La plupart des PME pensent être protégées. Elles ont un antivirus, une sauvegarde quelque part sur un NAS, et parfois un VPN mis en place à la hâte pendant le Covid. Pourtant, les cyberattaques continuent de frapper des entreprises qui croyaient avoir coché les bonnes cases. Le problème n’est plus l’absence d’outils. Le problème, c’est que le risque s’est déplacé — et personne ne l’a suivi.
Aujourd’hui, la vraie surface d’attaque d’une PME, c’est son cloud. C’est son compte Microsoft 365, ses outils SaaS empilés au fil des années, ses accès distants ouverts pour les télétravailleurs ou les prestataires. Ce sont des identités, des droits d’accès, des configurations. Et c’est précisément là que personne ne regarde.
Sommaire
- Le cloud au cœur du quotidien des PME
- L’antivirus ne voit pas ce qui se passe dans Microsoft 365
- Les comptes : la vraie porte d’entrée des attaquants
- Les droits d’accès : un désordre silencieux
- Les configurations SaaS : des options activées par défaut qui exposent
- Les accès distants : le maillon oublié
- La sauvegarde ne suffit pas si la brèche est déjà là
- Comment passer d’une logique réactive à une supervision continue
- FAQ
Le cloud au cœur du quotidien des PME
Presque toutes les PME utilisent Microsoft 365 aujourd’hui. Messagerie, Teams, SharePoint, OneDrive — tout le travail collaboratif passe par là. À côté de ça, s’accumulent des dizaines d’outils SaaS : un outil de facturation, une plateforme CRM, un logiciel de paie, un outil de gestion de projet, un service de signature électronique. Sans oublier les accès distants qui permettent aux équipes de se connecter depuis n’importe où.
L’antivirus protège un poste. Le pare-feu filtre le réseau local. Mais qui surveille ce qui se passe dans Microsoft 365 ? Qui vérifie que les comptes SaaS ne sont pas compromis ? Qui contrôle les connexions distantes inhabituelles ? Dans la grande majorité des PME, la réponse est : personne.
L’antivirus ne voit pas ce qui se passe dans Microsoft 365
C’est un des malentendus les plus répandus. L’antivirus est un outil de protection des postes de travail. Il détecte des fichiers malveillants, bloque des exécutables suspects, surveille les processus qui tournent sur une machine locale.
Mais une attaque moderne sur Microsoft 365 ne passe pas par un fichier malveillant sur un poste. Elle passe par un identifiant volé, utilisé pour se connecter directement au portail web. L’attaquant se connecte avec un vrai compte, depuis une vraie session authentifiée. L’antivirus ne voit rien.
En 2026, les cyberattaques n’ont plus seulement besoin de forcer les systèmes : elles utilisent des identités valides, des tokens, des comptes SaaS et des accès fournisseurs. L’ennemi ne casse plus toujours la porte — il a le badge.
C’est exactement ce que vivent des PME qui découvrent, souvent des semaines après, qu’un compte de messagerie était compromis. Que des emails étaient redirigés vers une adresse externe. Que des fichiers SharePoint avaient été partagés sans autorisation. L’antivirus n’a rien signalé. Parce qu’il n’était pas conçu pour ça.
Ce que l’antivirus ne couvre pas
| Menace | Antivirus | Supervision cloud / identité |
|---|---|---|
| Compte Microsoft 365 compromis | Non détecté | Alerte sur connexion suspecte |
| Phishing avec vol de session | Non détecté | Détectable via logs de connexion |
| Accès prestataire non révoqué | Non concerné | Visible dans la gestion des droits |
| Application SaaS tierce non autorisée | Non concerné | Détectable via consentements OAuth |
| Fuite de fichiers SharePoint | Non détecté | Visible dans les journaux d’activité |
Les comptes : la vraie porte d’entrée des attaquants
Les environnements Microsoft 365 sont devenus la cible privilégiée des cybercriminels. Les attaques sophistiquées ciblant les identités ont augmenté de 340 % par rapport à 2023.
La raison est simple : voler un identifiant est beaucoup plus facile que de casser une infrastructure. Un employé clique sur un lien de phishing. Il entre son mot de passe sur une page qui imite Microsoft. L’attaquant récupère les identifiants et se connecte au compte — parfois en contournant le MFA s’il n’est pas correctement configuré.
Microsoft indique que 97 % des attaques d’identité observées dans son Digital Defense Report 2025 étaient des attaques par password spray, preuve que les attaquants exploitent massivement les mots de passe faibles, réutilisés ou déjà exposés.
Dans une PME classique, les comptes sont rarement bien gérés. Des anciens salariés ont encore leurs accès actifs. Des comptes génériques partagés entre plusieurs personnes ne sont jamais audités. Des mots de passe faibles circulent par email ou sur des post-it. Et le MFA, même quand il est activé, peut être mal configuré ou contournable.
Les comptes administrateurs doivent être réservés à des sessions ponctuelles et tracées. Cette discipline technique empêche qu’une compromission d’un poste utilisateur donne accès à l’ensemble du système.
Ce qu’il faut surveiller en priorité
- Les connexions depuis des localisations inhabituelles (un compte qui se connecte depuis un autre continent la nuit)
- Les comptes inactifs qui traînent dans l’annuaire
- Les tentatives de connexion échouées répétées sur un même compte
- Les modifications des règles de messagerie (redirections automatiques vers des adresses externes)
Les droits d’accès : un désordre silencieux
Voilà un angle mort que peu de PME réalisent. Au fil du temps, les droits s’accumulent. Un employé change de poste : on lui ajoute des accès, mais on n’enlève pas les anciens. Un prestataire IT intervient une fois : on lui crée un compte admin qu’on oublie de désactiver ensuite. Un stagiaire de l’année dernière a encore accès au SharePoint principal.
Le principe du moindre privilège impose que chaque utilisateur dispose seulement des droits nécessaires à sa mission. Les appareils personnels ne doivent pas accéder au réseau de l’entreprise sans contrôle spécifique.
Dans les faits, appliquer ce principe demande une discipline régulière que la plupart des PME n’ont tout simplement pas le temps de maintenir. Résultat : les droits s’accumulent, les comptes orphelins prolifèrent, et chaque compte inactif est une porte d’entrée potentielle.
Beaucoup d’attaques deviennent graves parce que tout le monde a trop de droits. La revue des comptes — « qui a accès à quoi et pourquoi » — est une action prioritaire recommandée par l’ANSSI pour les PME.
La solution n’est pas technologique en premier lieu. C’est un processus : une revue régulière des accès, idéalement trimestrielle, pour vérifier qui a accès à quoi, et supprimer ce qui n’est plus nécessaire.
Les comptes à auditer en urgence
| Type de compte | Risque principal | Action recommandée |
|---|---|---|
| Ancien salarié | Accès toujours actifs après départ | Désactiver le jour du départ |
| Compte admin partagé | Traçabilité nulle | Individualiser chaque compte admin |
| Prestataire externe | Accès non révoqués | Accès temporaires avec date d’expiration |
| Compte de service SaaS | Permissions excessives | Revoir les consentements OAuth régulièrement |
Les configurations SaaS : des options activées par défaut qui exposent
Microsoft 365 n’est pas sécurisé « par défaut » de façon optimale. Quand une PME souscrit à un abonnement, des dizaines d’options sont activées ou désactivées selon des paramètres génériques pensés pour faciliter l’adoption — pas pour maximiser la sécurité.
Par exemple, le partage externe de fichiers SharePoint est souvent activé par défaut. N’importe quel utilisateur peut envoyer un lien d’accès à un document sensible à n’importe qui, sans validation. La synchronisation automatique OneDrive peut permettre à un poste compromis de chiffrer des fichiers directement dans le cloud. Les règles de messagerie peuvent être modifiées silencieusement par un attaquant qui a pris le contrôle d’un compte.
Les mauvaises configurations de Microsoft 365 ou d’applications SaaS sont une porte d’entrée potentielle directe vers les données de l’entreprise — chaque erreur de configuration ou de partage peut être exploitée.
La même logique s’applique à tous les outils SaaS. Chaque application a ses propres paramètres de sécurité, ses propres niveaux de permission, ses propres options de journalisation. Dans une PME qui utilise 15 à 20 outils SaaS différents, personne ne fait le tour de toutes ces configurations. Et pourtant, une seule mauvaise option peut suffire.
Les configurations Microsoft 365 à vérifier en priorité
- Partage externe SharePoint/OneDrive : limiter aux domaines autorisés
- Règles de forwarding de messagerie : bloquer les redirections automatiques vers l’externe
- Consentements OAuth : vérifier quelles applications tierces ont accès aux données
- Logs d’audit : s’assurer qu’ils sont activés (et conservés suffisamment longtemps)
- Accès des applications legacy : désactiver les protocoles d’authentification anciens (IMAP, POP3 sans MFA)
Les accès distants : le maillon oublié
Le télétravail a normalisé les connexions depuis l’extérieur. VPN, Bureau à distance (RDP), accès web aux outils cloud — les PME ont multiplié les points d’entrée pour permettre à leurs équipes de travailler de n’importe où. C’est bien. Mais chaque point d’entrée supplémentaire est une surface d’attaque supplémentaire.
Le RDP exposé directement sur Internet sans protection supplémentaire est l’une des failles les plus exploitées dans les ransomwares ciblant les PME. Un port RDP ouvert sur un serveur accessible depuis Internet, avec un mot de passe faible sur le compte administrateur : c’est une porte grande ouverte.
La compromission par la supply chain représente 7 % des incidents : l’attaquant entre via un prestataire ou fournisseur dont les accès ne sont pas restreints.
Les accès VPN posent aussi des problèmes spécifiques. Un employé dont le poste personnel est infecté se connecte au VPN de l’entreprise : l’infection peut se propager sur le réseau interne. Un prestataire qui a accès au VPN mais dont les identifiants sont compromis peut se connecter sans que personne ne le remarque.
Pour dépasser la simple addition d’outils et garder une vision continue des comptes, accès et postes, certaines entreprises s’appuient sur une cybersécurité managée pour PME, capable de couvrir à la fois Microsoft 365, les usages SaaS et les accès distants.La sauvegarde ne suffit pas si la brèche est déjà là
La sauvegarde est indispensable. Personne ne dit le contraire. Mais elle règle un seul problème : la perte de données. Elle ne fait rien pour les autres conséquences d’une cyberattaque.
Si un attaquant a eu accès à votre compte Microsoft 365 pendant trois semaines avant que vous le découvriez, il a peut-être :
- lu tous vos emails et ceux de votre équipe
- exfiltré des documents clients sensibles
- modifié des paramètres de facturation ou de paiement
- préparé une attaque plus large en cartographiant votre infrastructure
Restaurer une sauvegarde ne change rien à tout ça. Selon IBM (Cost of a Data Breach 2024), le coût médian d’une fuite de données pour une entreprise de moins de 500 salariés se situe entre 150 000 et 350 000 euros — potentiellement synonyme de cessation d’activité pour une PME.
La sauvegarde protège contre la perte. La supervision protège contre la compromission. Ce sont deux problèmes distincts, qui nécessitent deux solutions distinctes.
Comment passer d’une logique réactive à une supervision continue
La plupart des PME gèrent leur sécurité de façon réactive : elles interviennent quand quelque chose se passe. Le problème, c’est que quand quelque chose se passe dans un environnement cloud mal supervisé, il est souvent trop tard — ou la brèche dure depuis longtemps.
Le passage à une logique proactive repose sur quelques principes concrets.
Activer et surveiller les journaux d’audit
Microsoft 365 génère des journaux d’activité détaillés. Connexions, modifications de paramètres, partages de fichiers, règles de messagerie créées — tout est loggé. Mais ces logs ne servent à rien si personne ne les consulte. La maîtrise des accès réduit les attaques internes et limite la surface d’exposition de l’entreprise. Mettre en place une gestion des accès centralisée permet de tracer les connexions et d’auditer les activités en continu.
Déployer le MFA correctement
L’authentification multifacteur bloque 99,9 % des attaques par vol de mot de passe selon Microsoft. C’est une priorité absolue à déployer sur Microsoft 365, la messagerie, le VPN et les applications métier.
Mais attention : activer le MFA n’est pas suffisant si la méthode utilisée est contournable. Les SMS sont moins sûrs que les applications d’authentification (Microsoft Authenticator, Google Authenticator). Et le MFA résistant au phishing — comme les clés FIDO2 — offre une protection encore plus solide pour les comptes critiques.
Faire des revues d’accès régulières
Une fois par trimestre au minimum : qui a accès à quoi ? Est-ce que tous ces accès sont toujours justifiés ? Est-ce qu’il y a des comptes inactifs depuis plus de 90 jours ? Est-ce que les prestataires externes ont encore des accès actifs après la fin de leur mission ?
L’ANSSI recommande de procéder à des audits de sécurité réguliers pour vérifier la conformité des droits d’accès et détecter toute anomalie, comme des accès non autorisés ou des comptes fantômes.
Centraliser la vision des alertes
Le vrai problème dans les PME, c’est la dispersion. Les alertes de sécurité Microsoft 365 arrivent dans un portail. Celles du VPN dans un autre. Celles de l’antivirus dans un troisième. Et personne ne fait la corrélation entre toutes ces informations. Un attaquant qui utilise plusieurs vecteurs simultanément peut passer inaperçu simplement parce que les signaux sont éparpillés.
La supervision continue — que ce soit via un outil dédié ou via un prestataire spécialisé — permet de centraliser ces alertes et de les corréler pour détecter des comportements anormaux que chaque outil pris isolément ne verrait pas.
FAQ
Pourquoi Microsoft 365 est-il une cible privilégiée pour les cybercriminels ? Parce que c’est l’outil central de millions d’entreprises. Messagerie, fichiers, réunions, contacts — tout y est concentré. Un seul compte compromis donne accès à une quantité considérable d’informations sensibles.
L’activation du MFA suffit-elle à protéger les comptes cloud ? Le MFA réduit considérablement le risque, mais ne l’élimine pas complètement. Des techniques de contournement existent (phishing de session, fatigue MFA). Il faut aussi surveiller les connexions même après activation du MFA.
Comment savoir si un compte Microsoft 365 a été compromis ? Les signes incluent : des connexions depuis des localisations inhabituelles, des règles de messagerie créées sans votre initiative, des emails envoyés que vous ne reconnaissez pas, des partages de fichiers non effectués par votre équipe. Les journaux d’audit permettent de retracer tout cela.
Faut-il un outil spécifique pour superviser Microsoft 365 ? Microsoft 365 Business Premium inclut des fonctionnalités de sécurité avancées (Microsoft Defender for Business, Protection de l’identité). Pour les licences de base, des outils tiers ou un prestataire spécialisé peuvent combler les lacunes.
Que faire en premier si on part de zéro ? Activer le MFA sur tous les comptes, désactiver les comptes inactifs, activer les journaux d’audit dans le Centre de sécurité Microsoft 365, vérifier les règles de forwarding de messagerie. Ce sont les quatre actions prioritaires avec le plus fort impact.
Quel est le risque réel pour une PME qui ne supervise pas ses accès cloud ? Le risque est une compromission silencieuse qui peut durer plusieurs semaines. Des données peuvent être exfiltrées, des emails espionnés, des paramètres modifiés — sans aucune alerte. La découverte intervient souvent trop tard, quand les dégâts sont déjà là.
