Le Journal des Entreprises : Vous avez créé cette année Digitemis, une PME de quatre personnes, experte en sécurité des systèmes d’information et en cybersécurité. On entend beaucoup parler de cyberattaques aujourd’hui. Ce phénomène touche-t-il aussi les entreprises vendéennes ?
Ludovic de Carcouët : La Vendée est sujette à ces risques, car les PME n’anticipent pas toujours les menaces. Beaucoup de dirigeants âgés de 55 à 70 ans se sentent éloignés de ces problématiques. Ils ignorent la diversité des scenarii et se disent : « Cela ne concerne que les grands groupes ».
Quelles sont les entreprises les plus touchées ?
L. de C. : Les banques et la finance en général, les mutuelles, les assurances. Mais pas seulement, l’agroalimentaire ou le tourisme sont aussi ciblés. Indépendamment de l’activité, plus une entreprise devient visible, plus elle s’expose à des actes de malveillance.
Quels types d’actes de malveillance ou d’escroquerie recense-t-on ?
L. de C. : Dans l’agroalimentaire, un acte de malveillance peut consister à ternir la notoriété d’une marque, perturber la chaîne de production, la chaîne du froid, etc. La période précédant Noël est propice à cela. Dans le tourisme, la saison étant courte, l’indisponibilité du réseau Wi-Fi pour les vacanciers d’un camping peut suffire à générer des commentaires négatifs sur Internet. Ou à dissuader de revenir l’année suivante.
Pour ce qui est des escroqueries, certaines consistent à accéder à un disque dur à distance, à en crypter les données, puis à demander une rançon de plusieurs dizaines de milliers d’euros pour le déchiffrage. Ce que l'on appelle le « ransomware ». D’autres pratiquent « l’arnaque au président », en récupérant des informations sur un dirigeant et son entreprise. Lors d’une absence, ils s’en servent pour usurper des identités et abuser de la confiance des collaborateurs. Notamment en se faisant passer pour des avocats ou des directeurs financiers, pour obtenir des virements.
Il y a des exemples locaux ?
L. de C. : Un e-commerçant vendéen a par exemple été victime d’une attaque en provenance des États-Unis, qui a mis son site hors service durant deux jours. Pour la vente en ligne, une telle indisponibilité se traduit directement par une perte de chiffre d’affaires et de réputation. Une PME locale dans l’agroalimentaire a été victime d’une arnaque au président, d’autres de ransomware.
D’où viennent les attaques en général?
L. de C. : La plupart proviennent de l’intérieur de l'entreprise ou de son environnement proche : un salarié, un prestataire, un client...
Par où commencer pour se protéger ?
L. de C. : Il est judicieux d’effectuer une analyse des risques, en listant les actifs de l’entreprise par ordre d’importance : des informations confidentielles, à celles destinées à une diffusion interne ou publique. Y figurent le fichier client, la grille tarifaire, les dossiers RH ou d’innovation. La protection doit aussi englober les données liées à l’agenda, aux déplacements du dirigeant, à l’ingénierie sociale ou l’architecture du système d’information.
Quel conseil donneriez-vous ?
L. de C. : Il faut sensibiliser les salariés aux risques informatiques. Il faut aussi recourir à certaines pratiques concrètes et efficaces
