Il y a un moment très particulier dans beaucoup d’incidents cyber.
Ce n’est pas le moment où tout s’écroule.
Ce n’est pas non plus le moment où un écran rouge apparaît avec une demande de rançon.
Non. Le moment le plus trompeur, c’est souvent celui d’avant.
Celui où tout le monde pense encore qu’il s’agit simplement d’un bug un peu bizarre.
Un utilisateur n’arrive plus à se connecter.
Un collègue dit qu’il “n’a jamais reçu” un message.
Une boîte mail semble calme alors qu’elle devrait bouger.
Un partage réseau se comporte étrangement.
Un compte envoie quelque chose qu’il n’aurait jamais dû envoyer.
Pris séparément, ces signes n’ont rien de spectaculaire.
Et c’est exactement ce qui les rend dangereux.
Voici six anomalies que beaucoup de PME classent trop vite dans la case “petit problème technique”, alors qu’elles méritent parfois qu’on les regarde beaucoup plus sérieusement.
1. “Je reçois des demandes MFA alors que je n’essaie pas de me connecter”
C’est probablement l’un des signaux les plus mal compris.
L’utilisateur pense souvent à un simple dysfonctionnement :
- une appli qui bug ;
- un téléphone qui resynchronise ;
- un compte qui “redemande” son accès.
Parfois, oui.
Mais parfois non.
Quand plusieurs demandes MFA arrivent sans raison, surtout en rafale, il faut envisager une tentative réelle d’accès. Quelqu’un a peut-être déjà le mot de passe et essaye simplement d’obtenir le “oui” de trop.
Le vrai risque, c’est la fatigue.
Au bout du troisième ou quatrième pop-up, certains finissent par valider pour “faire disparaître le message”.
Et c’est précisément ce que l’attaquant attend.
2. “Certains mails disparaissent ou n’arrivent jamais”
Au début, cela ressemble souvent à un souci de messagerie.
Un client dit avoir répondu, mais vous n’avez rien vu.
Un fournisseur attend un retour sur un message qui n’existe nulle part dans votre boîte.
Un collaborateur vous assure vous avoir transféré quelque chose, mais impossible de remettre la main dessus.
Bien sûr, il peut y avoir un filtre ou une erreur de classement.
Mais ce type de symptôme mérite aussi une autre question :
quelqu’un a-t-il créé une règle que l’utilisateur ne connaît pas ?
Dans les compromissions de messagerie, les règles invisibles ou discrètes sont un classique. Elles servent à déplacer, masquer, supprimer ou rediriger certains échanges pour que la victime continue à travailler… sans voir ce qui compte vraiment.
3. “Le compte semble s’être connecté tout seul”
C’est le genre de phrase qui revient souvent après coup.
Un appareil inhabituel.
Un navigateur jamais utilisé.
Une session ouverte à une heure étrange.
Une activité qui ne colle pas aux habitudes du collaborateur.
Le problème, c’est qu’on banalise facilement ce type de détail :
- “j’ai dû me connecter depuis mon téléphone” ;
- “c’est peut-être une synchro” ;
- “ça doit être un cache ou une session qui traîne”.
Parfois, oui.
Mais quand le comportement ne ressemble pas aux usages normaux, il faut aller voir plus loin. Les comptes compromis ne se révèlent pas toujours par un blocage brutal. Ils se révèlent souvent par une petite incohérence que personne n’a envie de traiter comme urgente.
4. “Un fichier a bougé, mais personne ne sait pourquoi”
Dans un environnement partagé, on finit vite par accuser l’habitude :
- “quelqu’un l’a sûrement déplacé” ;
- “ça a dû être renommé” ;
- “c’est peut-être juste un utilisateur qui s’est trompé”.
Là encore, c’est parfois vrai.
Mais pas toujours.
Quand des fichiers commencent à se déplacer, se dupliquer, se synchroniser bizarrement ou apparaissent dans des emplacements inattendus, ce n’est pas seulement un sujet de rangement. Cela peut révéler :
- une activité anormale sur un compte ;
- un accès non prévu à un espace partagé ;
- un outil tiers qui interagit avec les données ;
- ou, dans le pire des cas, une préparation d’exfiltration ou de sabotage.
Ce qui compte, ce n’est pas seulement le fichier qui a bougé.
C’est le fait que personne ne sait expliquer pourquoi.
5. “Le poste rame sans raison claire”
Là aussi, on pense d’abord à tout sauf à une compromission.
Un manque de RAM.
Une mise à jour.
Un navigateur trop chargé.
Une appli qui tourne mal.
Mais lorsqu’un poste ralentit brutalement sans cause évidente, surtout si cela s’accompagne d’autres signaux faibles — réseau inhabituel, outils de sécurité silencieux, fenêtres qui s’ouvrent ou se ferment, tâches planifiées inconnues — il faut arrêter de penser uniquement “performance”.
Un poste compromis ne se met pas toujours à hurler.
Il peut aussi juste devenir… un peu étrange.
Et ce “un peu étrange” est parfois la seule fenêtre qu’on a avant la vraie casse.
6. “Le client a reçu un message bizarre venant de nous”
C’est souvent le moment où tout le monde comprend que le problème n’était pas un bug.
Un client reçoit une relance inhabituelle.
Un fournisseur voit passer une demande de changement d’IBAN.
Un contact signale un e-mail qui “avait l’air vrai, mais un peu étrange”.
Quand on en arrive là, l’incident a déjà dépassé le stade du détail technique.
La compromission est devenue visible à l’extérieur.
Et c’est justement ce qu’il faut éviter.
Parce qu’une fois la confiance touchée, le sujet n’est plus seulement informatique. Il devient commercial, réputationnel et parfois juridique.
Le vrai problème : chaque anomalie, seule, paraît anodine
C’est ça le piège.
Aucune de ces situations ne ressemble forcément à une catastrophe à elle seule.
Mais quand plusieurs se croisent — même sur quelques jours — le doute ne doit plus être traité comme un simple inconfort technique.
Le vrai travail, en cybersécurité, ce n’est pas seulement de réagir à l’alerte évidente.
C’est de savoir reconnaître qu’une série de petits détails raconte peut-être déjà une histoire plus grave.
Ce qu’une PME devrait faire quand le doute commence
Pas besoin de lancer une opération militaire à la première bizarrerie.
Mais il faut au moins faire trois choses :
- noter ce qui paraît anormal au lieu de l’oublier ;
- vérifier si d’autres signaux existent au même moment ;
- ne pas traiter trop vite le sujet comme un simple bug si le contexte devient incohérent.
Ce réflexe simple change beaucoup de choses.
Parce qu’en matière d’incident, ce n’est pas toujours le premier signe qui est décisif. C’est le moment où quelqu’un accepte enfin de relier les points.
Conclusion
Dans une PME, les incidents graves commencent rarement avec un grand spectacle.
Ils commencent souvent par une petite anomalie que tout le monde trouve agaçante, mais pas assez grave pour s’y arrêter vraiment.
Et pourtant, c’est parfois là que tout se joue.
Le vrai enjeu n’est donc pas de devenir paranoïaque à chaque bug.
Le vrai enjeu, c’est de savoir reconnaître le moment où un “petit problème bizarre” mérite enfin d’être traité comme autre chose qu’un simple bug.
Parce qu’au fond, une compromission ne commence pas toujours par une attaque visible.
Elle commence très souvent par un détail que personne n’a voulu prendre au sérieux.
