12 étapes pour protéger votre entreprise en 2026 : MFA, mots de passe, formation et hypertrucages

Passer à une MFA résistante à l’hameçonnage

L’authentification multifacteur reste la mesure la plus rentable, mais toutes les MFA ne se valent pas. Les codes par texto peuvent être interceptés, et des trousses d’hameçonnage « intermédiaires » volent aujourd’hui le code et la session en temps réel.

Visez les clés d’accès (passkeys), Windows Hello Entreprise ou une clé de sécurité FIDO2 : elles refusent de fonctionner sur un faux site.

• Microsoft a fait des clés d’accès la méthode par défaut dans Entra ID le 1^er septembre 2026.
• Les codes par texto et appel vocal natifs d’Entra ID seront retirés le 1^er février 2027.
• Refusez et signalez toute demande d’approbation MFA que vous n’avez pas déclenchée.

Choisir des phrases de passe longues, pas compliquées

La référence américaine en la matière (NIST SP 800-63B, révision 4, juillet 2025) a tourné la page sur les vieilles règles :

• 15 caractères ou plus quand le mot de passe est le seul facteur; une phrase comme « canot-érable-lundi-brume » vaut mieux que « P@ssw0rd! ».
• Fin des changements forcés à intervalle fixe : on change seulement en cas de compromission.
• Fin des règles de complexité obligatoires et des questions de sécurité.
• Vérification des nouveaux mots de passe contre les listes de mots de passe déjà divulgués.

Utiliser un gestionnaire de mots de passe

Un mot de passe unique par service, généré et retenu par un gestionnaire d’entreprise : c’est ce qui empêche une fuite chez un fournisseur de devenir une porte d’entrée chez vous. Ajoutez une surveillance du darkweb pour être averti si vos adresses ou identifiants y circulent.

Automatiser les mises à jour

Windows, macOS, navigateurs, Microsoft 365, mais aussi pare-feu, VPN et routeurs : les attaquants exploitent les failles connues de plus en plus vite après leur publication. Les correctifs critiques s’appliquent en quelques jours, pas en quelques mois.

Installer une détection sur chaque poste et serveur

L’antivirus classique ne suffit plus. Un outil de détection et de réponse (EDR), surveillé par une équipe, repère les comportements suspects : chiffrement massif de fichiers, vol d’identifiants, outil d’administration lancé en pleine nuit.

Garder des sauvegardes hors d’atteinte… et les tester

Règle 3-2-1 : trois copies, deux supports, une hors site, dont au moins une immuable ou hors ligne. N’oubliez pas Microsoft 365 (courriels, OneDrive, SharePoint, Teams), qui n’est pas sauvegardé de façon complète par défaut. Une sauvegarde jamais restaurée n’est qu’un espoir : testez-la.

Appliquer le moindre privilège

Personne ne travaille au quotidien avec un compte administrateur. Les comptes d’administration sont séparés, protégés par une clé d’accès et réservés aux tâches qui l’exigent. Les comptes des employés partis sont désactivés le jour même.

Blinder la messagerie

Le courriel reste la première porte d’entrée. Filtrage anti-hameçonnage, enregistrements SPF, DKIM et DMARC pour empêcher l’usurpation de votre domaine, bannière « courriel externe », et alerte sur les règles de transfert automatique créées à votre insu.

Former en continu, pas une fois par année

Une formation annuelle s’oublie. Ce qui fonctionne : de courtes capsules régulières, des simulations d’hameçonnage réalistes et une culture où l’on signale une erreur en cinq minutes plutôt que de la cacher. Un clic avoué tôt coûte bien moins cher qu’une intrusion découverte en cinq semaines.

Adopter un protocole contre les hypertrucages et les appels IA

Quelques secondes d’enregistrement public suffisent maintenant à cloner une voix. Des employés ont déjà effectué des virements de plusieurs millions après une visioconférence où le « directeur financier » et ses collègues étaient tous générés par l’IA.

• Rappel obligatoire à un numéro connu (jamais celui fourni dans l’appel ou le courriel) avant tout virement ou changement de coordonnées bancaires.
• Mot de code convenu en personne entre dirigeants et comptabilité, jamais écrit dans un courriel. Faites-en autant en famille contre l’arnaque du « petit-fils en détresse ».
• Double approbation des paiements au-dessus d’un seuil.
• Méfiance face à l’urgence et au secret : ce sont les deux leviers de toutes ces fraudes.

Encadrer l’usage de l’IA au travail

Les outils d’IA sont précieux, mais un document confidentiel collé dans un outil public peut quitter votre contrôle. Choisissez des outils approuvés par l’entreprise, liés à vos comptes professionnels, et écrivez une règle simple sur ce qui peut ou non y être copié : renseignements personnels de clients, dossiers juridiques, données financières.

Avoir un plan de réponse prêt… sur papier

Le jour d’une attaque, la messagerie et le réseau ne seront peut-être plus accessibles. Imprimez qui appeler (soutien informatique, assureur cyber, avocat), qui décide, et comment isoler un poste sans l’éteindre. Au Québec, prévoyez aussi l’avis à la Commission d’accès à l’information si des renseignements personnels sont touchés (Loi 25).