« On a un antivirus. » Dans beaucoup de PME du Bassin Genevois, cette phrase clôt le sujet sécurité. Le logiciel du poste affiche un bouclier vert. Les mises à jour « se font toutes seules ». Le dirigeant a autre chose à faire. Jusqu'à l'e-mail de facture, le lien raccourci, ou le macro Word ouvert par quelqu'un de confiance.
Un antivirus classique cherche surtout ce qu'il connaît déjà : une signature, un fichier déjà vu. L'attaque actuelle ne ressemble plus à un .exe nommé virus.exe. Elle passe par le navigateur, par une pièce jointe légitime, par un compte Microsoft 365 volé, par un script PowerShell lancé après coup. Le bouclier vert n'a rien vu, parce qu'il n'était pas conçu pour ça.
Signature contre comportement
Un antivirus traditionnel compare un fichier à une base. Utile. Insuffisant. Le malware « fileless » s'appuie sur des outils déjà présents dans Windows. Rien à poser sur le disque, donc rien à comparer. L'EDR (Endpoint Detection and Response, détection et réaction sur le poste) observe le comportement : un processus qui chiffre trop de fichiers, une connexion vers un relais inhabituel, une élévation de privilèges.
Ce n'est pas de la magie. C'est de la télémétrie, des règles, et surtout quelqu'un qui lit les alertes. Un EDR sans exploitation, c'est une console que personne n'ouvre. Nous déployons Bitdefender en infogéré : politiques, exceptions, correctifs, suivi des incidents. Pas un RSSI à recruter. Pas un rapport de 80 pages sans suite.
Côté dirigeant, la question n'est pas « quel logo sur le poste ». C'est : qui est réveillé quand une alerte critique part à 23 h ? Dans un contrat d'infogérance, la réponse a un nom. Hors contrat, c'est souvent personne.
Le phishing passe à côté du poste
La majorité des incidents que nous traitons ne commencent pas par un fichier exécutable. Ils commencent par un mail. Fausse facture, fausse livraison, faux DSI. L'utilisateur clique. Il saisit son mot de passe sur une page qui imite Microsoft 365. À partir de là, l'attaquant a la boîte, les partages OneDrive, parfois les listes de diffusion.
L'antivirus du poste ne voit pas une page web bien imitée. D'où un second étage, en amont de la messagerie : le filtrage antispam (chez nous, Mailinblack) devant Microsoft 365, Exchange ou Infomaniak. Quarantaine, formation légère des équipes à relâcher un message légitime, pas un clic « tout accepter ».
Trois habitudes que nous posons après audit, sans jargon :
- Comptes nominatifs. Pas de
info@partagé avec le mot de passe collé sous le clavier. - Double authentification sur les boîtes et sur l'administration. Un mot de passe volé ne suffit plus.
- Droits minimaux. Le commercial n'est pas administrateur du domaine. Le ransomware qui passe par son poste a moins de levier.
Aucune de ces mesures n'est « trop grande entreprise ». Une fiduciaire de huit personnes à Genève a le même besoin qu'un groupe : ses dossiers clients ne supportent pas l'à-peu-près.
Ce que l'audit change, concrètement
Nous ne commençons pas par vendre une licence. Nous commençons par regarder : postes non patchés, comptes locaux, RDP exposé, sauvegarde sur le même disque, WordPress oublié sur le même serveur que la compta. L'EDR vient ensuite, sur un parc dont on connaît les trous.
Le durcissement se fait par lots. On ne casse pas la production un lundi matin pour « tout sécuriser ». On priorise ce qui est exploitable : accès distant, admin trop larges, copies absentes. Les sauvegardes testées restent le filet. Un EDR qui détecte le chiffrement trop tard ne remplace pas une copie hors ligne.
Le contrat d'infogérance part de 120 HT par mois, EUR ou CHF. L'urgence hors contrat, si le parc est déjà à terre, est à 230 HT de l'heure. La différence n'est pas cosmétique : l'un prévient, l'autre répare dans l'urgence.
Comment nous procédons
- État des lieux : parc, messagerie, sauvegardes, expositions réseau.
- Décision : EDR Bitdefender, antispam, correctifs, comptes.
- Exploitation : alertes suivies par la même équipe que le helpdesk, pas un prestataire « sécurité » qui ne connaît pas vos imprimantes.
Un cas type, sans nommer personne : un cabinet de huit postes à Genève. Antivirus grand public sur les PC, pas d'EDR, RDP ouvert « pour le télétravail », même mot de passe admin depuis 2019. Le phishing n'a pas eu besoin d'un zero-day. Un mail de fausse livraison, un clic, un script. Deux heures plus tard, les partages sont illisibles. L'antivirus n'avait rien classé comme menace. L'EDR, lui, aurait vu le volume de fichiers touchés. La sauvegarde, si elle avait été hors ligne, aurait raccourci le week-end. Les trois couches se tiennent. Une seule ne suffit pas.
Nous n'inventons pas de statistiques d'attaque. Nous racontons ce que nous voyons : plugins WordPress oubliés, mails de phishing, postes jamais mis à jour, NAS accessible avec le compte admin du quotidien.
Si votre seul indicateur de sécurité est une pastille verte, demandez un audit. Nous vous disons ce qui est réellement couvert, et ce qui ne l'est pas.