La plupart des cyberattaques contre les PME ne sont pas sophistiquées. Elles réussissent à cause de défaillances de base : mots de passe faibles, absence de MFA, logiciels non mis à jour et employés qui cliquent sur des liens d'hameçonnage. La bonne nouvelle : corriger ces bases élimine 85 % de votre surface d'attaque. La mauvaise : la plupart des PME marocaines ne l'ont pas encore fait.
Le paysage des menaces en 2026
Les principales attaques qui frappent aujourd'hui les entreprises africaines sont : les e-mails d'hameçonnage (phishing) visant les identifiants Google et Microsoft (en hausse de 140 % en 2025), la compromission de messagerie professionnelle (BEC, Business Email Compromise), où l'attaquant prend le contrôle d'un compte e-mail et détourne des paiements, les rançongiciels diffusés via des pièces jointes malveillantes ou des VPN non mis à jour, et les attaques de la chaîne d'approvisionnement via des éditeurs de logiciels compromis. Le coût moyen d'une attaque par rançongiciel pour une PME africaine est de 180 000 $, en incluant l'arrêt d'activité, la remise en état et l'atteinte à la réputation.
Priorité 1 : l'authentification multifacteur partout
Si vous ne faites qu'une chose, faites celle-ci. Activez la MFA sur tous les comptes : Microsoft 365, Google Workspace, votre portail bancaire, votre CRM. Utilisez une application d'authentification (Microsoft Authenticator, Google Authenticator), pas les SMS : les codes SMS peuvent être interceptés. Avec la MFA activée, 99,9 % des attaques basées sur des identifiants échouent. La mise en place prend 10 minutes et ne coûte rien sur la plupart des plateformes.
Priorité 2 : la sécurité de la messagerie avec SPF, DKIM et DMARC
L'e-mail est le principal vecteur d'attaque pour l'hameçonnage et le BEC. Configurez les enregistrements SPF, DKIM et DMARC de votre domaine pour empêcher les attaquants d'envoyer des e-mails qui semblent provenir de votre entreprise. Activez Microsoft Defender for Office 365 (inclus dans Microsoft 365 Business Premium) pour analyser pièces jointes et liens avant qu'ils n'arrivent dans votre boîte de réception. Formez vos employés à reconnaître l'hameçonnage : une session de 30 minutes par trimestre réduit nettement les taux de clic.
Priorité 3 : la gestion des mises à jour
Les logiciels non mis à jour sont le deuxième vecteur d'attaque le plus courant après l'hameçonnage. Activez les mises à jour automatiques sur Windows et macOS. Utilisez Microsoft Intune (inclus dans M365 Business Premium) pour imposer des règles de mise à jour sur tous les appareils de l'entreprise. Auditez les logiciels tiers chaque trimestre et supprimez tout ce qui n'a pas été mis à jour depuis plus de 12 mois.
Priorité 4 : la sauvegarde et la règle 3-2-1
Chaque entreprise a besoin d'une stratégie de sauvegarde fiable : 3 copies de vos données, sur 2 types de supports différents, dont 1 copie hors site (cloud). Azure Backup et OneDrive offrent une sauvegarde cloud automatisée pour les environnements Microsoft. Testez vos restaurations chaque trimestre : une sauvegarde jamais testée n'est pas une sauvegarde.
Comment obtenir un audit de sécurité
Vous ne savez pas où vous en êtes ? Africodex propose une évaluation de cybersécurité d'une demi-journée qui compare votre niveau actuel au référentiel CIS Controls et vous remet un plan d'action priorisé. La plupart des clients repartent avec 5 à 10 points critiques qui peuvent être corrigés en une seule journée.
Demander une évaluation de sécurité gratuite
Premier échange gratuit. Nous répondons sous un jour ouvré, en français, en arabe ou en anglais.
Parlons-en