« Nous sommes trop petits pour intéresser les pirates. » C’est la phrase que les professionnels de la cybersécurité entendent le plus souvent dans les PME québécoises, et c’est celle qui coûte le plus cher.

L’essentiel

  • Le ciblage est automatisé : il ne consulte ni votre effectif ni votre secteur.
  • Le calcul économique de l’attaquant favorise les organisations les moins protégées.
  • Six contrôles, réalistes pour un budget de PME, interceptent l’essentiel des scénarios.
  • Une sauvegarde jamais restaurée est une hypothèse, pas un contrôle.

Le risque dépend-il de votre taille ?

Non. Dans sa vue d’ensemble des menaces par rançongiciel de 2025 à 2027, le Centre canadien pour la cybersécurité confirme que les attaques continuent d’augmenter au Canada et que toutes les organisations canadiennes sont à risque, peu importe leur taille.

Le même organisme relève que l’hameçonnage et les identifiants volés restent les deux voies d’accès initial dominantes : les deux portes d’entrée les plus banales qui soient. Comprendre pourquoi les PME sont devenues une cible privilégiée n’est pas un exercice académique : c’est le préalable pour investir au bon endroit, avec un budget de PME.

Pourquoi vous, précisément ?

Parce que le rançongiciel est devenu une industrie organisée en franchise. Des groupes développent les outils et l’infrastructure d’extorsion, puis les louent à des affiliés contre un pourcentage des rançons. Cette industrialisation a trois conséquences directes pour les organisations les moins protégées.

1. Le ciblage est largement automatisé. Les balayages qui cherchent un accès distant non corrigé, un bureau à distance exposé ou un site vulnérable ne font aucune distinction entre une entreprise de dix employés et une multinationale. Ils exploitent la faille là où elle se trouve.

2. Le calcul économique favorise les PME. Une grande entreprise dispose d’équipes de détection, de sauvegardes éprouvées et de négociateurs. Une PME est statistiquement moins protégée, plus dépendante de ses systèmes pour opérer, et donc plus susceptible de payer rapidement. Plusieurs rançons modestes demandent moins d’effort qu’une rançon importante contestée pendant des semaines.

3. Vous êtes aussi un chemin vers plus gros. Une PME fournisseur d’un grand donneur d’ordres constitue une porte d’entrée vers celui-ci, et cela se retourne rapidement en exigence contractuelle de votre client.

Le Centre canadien pour la cybersécurité anticipe d’ailleurs que les opérateurs de rançongiciels intensifieront leurs tactiques d’extorsion au cours des prochaines années, en perfectionnant les moyens de pression sur les victimes.

Comment se déroule une attaque, vue de la direction ?

En cinq temps, et chacun offre un point d’interception. Accès initial, installation et élévation de privilèges, exfiltration des données, chiffrement, puis pression. La phase la plus longue est invisible : l’attaquant reste souvent des jours ou des semaines dans le réseau avant de chiffrer.

  1. L’accès initial. Un courriel d’hameçonnage crédible (fausse facture, lien de signature électronique piégé), des identifiants volés réutilisés sans authentification multifacteur, ou un équipement exposé non corrigé, accès distant et pare-feu en tête.
  2. L’installation et l’élévation. L’attaquant consolide son accès, obtient des privilèges d’administration et se déplace discrètement. Cette phase peut durer des semaines, silencieusement.
  3. L’exfiltration. Avant de chiffrer quoi que ce soit, les groupes modernes copient vos données : dossiers clients, informations financières, données d’employés. C’est le levier de la double extorsion : payer pour déchiffrer, et payer pour éviter la publication.
  4. Le chiffrement. Serveurs de fichiers, applications métier, et systématiquement les sauvegardes accessibles depuis le réseau. Les opérations s’arrêtent.
  5. La pression. Compte à rebours, menaces de publication, contact direct de vos clients ou partenaires. L’objectif : vous faire payer vite, sous stress.

C’est exactement là-dessus que doit se construire une défense proportionnée : non pas empêcher l’étape 1 à tout prix, mais s’assurer qu’aucune étape ne se déroule sans être vue.

Le vrai coût se limite-t-il à la rançon ?

Non, et la rançon n’est souvent que la partie visible. À l’échelle du pays, les coûts de rétablissement déclarés par les entreprises canadiennes ont doublé entre 2021 et 2023, passant de 600 M$ à 1,2 G$ selon Statistique Canada. Le détail des postes éclaire les priorités.

  • Interruption des opérations : des jours, parfois des semaines sans facturation, sans production, sans accès aux dossiers clients.
  • Récupération technique : reconstruction des systèmes, expertise externe d’urgence facturée au taux d’incident.
  • Obligations légales : si des renseignements personnels ont été exfiltrés, et c’est le scénario dominant, vous êtes face à un incident de confidentialité au sens de la Loi 25. Registre, évaluation du risque de préjudice sérieux, notification à la Commission d’accès à l’information et aux personnes concernées. S’y ajoutent les frais juridiques et l’exposition aux recours privés.
  • Réputation et relations d’affaires : clients à rassurer, donneurs d’ordres qui réévaluent votre fiabilité, prime d’assurance en hausse quand la couverture n’est pas remise en cause.

Sur la question inévitable du paiement, la position des autorités canadiennes est constante : il n’est pas recommandé. Il ne garantit ni la récupération des données, ni leur non-publication, il finance l’écosystème criminel et il vous identifie comme payeur pour de futures attaques. La vraie réponse se construit avant l’incident.

Quels contrôles changent réellement la donne ?

Six, réalistes pour un budget de PME, parce que la majorité des attaques réussies exploitent des faiblesses basiques. Authentification multifacteur, sauvegardes testées, correction rapide de ce qui est exposé, détection surveillée, cloisonnement, et préparation humaine avec un plan écrit.

  1. Authentification multifacteur partout où c’est possible : courriel, accès distants, outils d’administration. C’est le contrôle au meilleur rapport coût sur impact, et il neutralise le vol d’identifiants, impliqué dans une large part des compromissions.
  2. Sauvegardes selon la règle 3-2-1, avec une copie hors ligne ou immuable, et des tests de restauration réguliers. Une sauvegarde jamais testée est une hypothèse, pas un contrôle.
  3. Correction rapide des systèmes exposés, en priorisant les failles activement exploitées (catalogue KEV de la CISA). Les groupes de rançongiciels ont massivement exploité des équipements de périmètre non corrigés.
  4. Détection sur les postes et serveurs, avec une surveillance réelle. L’attaquant passe des jours dans le réseau avant de chiffrer : c’est une fenêtre de détection, à condition que quelqu’un regarde.
  5. Cloisonnement et moindre privilège. Limiter ce qu’un poste compromis peut atteindre, en particulier isoler les sauvegardes et les systèmes critiques, transforme un désastre potentiel en incident contenu.
  6. Préparation humaine et organisationnelle : sensibilisation à l’hameçonnage, et surtout un plan de réponse écrit, testé, avec les contacts prêts. Dans les premières heures, improviser coûte très cher.

Et si l’incident survient malgré tout : signalez-le au Centre canadien pour la cybersécurité, au Centre antifraude du Canada et aux autorités locales, en plus de vos obligations Loi 25 si des renseignements personnels sont touchés.

Comment RISS aborde-t-il la question ?

Avec une logique simple : mesurer d’abord, investir ensuite, valider toujours. L’évaluation porte sur les six contrôles ci-dessus dans votre environnement réel, la validation passe par un test qui confronte vos défenses aux techniques effectivement utilisées, et la préparation à l’incident s’exerce avant d’en avoir besoin.

Évaluation de posture. État des lieux structuré : exposition externe, authentification multifacteur, sauvegardes avec un test de restauration réel, détection, cloisonnement. Livrable : une feuille de route priorisée par réduction de risque, en langage de direction.

Validation offensive. Test d’intrusion et simulation d’hameçonnage, parce que la différence entre « nous avons une authentification multifacteur » et « notre authentification résiste à une attaque » se mesure, elle ne se présume pas.

Préparation à l’incident. Élaboration et exercice sur table de votre plan de réponse, aligné sur vos obligations Loi 25 : rôles, décisions critiques, communication, registre, notification.

Conformité intégrée. Chaque contrôle est cartographié sur la Loi 25, l’ISO 27001 et le cadre du NIST : le même investissement sert votre sécurité, vos réponses aux assureurs et vos questionnaires clients.

FAQ

Notre assurance cyber ne nous couvre-t-elle pas déjà ?

Elle couvre une partie du coût, pas l’interruption elle-même, et sa validité dépend de l’exactitude de vos réponses au questionnaire de souscription. Ces questionnaires portent précisément sur les délais d’application des correctifs, l’authentification multifacteur et les sauvegardes. Une réponse inexacte, même de bonne foi, peut compromettre la couverture au moment où vous en avez besoin. L’assurance est un transfert de risque financier, pas un substitut aux contrôles.

Combien de temps faut-il pour mettre en place ces six contrôles ?

Cela dépend entièrement de votre existant, et nous ne donnons pas de délai avant d’avoir relevé celui-ci. Ce que nous observons : l’authentification multifacteur et le test de restauration se font souvent en quelques jours, parce que les fonctions sont déjà payées dans vos licences. Le cloisonnement et la détection surveillée demandent davantage, et s’étalent utilement sur plusieurs exercices budgétaires plutôt que d’être bâclés en un trimestre.

Faut-il tout faire en même temps ?

Non, et essayer est le meilleur moyen de ne rien terminer. L’ordre qui produit le plus de réduction de risque pour l’effort consenti est celui de la liste : les accès d’abord, les sauvegardes ensuite, puis ce qui est exposé à Internet. Un plan étalé et tenu vaut mieux qu’un programme ambitieux abandonné au premier trimestre.

Sources