Un e-mail de facture qui semble venir d’un fournisseur habituel, un fichier joint ouvert un peu trop vite, et c’est toute l’activité qui s’arrête. À Bruxelles, ce scénario n’est plus réservé aux grandes institutions du quartier européen : les PME, indépendants, cabinets médicaux, bureaux comptables et associations sont aujourd’hui en première ligne. Les cybercriminels utilisent des outils automatisés qui scannent Internet à la recherche de la moindre faille, sans se soucier de la taille de l’entreprise visée.

La bonne nouvelle ? La majorité des attaques réussies exploitent des failles simples à corriger. Voici les menaces à connaître et les 7 réflexes à mettre en place dès maintenant pour protéger votre activité bruxelloise.

Pourquoi les PME bruxelloises sont-elles des cibles ?

Bruxelles concentre une densité exceptionnelle de petites structures : sociétés de services, professions libérales, commerces, ASBL, start-ups. Beaucoup d’entre elles n’ont pas de service informatique interne et gèrent leur parc « au fil de l’eau ». Pour un pirate, c’est la combinaison idéale : des données de valeur (fichiers clients, données bancaires, dossiers patients) et des protections souvent minimales.

Le télétravail, largement installé dans la capitale, a encore élargi la surface d’attaque : connexions depuis le domicile, Wi-Fi public, ordinateurs personnels utilisés pour le travail… Autant de portes d’entrée supplémentaires.

Les menaces les plus fréquentes

• Le phishing (hameçonnage) : de faux e-mails ou SMS imitant une banque, bpost, itsme ou un fournisseur, pour voler des identifiants ou faire payer une fausse facture.
• Le ransomware (rançongiciel) : un logiciel qui chiffre toutes vos données et exige une rançon pour les débloquer.
• Les mots de passe compromis : réutilisés sur plusieurs services, ils circulent ensuite sur des listes revendues entre pirates.
• Les failles non corrigées : un système d’exploitation, un routeur ou un logiciel métier jamais mis à jour est une invitation ouverte.
• L’arnaque au président : un faux dirigeant demande en urgence un virement « confidentiel » à la comptabilité.

7 réflexes de cybersécurité à adopter dès maintenant

1. Activer la double authentification (MFA) partout

Messagerie, Microsoft 365, banque en ligne, logiciel comptable : activez l’authentification à facteurs multiples. Même si un mot de passe est volé, le pirate ne pourra pas se connecter sans le second facteur. C’est la mesure la plus efficace pour le moindre effort.

2. Installer les mises à jour sans attendre

Chaque mise à jour corrige des failles connues, déjà exploitées par les attaquants. Ordinateurs, smartphones, serveurs, imprimantes, routeur et site web : programmez des mises à jour automatiques et remplacez le matériel qui n’est plus supporté par son fabricant.

3. Appliquer la règle de sauvegarde 3-2-1

Gardez 3 copies de vos données, sur 2 supports différents, dont 1 hors de vos locaux (ou dans un cloud déconnecté). Et surtout, testez régulièrement la restauration : une sauvegarde qui ne se restaure pas ne sert à rien le jour d’une attaque par ransomware.

4. Protéger le réseau avec un pare-feu et un VPN

Le pare-feu (firewall) filtre ce qui entre et sort de votre réseau d’entreprise. Pour les collaborateurs en télétravail, un VPN chiffre la connexion et évite que des données sensibles transitent en clair sur un Wi-Fi domestique ou public.

5. Former les équipes à reconnaître le phishing

L’erreur humaine reste la première cause d’incident. Une courte sensibilisation régulière apprend à vérifier l’expéditeur réel, à se méfier de l’urgence et à ne jamais valider un changement de numéro de compte sans appel de confirmation. En Belgique, les messages suspects peuvent être transférés à suspect@safeonweb.be.

6. Limiter les droits d’accès

Chaque collaborateur ne doit accéder qu’aux données nécessaires à son travail. Les comptes administrateurs sont réservés à l’informatique, et les accès des anciens employés ou stagiaires doivent être supprimés dès leur départ.

7. Faire un état des lieux de votre informatique

On ne protège bien que ce que l’on connaît. Un audit permet de recenser le matériel, les logiciels, les comptes et les sauvegardes, puis d’identifier les points faibles avant qu’un pirate ne les trouve.

NIS2, CCB, CyberFundamentals : le cadre belge

Depuis octobre 2024, la loi belge transposant la directive européenne NIS2 impose des obligations de cybersécurité à de nombreuses entités de secteurs critiques (énergie, santé, transport, numérique, fabrication, services postaux…). Même si votre PME n’est pas directement visée, elle peut l’être indirectement : vos clients soumis à NIS2 exigeront de plus en plus de garanties de la part de leurs fournisseurs.

Le Centre pour la Cybersécurité Belgique (CCB) propose le référentiel CyberFundamentals (CyFun®), une grille de mesures progressive adaptée aux entreprises de toutes tailles. Le site Safeonweb publie également des alertes et des conseils accessibles au grand public comme aux professionnels.

Se faire accompagner : une option rentable pour les petites structures

Pour une PME sans informaticien en interne, mettre en place toutes ces mesures seule peut vite devenir chronophage. Faire appel à un prestataire spécialisé en sécurité informatique à Bruxelles permet de réaliser un audit de l’existant, d’installer un pare-feu et un VPN, de mettre en place des sauvegardes fiables et d’assurer une surveillance continue, avec un budget mensuel maîtrisé. Un partenaire de proximité a aussi l’avantage de pouvoir intervenir rapidement sur site en cas d’incident.

Comparé au coût d’une attaque (arrêt de l’activité pendant plusieurs jours, perte de données, atteinte à la réputation, éventuelles sanctions RGPD), la prévention reste de loin l’investissement le plus rentable.

Par où commencer ?

Si vous ne deviez faire que trois choses cette semaine : activez la double authentification sur votre messagerie, vérifiez que vos sauvegardes fonctionnent et installez les mises à jour en attente. Ensuite, planifiez un audit pour bâtir un plan de sécurité adapté à votre activité. À Bruxelles comme ailleurs, la question n’est plus de savoir si une entreprise sera ciblée, mais si elle sera prête ce jour-là.