En 2025, le piratage de comptes est devenu la première menace cyber pour les entreprises françaises, représentant 21 % des demandes d'assistance recensées par Cybermalveillance.gouv.fr — en hausse de 52 % sur un an. La réalité est simple : avant de déployer un ransomware sophistiqué, les attaquants commencent par voler un identifiant. Un mot de passe réutilisé, une session Microsoft 365 sans second facteur, un compte prestataire jamais désactivé — et c'est la porte d'entrée. Cet article présente un plan d'action concret par paliers : MFA, gestionnaire de mots de passe d'équipe, SSO et Zero Trust accessible. Sans jargon inutile, avec des coûts réels.
Pourquoi les accès sont le premier vecteur d'attaque des PME
Le rapport d'activité 2025 de Cybermalveillance.gouv.fr est sans équivoque : avec 41 000 demandes d'assistance liées au piratage de comptes et une croissance de 52 % en un an, c'est le point d'entrée numéro un pour les attaquants qui ciblent les entreprises. Le phishing, second motif d'assistance (16 % des cas, +29 %), est lui-même dans la grande majorité des cas un mécanisme pour voler des identifiants.
De son côté, le Panorama de la cybermenace 2025 de l'ANSSI souligne que les attaquants détournent de plus en plus des outils d'accès à distance légitimes comme vecteur de compromission initiale. Une fois un compte VPN ou une session cloud obtenu, ils se déplacent latéralement dans le SI sans déclencher d'alarme.
Trois facteurs expliquent la vulnérabilité particulière des PME sur ce point :
Pas de politique de mots de passe appliquée. Les collaborateurs réutilisent les mêmes identifiants sur plusieurs services, personnels et professionnels confondus.
MFA absent ou partiel. Selon les données compilées par plusieurs prestataires de sécurité, 62 % des PME n'ont pas encore déployé l'authentification multifacteur sur leurs accès professionnels clés.
Comptes orphelins non désactivés. Un ancien prestataire, un salarié parti en janvier : ses accès sont encore actifs en juin. C'est une porte ouverte que les attaquants savent exploiter.
À cela s'ajoute un enjeu réglementaire : la directive NIS 2 (transposition française attendue à l'été 2026) impose explicitement l'authentification multifacteur sur les accès sensibles. Si vous êtes dans le périmètre — et plus de 15 000 entités françaises le sont — la gestion des accès n'est plus optionnelle. Pour aller plus loin sur les obligations NIS 2, consultez notre article NIS 2 pour PME : ce qu'il faut faire en 2026 sans paniquer.
Décryptage : les quatre couches de protection à déployer
Palier 1 — Le MFA partout, dès aujourd'hui
L'authentification multifacteur (MFA) est la mesure de sécurité au meilleur ratio coût/efficacité qui existe. Microsoft a documenté le fait que 99,9 % des comptes compromis dans ses environnements n'avaient pas de second facteur activé. C'est le premier chantier, non négociable.
Par ordre de priorité pour une PME :
Messagerie d'entreprise (Microsoft 365 ou Google Workspace) — c'est le sésame vers tous les autres services via le mot de passe oublié.
VPN et accès distants — vecteur favori des attaquants pour pénétrer le réseau interne.
Applications métier critiques — ERP, CRM, espace de stockage cloud (SharePoint, Drive).
Accès administrateurs et comptes à privilèges — a fortiori les comptes IT : un admin sans MFA est un risque maximal.
Sur la méthode MFA à choisir : l'application d'authentification (Microsoft Authenticator, Google Authenticator, Authy) est préférable au SMS, qui reste vulnérable aux attaques par transfert de numéro (SIM swapping). Pour les accès très sensibles, les clés hardware FIDO2 (YubiKey, etc.) offrent le niveau le plus élevé — comptez entre 30 et 60 € par clé.
Palier 2 — Le gestionnaire de mots de passe d'équipe
Le MFA protège l'authentification, mais il ne résout pas le problème amont : des mots de passe faibles ou réutilisés. Un gestionnaire de mots de passe d'équipe adresse ce problème à la racine, tout en ajoutant une couche de gouvernance (qui accède à quoi, partage contrôlé, révocation à la sortie d'un collaborateur).
Comparatif des options principales pour une PME :
Bitwarden Teams (4 $/utilisateur/mois) — open source, auditable, hébergement UE disponible, intégration SSO incluse. Excellent rapport qualité/prix pour 10 à 250 salariés.
1Password Business (7,99 $/utilisateur/mois) — interface plus aboutie, logs d'activité avancés, adapté aux équipes moins techniques.
Dashlane Business — hébergement en France, bon support francophone, tarif sur devis au-delà de 50 utilisateurs.
Pour une PME de 20 personnes, le budget annuel d'un gestionnaire de mots de passe d'équipe se situe entre 960 € et 1 920 € — soit moins que le coût d'une journée d'intervention post-incident.
Palier 3 — Le SSO pour rationaliser et consolider
Le Single Sign-On (SSO) permet à un collaborateur de s'authentifier une seule fois (avec MFA) pour accéder à l'ensemble des applications de l'entreprise. C'est une mesure à double bénéfice : meilleure expérience utilisateur — moins de friction, donc moins de contournements — et centralisation de la gestion des accès (on active ou désactive tout depuis un seul point).
Pour les PME déjà sous Microsoft 365, Entra ID (ex-Azure AD) offre le SSO en natif à partir des offres Business Premium. Pour un environnement multi-cloud ou multi-SaaS, des solutions comme Okta ou JumpCloud permettent de fédérer l'ensemble des accès autour d'un annuaire centralisé.
L'apport concret du SSO en matière de sécurité : la révocation d'accès lors d'un départ de collaborateur se fait en une seule action, sur l'annuaire central, avec effet immédiat sur toutes les applications. Fini le compte orphelin oublié sur une application SaaS secondaire.
Palier 4 — Les principes Zero Trust, traduits pour une PME
Le Zero Trust est souvent présenté comme une architecture complexe réservée aux grandes entreprises. Dans la pratique, ses principes fondamentaux sont accessibles à toute PME — l'ANSSI a d'ailleurs publié en juin 2025 un guide dédié à sa mise en œuvre progressive.
Les trois principes opérationnels à retenir :
Ne jamais faire confiance implicitement. Même un utilisateur sur le réseau interne doit s'authentifier. La frontière réseau ne suffit plus — trop d'employés travaillent depuis l'extérieur ou depuis des appareils personnels.
Moindre privilège. Chaque utilisateur n'accède qu'aux ressources strictement nécessaires à sa fonction. Un commercial n'a pas besoin d'accéder aux sauvegardes ; un technicien terrain n'a pas besoin de voir la comptabilité.
Vérification continue du contexte. L'accès conditionnel (disponible dans Entra ID) permet de conditionner l'authentification au type d'appareil, à la localisation géographique, à l'heure de connexion. Connexion depuis un pays inhabituel à 3h du matin : blocage automatique.
Pour une PME de 200 postes, un chantier Zero Trust de base (MFA partout + accès conditionnel + segmentation des droits) représente un investissement de l'ordre de 40 000 à 80 000 € sur deux ans, selon le niveau de legacy et le degré d'automatisation souhaité.
L'approche Eden Solutions sur la sécurisation des accès
Chez Eden Solutions, nous intervenons sur la sécurisation des accès dans le cadre de nos missions d'audit et de conseil IT. Notre approche se déroule en trois phases :
Cartographie des accès existants. Inventaire de tous les comptes actifs (collaborateurs, prestataires, comptes de service), croisé avec les rôles réels. Les comptes orphelins sont immédiatement identifiés.
Priorisation par criticité. On ne peut pas tout sécuriser en même temps. Nous classons les accès par impact potentiel — ceux qui donnent accès aux données financières, aux clients, aux systèmes de production en priorité absolue.
Déploiement progressif avec formation embarquée. Le MFA le plus sécurisé est celui que les équipes utilisent vraiment. Nous privilégions une montée en puissance palier par palier pour éviter la résistance au changement et les contournements.
Nous construisons également des connecteurs d'intégration sur mesure lorsque les applications métier internes (ERP propriétaire, outils industriels) ne supportent pas nativement le SSO ou le SAML — ce qui est fréquent dans les environnements PME avec du legacy.
Checklist pratique : 10 actions par palier de maturité
Palier 1 — Fondations (0-3 mois, budget < 3 000 €/an)
Activer le MFA sur toutes les boîtes mail professionnelles
Déployer un gestionnaire de mots de passe d'équipe (Bitwarden Teams ou équivalent)
Inventorier et désactiver tous les comptes orphelins (ex-salariés, prestataires terminés)
Définir et communiquer une politique de mots de passe (longueur minimale, pas de réutilisation)
Palier 2 — Consolidation (3-9 mois, budget 5 000-20 000 €)
Étendre le MFA au VPN, aux accès distants et aux applications métier critiques
Déployer le SSO sur les applications SaaS principales (via Entra ID, Okta ou équivalent)
Mettre en place des rôles et groupes d'accès différenciés (principe de moindre privilège)
Palier 3 — Zero Trust (9-24 mois, budget 20 000-80 000 €)
Activer l'accès conditionnel (géolocalisation, type d'appareil, horaires)
Segmenter le réseau interne pour limiter les déplacements latéraux en cas de compromission
Mettre en place un SIEM ou une supervision des accès avec alertes sur comportements anormaux
FAQ — Sécuriser les accès de sa PME en 2026
Le MFA ne suffit-il pas à lui seul ?
Le MFA est indispensable mais pas suffisant. Des techniques comme le MFA fatigue (bombardement de notifications push jusqu'à ce que l'utilisateur valide par erreur) ou le phishing en temps réel permettent à des attaquants sophistiqués de contourner certaines formes de MFA. C'est pourquoi la combinaison MFA (de préférence via application ou clé hardware) + gestionnaire de mots de passe + principe de moindre privilège forme une défense nettement plus robuste.
Est-ce que le Zero Trust est vraiment accessible à une PME de 30 personnes ?
Oui, si on traduit le Zero Trust en actions concrètes plutôt qu'en architecture de grand compte. Pour une PME de 30 personnes sur Microsoft 365 Business Premium, l'accès conditionnel, le MFA, la gestion des groupes d'accès et la révocation centralisée sont disponibles nativement. Le coût mensuel supplémentaire est de l'ordre de 4 à 6 € par utilisateur. L'enjeu principal n'est pas le budget mais la configuration initiale et la formation des équipes.
La MFA est-elle obligatoire dans le cadre de NIS 2 ?
Pour les entités dans le périmètre NIS 2 (dont la liste française sera finalisée avec la loi Résilience attendue à l'été 2026), l'authentification multifacteur sur les accès sensibles est explicitement mentionnée parmi les mesures techniques obligatoires. L'absence de MFA sur des accès critiques peut constituer un manquement susceptible d'entraîner des sanctions (jusqu'à 7 M€ ou 1,4 % du CA pour les entités importantes). Même hors périmètre NIS 2, les contrats d'assurance cyber exigent de plus en plus souvent le MFA comme condition de couverture.
Quel est le délai réaliste pour déployer le MFA sur 50 utilisateurs ?
Pour un environnement Microsoft 365 ou Google Workspace, le déploiement technique du MFA prend entre 1 et 3 jours, selon la complexité des exceptions à gérer (équipements partagés, salles de réunion, comptes de service). La phase la plus longue est l'accompagnement au changement : communication, session de formation courte, hotline les premiers jours. Sur 50 utilisateurs, comptez 2 à 3 semaines pour une bascule propre et sans régression.
Faut-il un prestataire externe ou peut-on faire ça en interne ?
Le palier 1 (MFA sur les mails + gestionnaire de mots de passe) est à portée d'un responsable IT interne bien guidé, avec une documentation claire. À partir du palier 2 (SSO, intégration d'applications métier, règles d'accès conditionnel), l'intervention d'un prestataire spécialisé réduit significativement le risque de mauvaise configuration — qui peut paradoxalement créer de nouvelles failles. Pour les environnements avec des applications sur mesure ou du legacy industriel, l'accompagnement externe est souvent indispensable.
En 2025, le piratage de comptes représente 21 % des cyberincidents professionnels en France, avec une progression de 52 % en un an. La bonne nouvelle : les mesures les plus efficaces — MFA, gestionnaire de mots de passe d'équipe, révocation centralisée — sont accessibles dès aujourd'hui pour quelques euros par utilisateur et par mois. Le Zero Trust n'est pas une destination lointaine : c'est la mise en application progressive de ces principes, à votre rythme et selon votre budget.
Eden Solutions accompagne les PME franciliennes dans l'audit et le durcissement de leur gestion des accès, de la cartographie initiale jusqu'au déploiement opérationnel. Contactez-nous pour un premier échange sans engagement — nous vous proposons une analyse de votre situation en 30 minutes.
