Cybersécurité des PME canariennes : 5 menaces réelles et comment s'en protéger

Le phishing est le point d'entrée le plus courant des cyberattaques contre les PME. L'attaquant envoie un e-mail qui imite un organisme de confiance —une banque, un fournisseur habituel, l'administration fiscale— pour amener le destinataire à cliquer sur un lien malveillant, à télécharger un fichier infecté ou à divulguer ses identifiants.

Une variante particulièrement dommageable pour les entreprises est la fraude BEC (Business Email Compromise) : l'attaquant usurpe l'identité d'un fournisseur ou d'un dirigeant de l'entreprise pour demander un virement urgent. Dans un cas récent à Las Palmas de Gran Canaria, une entreprise de distribution a reçu un e-mail d'un « fournisseur habituel » annonçant un changement de coordonnées bancaires. Le message provenait d'une adresse presque identique à celle du vrai fournisseur, avec le même nom et la même signature. Le virement de 12 400 € a été effectué avant que la fraude ne soit détectée.

Mesures de protection

Le ransomware chiffre tous les fichiers du système infecté et exige une rançon (généralement en cryptomonnaie) en échange de la clé de déchiffrement. C'est le type d'attaque qui a le plus fort impact économique sur les PME : non seulement à cause du montant de la rançon (dont le paiement garantit rarement la récupération), mais aussi à cause des jours, voire des semaines, de paralysie de l'activité qu'il entraîne.

En 2024, un hôtel du sud de Tenerife a subi une attaque par ransomware qui a chiffré le serveur principal hébergeant le PMS, la comptabilité et les documents administratifs. L'établissement a fonctionné trois jours sur papier, avec des check-in manuels et sans accès aux réservations existantes. Le coût direct —rançon (qui a été payée), restauration des systèmes et chiffre d'affaires perdu— a dépassé 85 000 €. Le vecteur d'entrée était un Windows Server 2016 avec un accès RDP exposé sur Internet et non mis à jour depuis 2022.

Mesures de protection

Les terminaux de point de vente sont une cible attrayante, car ils traitent des données de cartes bancaires en temps réel. Les attaques les plus courantes consistent à implanter un malware qui capture les données de la carte au moment du paiement (skimming logiciel) ou à exploiter les failles d'anciens terminaux connectés au même réseau que le reste de l'entreprise.

Aux îles Canaries, l'hôtellerie-restauration et le commerce concentrent une part élevée des paiements par carte, notamment de la part de touristes internationaux. Un terminal compromis peut entraîner d'importantes responsabilités juridiques au regard de la norme PCI-DSS, sans compter l'atteinte à la réputation liée à l'exposition des données de paiement des clients.

L'erreur la plus fréquente que nous relevons lors de nos audits : le terminal de paiement partage le réseau Wi-Fi des ordinateurs portables du bureau, des téléphones des salariés et parfois même du réseau clients de l'hôtel. Tout appareil connecté à ce réseau devient un vecteur d'accès potentiel au terminal.

Mesures de protection

Le Règlement général sur la protection des données (RGPD) et sa transposition en droit espagnol par la LOPDGDD fixent des obligations claires sur la manière dont les entreprises doivent traiter les données personnelles de leurs clients. Leur non-respect expose non seulement à des sanctions de l'AEPD (l'autorité espagnole de protection des données, équivalent de la CNIL), mais aussi à une perte de confiance des clients et à une atteinte à la réputation difficile à chiffrer.

Pour les entreprises canariennes du secteur touristique, le risque est particulièrement élevé : hôtels, résidences et agences de voyages traitent des données de citoyens de toute l'Union européenne, y compris des informations sensibles comme les données de passeport, les numéros de carte bancaire et l'historique des séjours. Une violation de données sur une base de clients peut entraîner des amendes allant jusqu'à 4 % du chiffre d'affaires annuel mondial.

Les cas les plus fréquents que nous rencontrons lors de nos audits : bases de données clients accessibles sans mot de passe depuis l'intranet, sauvegardes contenant des données personnelles non chiffrées stockées sur des services cloud sans contrôle d'accès, et applications web vulnérables aux injections SQL qui exposent l'intégralité de la base.

Mesures de protection

L'essor du télétravail pendant la pandémie a conduit de nombreuses PME à ouvrir des accès à distance à leurs systèmes dans l'urgence, sans les mesures de sécurité adéquates. Deux ans plus tard, beaucoup de ces accès sont toujours actifs, parfois avec des identifiants jamais renouvelés, des logiciels non mis à jour et sans authentification multifacteur.

Le protocole RDP (Remote Desktop Protocol) de Windows, exposé directement sur Internet sans MFA, est l'un des vecteurs d'entrée les plus exploités par les groupes de ransomware. Les attaquants utilisent des outils automatisés qui balaient des plages entières d'adresses IP à la recherche de ports RDP ouverts (le 3389 par défaut), puis lancent des attaques par force brute sur les identifiants. Avec des mots de passe faibles ou réutilisés, l'accès est obtenu en quelques minutes.

Lors d'audits de PME canariennes, nous avons trouvé des accès RDP actifs vers des serveurs de production ouverts depuis 2020, avec des mots de passe administrateur inchangés depuis l'installation. Dans plusieurs cas, ces serveurs avaient déjà été compromis et faisaient partie de botnets à l'insu de l'entreprise.

Mesures de protection