Seulement 26 % des PME françaises utilisent l'authentification à deux facteurs, malgré la hausse des cybermenaces et les recommandations du modèle Zero Trust de l'ANSSI.
Faible adoption de l'authentification à deux facteurs
Selon un baromètre réalisé par OpinionWay pour Cybermalveillance.gouv.fr, seules 26 % des 588 entreprises françaises interrogées comptant moins de 250 salariés disposaient d'une solution d'authentification à deux facteurs. Cela révèle un écart important en matière de cybersécurité chez les petites entreprises.Le piratage de comptes reste une menace majeure
Le rapport indique que le piratage de comptes constitue la principale menace pour les entreprises et les associations, avec 21 % des parcours d'assistance en 2025, soit une hausse de 52 %. Cette progression souligne l'évolution constante des cybermenaces.Le modèle Zero Trust mis en avant par l'ANSSI
L'ANSSI a publié en juin 2025 une fiche de synthèse sur le modèle Zero Trust, insistant sur l'authentification systématique, l'un des principes de la défense en profondeur. L'agence présente cinq principes du modèle Zero Trust, parmi lesquels l'accès au niveau de privilège le plus bas nécessaire et le contrôle de chaque requête avec la même attention, quelle que soit son origine.Des modèles de sécurité complémentaires recommandés
L'ANSSI rejette l'idée de remplacer les mesures de protection actuelles et affirme que « souvent, les modèles Zero Trust et les modèles de défense périmétrique sont opposés, alors qu'ils sont complémentaires ». Elle conseille de maintenir les protections existantes tout en adoptant le principe Zero Trust.Un kit d'hameçonnage compromet des comptes
Une PME de vingt salariés est concernée dès qu'un employé consulte sa messagerie professionnelle depuis son domicile, comme l'illustre le kit d'hameçonnage BigBear 2.0. En juin, les équipes de sécurité de CloudSEK ont accédé au panneau d'administration de ce service d'hameçonnage et ont constaté que 258 organisations avaient au moins un compte Microsoft 365 compromis, malgré l'authentification à deux facteurs.Des techniques d'hameçonnage contournent la sécurité
Les pirates utilisant ce kit reproduisent la page de connexion de Microsoft 365, ce qui permet aux victimes de valider leur authentification à deux facteurs, après quoi l'attaquant récupère les cookies de session auprès de Microsoft. Grâce à ces cookies, il accède au compte sans preuve d'identité supplémentaire.Réévaluation régulière des conditions d'accès
L'ANSSI souligne que « les conditions d'accès aux ressources doivent faire l'objet d'une réévaluation régulière ». Elle recommande d'activer l'authentification à deux facteurs sur la messagerie et le stockage de fichiers, puis de l'étendre aux autres services.Bonnes pratiques d'authentification
Cybermalveillance.gouv.fr conseille d'activer l'authentification à deux facteurs chaque fois que possible, en privilégiant les clés d'accès (passkeys) ou les clés de sécurité physiques pour les comptes de direction et d'administration, plutôt que les codes SMS ou les notifications. Les clés d'accès remplacent les mots de passe par une clé stockée dans l'appareil, déverrouillée par empreinte digitale ou par code de l'appareil.Recommandations de sécurité complémentaires
Pour les services qui n'acceptent pas les clés d'accès, l'installation d'une application d'authentification à deux facteurs est recommandée. Il est également conseillé de désactiver les méthodes de secours les moins sûres, de révoquer les sessions actives en cas de compromission d'un compte, d'invalider les jetons de connexion et de changer les mots de passe.Les gestionnaires de mots de passe gagnent du terrain
L'adoption d'un gestionnaire de mots de passe pour l'ensemble de l'équipe est recommandée. Ils sont 46 % des entreprises interrogées à en utiliser un, soit une hausse de huit points par rapport à 2024. Cette tendance traduit une prise de conscience croissante de la sécurité des mots de passe.Surveiller les connexions inhabituelles
L'ANSSI recommande d'activer les alertes de connexion inhabituelle proposées par les messageries et de désigner une personne chargée de les recevoir. Seules 16 % des entreprises du baromètre disposaient d'une solution de détection des attaques.Le principe du moindre privilège
Selon l'ANSSI, le principe du moindre privilège impose d'accorder les accès en fonction du niveau de privilège le plus bas nécessaire. Chaque employé doit disposer des droits correspondant à son poste, les droits d'administration étant réservés à un compte distinct.Gérer l'accès aux appareils
L'ANSSI recommande de dresser la liste des ordinateurs et téléphones qui accèdent aux données, y compris les appareils personnels, et d'appliquer les mises à jour de sécurité dès qu'elles sont proposées. Si la suite bureautique le permet, l'accès à la messagerie doit être refusé depuis les appareils non enregistrés.Une segmentation du réseau recommandée
Il est également conseillé de séparer le Wi-Fi des visiteurs du réseau des postes de travail, et de placer les imprimantes et les caméras connectées sur un réseau distinct. La micro-segmentation fait partie des principes de défense en profondeur associés au Zero Trust.Des diagnostics cyber gratuits disponibles
Une PME de vingt personnes peut demander un diagnostic cyber gratuit auprès d'un assistant cyber formé, via l'ANSSI, qui fournit six mesures prioritaires. Pour les offres payantes, le choix doit tenir compte de la taille de la structure.Le coût de Microsoft 365 Business Premium
Microsoft 365 Online, par exemple, facture 27,73 euros HT par utilisateur et par mois pour l'offre Microsoft 365 Business Premium, qui comprend la gestion des identités et des accès au moyen de stratégies, ainsi que la gestion des appareils avec Intune.Une mise en œuvre progressive du Zero Trust
L'ANSSI demande une mise en place progressive du Zero Trust, en soulignant que le transfert des décisions d'accès vers une infrastructure centralisée implique une dépendance à un nouveau service transversal, susceptible de bloquer l'accès aux données de l'entreprise en cas de panne.Une adoption maîtrisée des attributs de sécurité
Elle conseille une adoption maîtrisée et progressive, consistant à mettre en place « itérativement les différents attributs de sécurité », en commençant par les plus simples à maintenir à jour. Ces attributs comprennent des informations sur l'utilisateur, la ressource et le contexte de la demande d'accès.L'accessibilité du Zero Trust
Selon Arescom, un prestataire informatique parisien partenaire de Microsoft, « le Zero Trust est aujourd'hui accessible et pertinent pour toutes les structures ». L'ANSSI précise que le terme Zero Trust désigne un modèle et ne définit pas les fonctions de sécurité d'une technologie dite Zero Trust.
