Beaucoup de dirigeants de PME pensent que leur entreprise est trop petite pour intéresser les pirates. C'est l'inverse : les cybercriminels visent les organisations dont les défenses sont les plus faibles, et elles sont souvent petites. Dans son Évaluation des cybermenaces nationales 2025-2026, le Centre canadien pour la cybersécurité rappelle qu'« aucune entité n'est à l'abri » des rançongiciels.
Deux menaces à surveiller en 2026
Les rançongiciels
Un rançongiciel chiffre vos fichiers et bloque vos systèmes jusqu'au paiement d'une rançon. De plus en plus souvent, les attaquants volent aussi vos données et menacent de les publier. Le Centre canadien pour la cybersécurité les considère comme la principale menace de cybercriminalité au pays. Pour une PME, quelques jours d'arrêt suffisent à mettre en péril les commandes, la paie et la relation avec les clients.
L'hameçonnage amélioré par l'IA
Les courriels frauduleux pleins de fautes deviennent rares. Le Centre canadien pour la cybersécurité note que les agents conversationnels alimentés par l'IA permettent de rédiger des courriels d'hameçonnage convaincants, ce qui met ces attaques à la portée de criminels peu qualifiés. Un faux courriel de fournisseur qui demande de changer les coordonnées bancaires, rédigé dans un français impeccable, est aujourd'hui très crédible.
Ce que la Loi 25 exige en cas d'incident
Au Québec, la Loi sur la protection des renseignements personnels dans le secteur privé, modifiée par la Loi 25, encadre ce que vous devez faire si des renseignements personnels sont perdus, volés ou consultés sans autorisation :
- prendre des mesures pour réduire le risque de préjudice et éviter qu'un incident semblable se reproduise ;
- aviser la Commission d'accès à l'information et les personnes concernées lorsque l'incident présente un risque de préjudice sérieux ;
- tenir un registre de tous les incidents de confidentialité, même ceux qui ne sont pas déclarés.
Les sanctions administratives peuvent atteindre 10 millions de dollars ou 2 % du chiffre d'affaires mondial. Les données de vos employés, de vos candidats et de vos clients sont toutes visées.
Sept mesures prioritaires pour une PME
- Activer l'authentification multifacteur sur la messagerie, les accès à distance et les comptes administrateurs. C'est la mesure la plus rentable contre le vol de mots de passe.
- Faire des sauvegardes testées et isolées. Une sauvegarde accessible depuis votre réseau peut être chiffrée en même temps que vos fichiers. Gardez une copie hors ligne et testez la restauration régulièrement.
- Appliquer les mises à jour rapidement sur les postes, les serveurs, les pare-feu et les logiciels exposés à Internet.
- Former vos employés à reconnaître l'hameçonnage, avec des exemples réalistes et des simulations. Instaurez une règle simple : toute demande de changement de coordonnées bancaires se confirme par téléphone.
- Limiter les accès au strict nécessaire. Un employé n'a pas besoin des droits d'administrateur pour faire son travail.
- Préparer un plan de réponse aux incidents : qui appeler, comment isoler un poste infecté, comment communiquer avec les clients et la Commission d'accès à l'information.
- Encadrer les outils d'IA utilisés par vos équipes. Des données de clients copiées dans un outil grand public peuvent constituer un incident de confidentialité.
Pour aller plus loin, la norme ISO/IEC 27001 offre un cadre reconnu pour gérer la sécurité de l'information de façon structurée. Toutes les PME n'ont pas besoin de la certification, mais s'en inspirer aide à prioriser les efforts.
Comment 2AF peut vous aider
- 2AF Neurotech réalise l'audit de vos systèmes et vous remet un plan d'action priorisé. Nous vous accompagnons aussi dans la mise en œuvre d'une démarche inspirée de la norme ISO/IEC 27001 et dans la réponse aux incidents.
- 2AF Solutions RH et Recru2af.com vous aident à recruter les profils TI et cybersécurité qui manquent à votre équipe, au Québec comme à l'étranger.
- Yenilik conçoit des agents IA avec des accès et des règles définis dès le départ : l'automatisation ne doit pas ouvrir de nouvelles failles.
Sources : Centre canadien pour la cybersécurité, Évaluation des cybermenaces nationales 2025-2026 ; Commission d'accès à l'information du Québec. Cet article ne constitue pas un avis juridique.