établissant des exigences minimales : chiffrement obligatoire, antivirus ou protection intégrée activés, verrouillage de l’écran, systèmes à jour et interdiction des applications provenant de sources douteuses . L’utilisation d’une solution de gestion des appareils mobiles (MDM) permet de centraliser l’application de cette politique, de séparer les données personnelles et professionnelles et d’effacer à distance les données de l’entreprise en cas de perte ou de vol de l’appareil.

Webcams exposées et absence d'intimité physique

Un aspect moins souvent évoqué, mais pourtant très grave, est l' exposition des webcams et des microphones . Certains logiciels malveillants intègrent des fonctions d'accès à distance permettant à l'attaquant d'activer la caméra à l'insu de l'utilisateur, d'enregistrer des vidéos ou des fichiers audio, et d'espionner les conversations, les documents ou les habitudes de l'utilisateur.

Sur de nombreux ordinateurs portables, le seul indicateur est un petit voyant qui s'allume, mais certaines attaques peuvent manipuler même ces indicateurs. Coller un autocollant sur la caméra atténue l'aspect visuel, mais il est nécessaire de savoir comment désactiver les périphériques d'entrée ou les gérer depuis le système d'exploitation.

Dans les environnements sensibles (bureaux de direction, salles de traitement d'informations confidentielles, zones de R&D), il est conseillé de limiter l'utilisation des caméras et des microphones, ou d'utiliser des équipements dépourvus de ces fonctionnalités intégrées , en ne recourant qu'à des dispositifs externes connectés en cas de nécessité absolue. La mise en place de politiques d'entreprise claires à ce sujet permet de réduire à la fois le risque technique et la crainte des employés d'être surveillés à leur insu.

Sauvegardes insuffisantes et absence de plan d'intervention

L'une des erreurs les plus douloureuses est de découvrir, après un incident, que les sauvegardes sont inexistantes, incomplètes ou irrécupérables . Les rançongiciels, par exemple, exploitent précisément cette vulnérabilité : ils chiffrent tous les fichiers et, en l'absence de sauvegarde fiable, l'entreprise est tentée de payer la rançon sans réelle garantie de récupération.

Pour éviter cela, il est essentiel d'appliquer la règle 3-2-1 : conserver au moins trois copies de vos données, sur deux supports différents, dont une stockée hors site (par exemple, dans le cloud ou un autre centre de données). Les sauvegardes doivent être automatiques et fréquentes, chiffrées pour garantir la confidentialité et testées régulièrement par des simulations de restauration.

Il est tout aussi important de disposer d'un plan de réponse aux incidents bien défini . Lorsqu'une brèche est détectée, chaque seconde compte : il est crucial de savoir qui évalue l'étendue des dégâts, qui décide des actions techniques (isolation des équipements, restriction d'accès, activation des sauvegardes), qui est responsable de la communication avec les clients, les médias et les autorités, et comment tout est documenté afin de respecter les obligations légales et de tirer les enseignements de l'incident.

Les organisations les plus matures effectuent régulièrement des simulations de différents scénarios (ransomware, fuite de données, pannes de services critiques, etc.) afin de tester le plan, d'ajuster les procédures et de s'assurer que, le moment venu, personne n'ait à improviser sous pression.

Formation insuffisante, culture déficiente et idées reçues sur la cybersécurité

Dans la plupart des cas, la cause est une erreur humaine : un clic, un téléchargement, une mauvaise configuration, une décision hâtive. Pourtant, dans de nombreuses entreprises, la formation en cybersécurité se limite à une présentation initiale ou à un document que presque personne ne lit. Résultat : les employés ne savent pas comment réagir et n’ont pas le sentiment d’être acteurs de la sécurité.

De plus, les mythes dangereux abondent : croire qu’une « sécurité à 100 % » est possible, penser que « si j’achète les meilleurs outils, je suis déjà protégé » ou déléguer l’ensemble du problème au service informatique comme si le reste de l’organisation n’avait aucune responsabilité.

Une stratégie efficace repose sur la conviction que la sécurité absolue est impossible et que la cybersécurité est davantage un état d'esprit et un processus continu qu'un produit . Elle exige de combiner prévention (réduction des vulnérabilités), détection (identification rapide des comportements anormaux) et réaction (réponse efficace aux incidents), en tirant les leçons de chaque cas pour améliorer les politiques et les contrôles.

Les erreurs de cybersécurité les plus fréquentes — mots de passe faibles, absence d'authentification multifacteur, hameçonnage, logiciels obsolètes, réseaux non sécurisés, clouds mal configurés, appareils mobiles non protégés, sauvegardes négligées et absence de préparation aux incidents — ont un point commun : elles peuvent être corrigées par des décisions relativement simples si la sécurité est intégrée aux activités quotidiennes de l'organisation. Investir dans des politiques claires, des technologies performantes et, surtout, un personnel informé et engagé est la solution la plus judicieuse pour réduire les risques et évoluer sereinement dans un environnement numérique de plus en plus hostile.