Lundi, 8 h 12. Une commerciale ouvre le CRM depuis le Wi-Fi d’un TGV. À l’autre bout du trajet, une comptable valide un virement sur son PC personnel, branché sur la box familiale. Rien d’anormal en apparence, et c’est précisément le problème. Selon l’Insee, 22,4 % des salariés du privé télétravaillaient au deuxième trimestre 2024. Le périmètre de votre système d’information, lui, ne s’arrête plus à la porte du bureau.
Les attaquants l’ont intégré bien avant beaucoup de dirigeants. En 2025, le piratage de compte est devenu la première menace pour les entreprises accompagnées par Cybermalveillance.gouv.fr : 21 % des demandes d’assistance, soit une hausse de 52 % sur un an, devant l’hameçonnage (16 %) et la fraude au virement (13,5 %). Cette dernière a bondi de 93 % en douze mois.
Bonne nouvelle : aucune de ces attaques n’exige une équipe de sécurité de dix personnes pour être contenue. Il faut fermer les portes dans le bon ordre, sans acheter la totale dès la première semaine. Voici la séquence que tient une PME sans RSSI ni budget extensible.
En bref
- 22,4 % des salariés du privé télétravaillaient au T2 2024 (Insee) : votre réseau s’invite dans les salons.
- Le piratage de compte pèse 21 % des signalements à Cybermalveillance.gouv.fr en 2025, avec +52 % en un an.
- Quatre verrous suffisent : connexion chiffrée, accès verrouillés, appareils maîtrisés, humains briefés.
- La double authentification se déploie en une heure et ne coûte rien. C’est le meilleur retour sur investissement.
- Une équipe de 10 personnes sécurisée côté VPN revient à 838,80 € HT par an.
- Un VPN ne protège pas d’un mot de passe saisi sur une fausse page : la sensibilisation des équipes reste indispensable.
Télétravail sécurisé : pourquoi votre périmètre s’arrête désormais au salon
Au bureau, chaque poste traverse un réseau que vous contrôlez : pare-feu, Wi-Fi protégé, correctifs poussés par l’informatique. À domicile, ce cadre disparaît d’un coup. Chaque salarié devient, sans le savoir, l’administrateur réseau de son propre bureau.
La difficulté n’est pas technique, elle est structurelle. Vous ne pouvez pas durcir un environnement que vous ne voyez pas. Il faut donc déplacer la protection du réseau vers la connexion elle-même.
Les quatre points faibles qui reviennent à chaque audit
Les brèches se logent presque toujours aux mêmes endroits. Les identifier prend dix minutes, les corriger beaucoup plus.
- La box familiale, partagée avec les consoles et rarement mise à jour.
- Le Wi-Fi public d’un hôtel, d’un train ou d’un café, où un faux point d’accès peut usurper le vrai.
- Le PC personnel, utilisé pour le travail le jour et pour tout le reste le soir.
- Les applications cloud (messagerie, CRM, facturation) ouvertes avec un simple mot de passe, depuis n’importe où.
Ce dernier point explique l’explosion du piratage de compte : un identifiant récupéré ailleurs suffit à entrer. La sécurité des connexions à distance commence donc par le chemin que prennent vos données, pas par la puissance du pare-feu.
La règle des 4 verrous pour un télétravail sécurisé
Empiler les outils sans logique produit des factures et zéro protection. La méthode des quatre verrous consiste à fermer les portes dans un ordre précis : la connexion, l’accès, le poste, l’humain. Chaque verrou rend le suivant utile.
Verrou 1 : chiffrer chaque connexion avec un VPN professionnel
Un VPN d’entreprise crée un tunnel chiffré entre le poste du salarié et vos ressources. Même sur le Wi-Fi d’une gare, ce qui circule reste illisible pour un tiers. Sur un réseau Wi-Fi sécurisé ou non, l’écart de protection est le même.
L’ANSSI le formule clairement dans ses recommandations sur le nomadisme numérique : les accès professionnels doivent passer par un tunnel, et l’utilisateur ne doit pas pouvoir le désactiver. Un VPN que le salarié peut couper finit toujours par être coupé, souvent le jour où la connexion ralentit.
Pour une PME sans service informatique, un VPN professionnel géré dans le cloud évite d’entretenir un serveur. Les critères qui comptent : console d’administration unique, kill switch, double authentification imposée à toute l’organisation, applications Windows, macOS, Linux, iOS et Android déployables par MDM.
Ordre de grandeur : l’offre VPN Essentials de Proton démarre à 6,99 € HT par utilisateur et par mois en paiement annuel, dès deux utilisateurs. La version Professional à 9,99 € ajoute le SSO, des adresses IP dédiées et des passerelles privées. D’autres acteurs comme NordLayer, GoodAccess ou Tailscale jouent dans la même catégorie.
Attention à ce qu’un tunnel ne fait pas : il ne bloque pas un mot de passe saisi sur une fausse page, ni un compte protégé par un secret déjà fuité, ni un ordinateur infecté avant l’ouverture. D’où le deuxième verrou.
Verrou 2 : verrouiller les accès avec l’authentification multifacteur
Si le piratage de compte arrive en tête, ce n’est pas un hasard. Cybermalveillance.gouv.fr cite les mêmes portes d’entrée dans son bilan 2025 : hameçonnage, mot de passe trop simple, identifiant réutilisé sur un site déjà compromis. La parade la plus rentable a un nom : l’authentification multifacteur, ou MFA.
Le principe est simple. En plus du mot de passe, le salarié valide sa connexion sur son téléphone ou avec une clé physique. Un secret volé ne suffit alors plus à entrer. Trois familles de comptes méritent la priorité absolue : la messagerie, qui ouvre la porte de tous les autres services ; les outils qui touchent à l’argent ; les comptes administrateurs et l’accès VPN lui-même.
Deuxième réflexe, un gestionnaire de mots de passe partagé. Chaque collaborateur mémorise un seul mot de passe robuste, l’outil génère et remplit tous les autres. Bénéfice secondaire souvent négligé : au départ d’un salarié, vous coupez l’ensemble de ses accès en quelques clics au lieu de courir après quinze comptes oubliés.
| Priorité | Mesure concrète | Temps de mise en place | Coût indicatif |
|---|---|---|---|
| 1 | MFA sur messagerie, banque et paie | 1 heure | Gratuit |
| 2 | VPN professionnel sur chaque portable nomade | 1 journée | Dès 6,99 € HT / utilisateur / mois |
| 3 | Gestionnaire de mots de passe partagé | 2 heures | Abonnement léger |
| 4 | Chiffrement du disque et mises à jour automatiques | 1 journée | Inclus dans l’OS |
| 5 | Session de sensibilisation à l’hameçonnage | 1 heure par an | Interne |
Verrou 3 : maîtriser les appareils qui se connectent
Un tunnel chiffré ne sert à rien si l’ordinateur au bout est déjà compromis. L’ANSSI recommande d’éviter de mélanger usages personnels et professionnels sur une même machine. Autrement dit : fournissez le matériel. Le prix d’un portable professionnel pèse peu face à une activité paralysée plusieurs jours par un rançongiciel.
Sur ce parc, quatre réglages font l’essentiel. Des mises à jour logicielles automatiques, impossibles à repousser indéfiniment. Le chiffrement du disque avec BitLocker sur Windows ou FileVault sur Mac, pour qu’un PC volé ne livre rien. Un outil de gestion de flotte pour installer les applications, dont le VPN, et effacer à distance un appareil perdu. Des sauvegardes automatiques stockées hors du poste.
Pour les déplacements, ajoutez un filtre de confidentialité sur l’écran. Dans un TGV, le voisin de siège lit souvent votre tableur plus attentivement que vous. Et si vos données doivent rester en Europe, un cloud européen complète le dispositif sans alourdir la protection des données.
Verrou 4 : sensibiliser les équipes aux arnaques du télétravail
La technique ne bloque pas tout. La fraude au virement a bondi de 93 % en un an chez les entreprises accompagnées par Cybermalveillance.gouv.fr. Elle vise des salariés isolés, sans collègue à qui lancer un « c’est normal, ce mail ? » entre deux dossiers.
Quelques règles écrites noir sur blanc dans la charte de télétravail changent la donne. Tout changement de RIB d’un fournisseur se vérifie par téléphone, sur un numéro déjà connu. Aucun code de validation ne se communique, même à un conseiller persuasif. Un mail urgent du dirigeant réclamant un virement se confirme par un autre canal. Un clic douteux se signale immédiatement.
Ce dernier point compte plus qu’il n’y paraît. Un salarié qui craint d’avouer une erreur la cache, et c’est souvent pendant ce silence que l’attaque prend de l’ampleur. La sensibilisation des équipes n’est pas un module e-learning à cocher : c’est un climat de confiance qui accélère le signalement.
Par où commencer dans une PME, sans tout déployer en une semaine
La tentation du grand soir technique existe. Elle échoue presque toujours, faute de temps interne. Mieux vaut une séquence courte et tenue qu’un chantier abandonné à la troisième étape.
- Activer la double authentification sur la messagerie et les accès bancaires. Une heure, zéro euro.
- Déployer un VPN professionnel sur tous les ordinateurs qui sortent du bureau.
- Installer un gestionnaire de mots de passe partagé.
- Chiffrer les disques et automatiser les mises à jour.
- Organiser une session d’une heure sur l’hameçonnage, à renouveler chaque année.
Le budget parle de lui-même : dix personnes sur VPN Essentials représentent 69,90 € HT par mois, soit 838,80 € par an. Mettez ce montant en face d’une seule fraude au virement réussie, ou d’une journée d’activité perdue. Le calcul prend dix secondes.
Et retenez la règle des quatre verrous dans son ensemble : un tunnel pour les connexions, une authentification multifacteur pour les comptes, un matériel maîtrisé pour les postes, des règles claires pour les humains. Aucun outil ne sécurise un télétravail sécurisé à lui seul, mais cette combinaison rend l’attaque suffisamment coûteuse pour que l’attaquant aille chercher une cible plus facile. Demain matin, deux actions suffisent pour diviser votre exposition : la MFA partout, et un tunnel sur chaque portable nomade.
