Données critiques PME : 6 couches de sécurité essentielles

Ce qu’il faut retenir

Données critiques PME : ce que montre réellement le rapport DGFiP

Le rapport d’incident de l’ANSSI est daté du 23 septembre 2026, a été remis au Premier ministre le 24 septembre et rendu public le 29 septembre 2026. Il retrace des activités malveillantes observées entre mai et août sur plusieurs périmètres de la Direction générale des Finances publiques.

Consulter la publication officielle de l’ANSSI sur les cyberattaques DGFiP.

L’ANSSI met en avant trois faiblesses : gestion des identités, architecture et détection. Des identifiants légitimes ont été utilisés, des applications sensibles étaient accessibles depuis des périmètres insuffisamment cloisonnés et les signaux suspects n’ont pas été corrélés assez tôt.

La première revendication, le 12 août, concerne des données issues d’un outil de gestion de la relation avec les usagers. Le rapport fait état de données concernant près de 353 000 particuliers et 252 000 professionnels. Les investigations montrent que l’exfiltration s’était produite plusieurs semaines auparavant.

Une seconde revendication, publiée le lendemain, concerne des données cadastrales. Le scénario documenté implique notamment le poste compromis d’un géomètre-expert partenaire de l’administration.

Cette affaire complète notre analyse publiée dès l’été sur le piratage DGFiP et les mesures urgentes pour les PME. Ici, l’objectif est différent : utiliser le rapport technique pour construire une méthode applicable à toute entreprise.

Pourquoi les données critiques PME sont concernées

Une PME de quinze personnes n’a évidemment pas l’infrastructure d’une grande administration. Mais la chaîne d’attaque décrite par l’ANSSI ressemble à des situations très courantes dans les petites structures.

• Un salarié ouvre sa messagerie ou son logiciel métier depuis un ordinateur personnel.
• Un logiciel espion récupère les identifiants enregistrés dans le navigateur.
• Le compte fonctionne sans authentification forte résistante au phishing.
• Les droits permettent de consulter davantage de données que nécessaire.
• Les connexions inhabituelles ne sont pas surveillées ou personne ne traite l’alerte.

Les données critiques PME sont celles dont la fuite, la perte ou la modification aurait un impact sérieux sur l’activité : fichier clients, données RH, paie, comptabilité, RIB, contrats, données de santé, plans, devis, propriété intellectuelle ou secrets industriels.

Une machine critique est tout poste ou serveur qui stocke ces données ou permet d’y accéder. Le poste du dirigeant, celui de la comptable, un NAS, un serveur de fichiers et un ordinateur ouvrant un ERP cloud peuvent donc être tout aussi importants.

Données critiques PME : les 6 couches de sécurité à appliquer

1. Utiliser des appareils professionnels maîtrisés

Le premier enseignement est simple : les accès professionnels sensibles ne devraient pas dépendre d’un ordinateur personnel non administré par l’entreprise. Un infostealer installé sur une machine familiale peut voler des mots de passe, des cookies de session et d’autres éléments permettant de reprendre un compte.

Les postes utilisés pour les données critiques PME doivent être inventoriés, maintenus et protégés. Cela implique notamment des mises à jour adaptées à la criticité, une protection endpoint gérée et des règles d’accès à distance claires.

Selon le risque, antivirus, EPP ou EDR peuvent compléter ce socle. Notre dossier Antivirus, EDR ou XDR en PME : 7 critères pour choisir détaille leurs différences.

2. Déployer une authentification forte résistante au phishing

Le rapport DGFiP montre pourquoi un simple mot de passe ne suffit pas. Certains accès sensibles ne disposaient pas d’authentification multifacteur, tandis qu’un autre scénario reposait sur un code transmis par messagerie.

Pour un accès critique, le second facteur doit être indépendant du premier. Un code TOTP dans une application d’authentification apporte déjà une protection supplémentaire, mais il peut encore être relayé par un phishing en temps réel. Lorsque le service le permet, passkeys et clés FIDO2 offrent une meilleure résistance au phishing.

Notre dossier Authentification forte PME : 7 étapes pour déployer le MFA explique comment prioriser messagerie, comptes administrateurs, VPN, sauvegardes et outils financiers.

Cette couche commence aussi par des mots de passe solides. Chez Eur’Net, nous appliquons la règle C.U.L. : Compliqué, Unique, Long, avec au moins 20 caractères lorsque le service le permet. Voir notre guide des mots de passe en entreprise.

3. Limiter les droits au strict besoin

Un compte ordinaire ne devrait pas donner accès à un volume illimité de données uniquement parce qu’il est authentifié. Le principe du moindre privilège consiste à attribuer à chacun les droits nécessaires à son travail, rien de plus.

Pour les données critiques PME, cela signifie par exemple :

• le commercial n’accède pas aux dossiers RH ;
• un stagiaire ne peut pas exporter l’intégralité du CRM ;
• un utilisateur standard ne travaille pas avec un compte administrateur ;
• les exports volumineux peuvent nécessiter un contrôle supplémentaire ;
• les anciens comptes sont supprimés ou désactivés rapidement.

La limitation des droits réduit l’impact d’un compte compromis. Elle ne bloque pas forcément l’intrusion, mais elle peut éviter qu’un incident local devienne une fuite massive.

4. Réduire l’exposition réseau et applicative

Une application interne ne devrait pas être exposée directement sur Internet si aucun besoin métier ne le justifie. Les accès partenaires et distants doivent être traités comme des périmètres sensibles, avec des contrôles adaptés.

Selon le contexte, cela peut passer par :

• un VPN ou un accès conditionnel pour les ressources internes ;
• une authentification renforcée pour les portails partenaires ;
• des listes d’adresses autorisées lorsque cela est réellement compatible avec les usages ;
• un filtrage des adresses IP connues comme malveillantes ;
• des restrictions géographiques lorsque le besoin métier les rend pertinentes ;
• un cloisonnement entre postes utilisateurs, invités, serveurs et équipements sensibles.

Les erreurs classiques restent très concrètes : bureau à distance ouvert sur Internet, NAS accessible de l’extérieur, interface d’administration du pare-feu exposée ou réseau invité insuffisamment isolé.

5. Surveiller et corréler les signaux

Le rapport est particulièrement instructif sur la détection. L’ANSSI indique qu’aucune des deux vagues d’exfiltration n’a été détectée par les moyens de supervision concernés. Le portail utilisé dans une partie du scénario n’était notamment pas supervisé par le dispositif applicatif attendu.

Des analyses publiées à partir du rapport relèvent environ 11 Go de données échangées entre le 22 et le 25 juin, puis environ 3 Go entre le 21 et le 23 juillet, avec plusieurs signaux inhabituels : horaires nocturnes, volumes importants et adresses IP atypiques.

Le problème n’est pas qu’un seul signal n’ait pas déclenché d’alerte. C’est qu’ils n’aient pas été suffisamment rapprochés. Pour les données critiques PME, la surveillance doit donc regarder plusieurs indices ensemble.

Une PME peut déjà commencer avec les alertes Microsoft 365 ou Google Workspace, les journaux VPN, un outil endpoint correctement supervisé et quelques règles simples. Notre guide EDR supervisé PME : 7 critères pour choisir rappelle surtout qu’une alerte n’a de valeur que si quelqu’un la lit et sait quoi faire.

6. Réagir complètement après une compromission

Réinitialiser un mot de passe est nécessaire, mais peut être insuffisant. Dans le scénario documenté, le mot de passe d’un compte utilisé par l’attaquant a été changé le 24 juin, sans interrompre immédiatement la session déjà ouverte.

La réaction doit donc inclure plusieurs actions :

1. réinitialiser le secret compromis ;
2. révoquer toutes les sessions actives ;
3. contrôler les méthodes MFA et les appareils enregistrés ;
4. analyser les actions réalisées par le compte ;
5. assainir ou réinstaller l’appareil d’origine si nécessaire ;
6. rechercher d’autres comptes compromis.

Pour la procédure complète, consultez notre article compte piraté : les 4 gestes pour couper vraiment l’accès.

Les sauvegardes complètent ce dispositif lorsqu’il existe un risque de perte, d’altération ou de chiffrement. Notre guide des sauvegardes 3-2-1-1-0 pour PME détaille copies multiples, isolement et tests de restauration.

Données critiques PME : checklist de contrôle en 6 questions

Six questions suffisent pour établir un premier niveau de priorité. Une réponse négative sur une machine qui accède à des informations sensibles mérite d’être traitée rapidement.

Pour passer de ces questions aux actions sur chaque machine, consultez notre dossier sécuriser les postes et serveurs : 4 priorités pour une PME.

Questions fréquentes sur les données critiques PME

Qu’est-ce qu’une donnée critique pour une PME ?

En bref : une donnée dont la compromission menace directement l’activité.

Il peut s’agir de fichiers clients, données RH et de paie, coordonnées bancaires, comptabilité, données de santé, contrats, propriété intellectuelle ou secrets de fabrication. La liste doit être adaptée à chaque entreprise.

Un antivirus suffit-il pour une machine contenant des données sensibles ?

Non. L’antivirus n’est qu’une couche de défense.

Un attaquant qui se connecte avec un compte légitime peut ne déclencher aucune détection antivirus classique. Identité, droits, exposition, supervision et réaction restent donc indispensables.

Un code reçu par e-mail constitue-t-il un MFA suffisant ?

Pas pour les accès les plus critiques lorsque la messagerie dépend elle-même d’un mot de passe facilement compromis.

Privilégiez une méthode indépendante et, lorsque le service le permet, résistante au phishing, comme une passkey ou une clé FIDO2.

Changer le mot de passe ferme-t-il automatiquement toutes les sessions ?

Pas toujours.

Le comportement dépend du service. Après une compromission, vérifiez explicitement la révocation des sessions, les appareils autorisés, les jetons d’accès et les méthodes MFA enregistrées.

Faut-il interdire tout accès depuis l’étranger ?

Non, pas par principe.

Une restriction géographique peut être utile lorsque l’activité est strictement locale, mais elle doit correspondre aux usages réels. Les VPN et services cloud peuvent aussi rendre la géolocalisation imparfaite. Utilisez-la comme un signal ou un contrôle complémentaire, pas comme unique protection.

Où lire le rapport ANSSI sur la DGFiP ?

La page officielle de l’ANSSI présente les principaux constats et donne accès au rapport d’incident rendu public le 29 septembre 2026.

Lire le rapport et la synthèse ANSSI sur la DGFiP.

Faire le point sur vos données critiques PME

Le bon réflexe n’est pas d’acheter immédiatement un outil supplémentaire. Commencez par identifier les données réellement critiques, les machines qui y accèdent et les comptes capables de les consulter ou de les exporter.

Le dispositif MonAideCyber permet de réaliser un premier diagnostic gratuit de maturité et d’identifier des mesures prioritaires. Le diagnostic est distinct d’un audit technique et reste neutre sur le choix des prestataires qui réaliseront ensuite les corrections.

Eur’Net peut ensuite intervenir séparément sur les postes, l’authentification, la segmentation, l’EDR, les sauvegardes et les procédures de réaction lorsque ces sujets font partie de vos priorités.