Le 8 avril 2025, les données de près de 2 millions de salariés et d'environ 500 000 entreprises marocaines se sont retrouvées en ligne après une cyberattaque visant la CNSS (Médias24). La plupart de ces entreprises n'avaient rien fait de mal. Leurs données étaient simplement chez un tiers.
C'est la réalité de la cybersécurité aujourd'hui : vous pouvez être touché par votre propre réseau, par un fournisseur, ou par un simple e-mail ouvert un lundi matin. Et la majorité des entreprises n'y sont pas prêtes : seulement 22 % des PME marocaines disposent d'un plan de réponse aux incidents, selon des données citées par Finances News Hebdo.
En bref : la plupart des attaques passent par des portes simples (un mot de passe volé, un logiciel pas à jour, un fournisseur mal protégé, un faux e-mail). Six mesures de base, un plan d'urgence d'une page et quelques règles avec vos prestataires suffisent à fermer l'essentiel de ces portes.
1. Les menaces qui visent vraiment les entreprises
Le rançongiciel. Un logiciel chiffre vos fichiers et vos serveurs, puis l'attaquant réclame une rançon pour les débloquer, souvent en menaçant de publier vos données. Il est présent dans 44 % des violations de données analysées par le rapport Verizon 2025. Pour une usine, cela veut dire des machines pilotées par informatique à l'arrêt, des commandes bloquées et une facturation impossible.
Le phishing ciblé et la fraude au RIB. L'attaquant se fait passer pour votre dirigeant ou pour un fournisseur connu, et demande un virement urgent ou annonce un « changement de coordonnées bancaires ». Cette fraude touche des entreprises marocaines depuis des années (Médias24). Avec les noms, postes et salaires exposés lors de la fuite de la CNSS, ces messages deviennent beaucoup plus crédibles.
L'attaque par un fournisseur. Votre prestataire informatique, votre hébergeur ou votre éditeur de logiciel a souvent un accès à votre système. S'il est compromis, vous l'êtes aussi. La part des violations impliquant un tiers a doublé en un an, de 15 % à 30 %, selon Verizon.
Le point commun : l'humain. Environ 60 % des violations impliquent une action humaine, comme un clic sur un lien piégé ou un mot de passe réutilisé (DomainTools, d'après Verizon).
2. Les six mesures de base à mettre en place d'abord
Avant d'acheter des outils, fermez les portes les plus utilisées. Aucune de ces mesures n'est réservée aux grandes entreprises.
| Mesure | Ce qu'elle bloque | Par où commencer |
| Authentification multifacteur (MFA) | Un mot de passe volé ne suffit plus pour entrer | Messagerie, accès à distance (VPN), banque en ligne, comptes administrateurs |
| Mises à jour systématiques | Les failles connues, exploitées en quelques jours | Pare-feu, VPN et serveurs exposés à Internet en priorité |
| Sauvegardes isolées et testées | Le rançongiciel qui chiffre aussi vos sauvegardes | Trois copies, sur deux supports, dont une hors ligne ou hors site |
| Séparation du réseau | La propagation d'un poste infecté à toute l'entreprise | Séparer bureaux, production et Wi-Fi invités |
| Droits limités | Un compte piraté qui ouvre toutes les portes | Personne ne travaille au quotidien avec un compte administrateur |
| Sensibilisation et règle du contre-appel | Le faux e-mail et la fraude au RIB | Tout changement de RIB ou virement urgent se confirme par téléphone, au numéro habituel |
Un détail qui fait la différence : une sauvegarde qu'on n'a jamais restaurée n'est pas une sauvegarde. Faites un test de restauration au moins une fois par trimestre, et notez combien de temps il prend.
3. Les outils qui font la différence, selon votre taille
Les outils renforcent les bonnes pratiques, ils ne les remplacent pas. Voici ce qui est raisonnable selon la taille de votre structure.
| Outil | À quoi il sert | Pour qui |
| Antivirus moderne ou EDR | Détecter et bloquer un comportement suspect sur un poste ou un serveur, pas seulement les virus connus | Toutes les entreprises, l'EDR dès quelques dizaines de postes |
| Protection de la messagerie | Filtrer le phishing, les pièces jointes piégées et l'usurpation de votre nom de domaine (réglages SPF, DKIM et DMARC) | Toutes les entreprises |
| Pare-feu nouvelle génération | Contrôler ce qui entre et sort de votre réseau, et cloisonner les zones | Dès qu'il y a un réseau d'entreprise et des accès à distance |
| Gestion des identités et des accès (IAM) | Savoir qui a accès à quoi, et couper un accès en une fois au départ d'un salarié | PME multi-sites, entreprises avec beaucoup d'applications |
| Supervision des journaux (SIEM ou SOC externalisé) | Repérer une intrusion en cours avant qu'elle ne fasse des dégâts | Entreprises moyennes et grandes, ou fournisseurs de grands comptes |
Pour une PME, la protection de la messagerie et la configuration de DMARC sur votre domaine sont souvent le meilleur rapport efficacité et coût. Elles empêchent un escroc d'envoyer des e-mails qui semblent venir de chez vous.
4. Le plan de réponse : les premières heures décident de tout
Le jour d'une attaque, personne n'a le temps de réfléchir. Un plan d'une page, imprimé sur papier (vos ordinateurs seront peut-être inutilisables), répond à ces questions à l'avance.
- Isoler. Débrancher du réseau les postes et serveurs touchés, sans les éteindre : leur mémoire contient des traces utiles à l'enquête.
- Alerter. Une liste de noms et de numéros : votre responsable informatique, votre prestataire, la direction, votre banque si des virements sont en jeu.
- Ne pas payer dans la précipitation. Payer une rançon ne garantit ni la récupération des données ni leur non-publication. Décidez avec des spécialistes, jamais seul.
- Changer les accès. Modifier les mots de passe critiques depuis un poste sain, pas depuis une machine potentiellement compromise.
- Restaurer. Repartir d'une sauvegarde saine, dans l'ordre de priorité défini à l'avance : ce qui permet de produire, de livrer et de facturer d'abord.
- Déclarer. Les administrations et les infrastructures d'importance vitale doivent déclarer immédiatement tout incident à la DGSSI, en vertu de l'article 8 de la loi 05-20 (TelQuel). Pour les autres entreprises, déposez plainte auprès de la police ou signalez les faits sur e-blagh.ma, la plateforme de la DGSN. Si des données personnelles de clients ou de salariés ont fuité, renseignez-vous auprès de la CNDP sur vos obligations.
- Communiquer. Un message simple et préparé à l'avance pour vos équipes, vos clients et vos fournisseurs. Prévenez-les vite : vos contacts peuvent être la prochaine cible d'e-mails frauduleux envoyés en votre nom.
Un plan non testé reste théorique. Une fois par an, faites un exercice d'une heure autour de la table : « nos serveurs sont chiffrés ce matin, que fait-on ? »
5. Vos fournisseurs, votre plus grande faiblesse
Votre sécurité dépend aussi de celle de votre prestataire informatique, de votre hébergeur, de votre éditeur de logiciel de gestion et de tous ceux qui se connectent à votre système.
Avant de signer :
- demandez leurs preuves de sécurité : certification ISO 27001, rapport d'audit récent, politique de sauvegarde ;
- demandez où sont hébergées vos données et comment elles sont sauvegardées.
Dans le contrat :
- un délai maximum pour vous prévenir en cas d'incident chez eux ;
- un droit d'audit ou de contrôle ;
- la restitution et la suppression de vos données en fin de contrat ;
- la coupure de leurs accès le jour où la mission se termine.
Au quotidien :
- des comptes nominatifs pour chaque intervenant, avec authentification multifacteur, jamais un compte partagé ;
- des accès limités au strict nécessaire, et ouverts seulement pendant l'intervention quand c'est possible ;
- une liste à jour de tous les tiers qui ont un accès, revue au moins deux fois par an.
L'inverse est aussi vrai : si vous fournissez une banque, un grand industriel ou une administration, attendez-vous à recevoir ces mêmes questions. Les avoir réglées chez vous devient un argument commercial.
Trouver les bons prestataires avec CorpoSup
Sur CorpoSup, la catégorie Informatique, Sécurité & Services aux entreprises vous permet de comparer des fournisseurs vérifiés au Maroc et de demander plusieurs devis en une seule demande : pare-feu, antivirus et EDR, solutions de sauvegarde, sécurisation de la messagerie, audit.
Notre conseil : joignez à votre demande la liste des questions de la partie 5. Vous comparerez les prestataires sur leur sérieux, pas seulement sur leur prix.
Une question ? Appelez-nous au +212 702 800 800 ou déposez votre demande sur corposup.com.
Questions fréquentes
Une PME est-elle vraiment une cible ? Oui. Les attaquants cherchent d'abord des portes faciles, pas des noms connus. Une PME mal protégée est aussi un point d'entrée vers ses clients plus importants.
Par quoi commencer avec un petit budget ? Par l'authentification multifacteur sur la messagerie, les mises à jour, une sauvegarde hors ligne testée et la règle du contre-appel pour tout changement de RIB. Ces quatre mesures coûtent peu et bloquent une grande partie des attaques courantes.
Que dit la loi 05-20 pour une entreprise privée ? Elle impose surtout des obligations aux administrations et aux infrastructures d'importance vitale, dont la déclaration immédiate des incidents à la DGSSI. Une entreprise qui travaille pour ces organismes peut se voir demander, par contrat, des garanties de sécurité.
Comment vérifier un changement de RIB d'un fournisseur ? Ne répondez jamais au message qui l'annonce. Appelez votre contact habituel au numéro que vous connaissez déjà, pas à celui écrit dans l'e-mail, et faites valider le changement par deux personnes avant tout virement.