Cybersécurité PME en Nouvelle-Calédonie : 10 mesures prioritaires

Le 18 août 2024, le fournisseur d’accès Lagoon a subi une attaque par rançongiciel. Selon Les Nouvelles Calédoniennes, environ 40 % de ses abonnés ont été privés d’internet pendant près de 48 heures, la messagerie est restée indisponible deux semaines et 850 Go de données ont été dérobés.

Trois mois plus tôt, un fournisseur d’accès calédonien avait déjà subi une attaque par déni de service, selon l’ANSSI. En octobre 2026, la responsable du cluster numérique Open NC le résumait ainsi : depuis les émeutes, « nous sommes particulièrement vulnérables et de plus en plus ciblés ». Le sujet n’est donc plus l’affaire des seuls grands comptes. Voici les mesures qui comptent le plus, par ordre de priorité.

Ce que l’attaque contre Lagoon a appris aux entreprises

Les professionnels ont été touchés aussi. Environ 1 % des clients professionnels de Lagoon ont vu leurs serveurs hébergés inaccessibles pendant trois semaines. Pour une entreprise dont la facturation ou le fichier clients tourne sur ces serveurs, cela représente trois semaines sans outil de travail.

Trois leçons pour une PME :

• votre prestataire peut être touché : gardez une copie de vos données ailleurs que chez lui ;
• la messagerie est un point fragile : prévoyez un autre moyen de joindre vos clients et vos fournisseurs ;
• la directive européenne NIS 2 sur la cybersécurité n’était « pas encore applicable en Nouvelle-Calédonie », rappelait LNC en octobre 2024 : votre protection dépend d’abord de vos propres choix.

Les trois menaces qui touchent vraiment les PME

Les données locales sont rares. Dans le Baromètre numérique 2021 de l’Observatoire numérique de la Nouvelle-Calédonie, le plus récent trouvé, 14 % des entreprises connectées déclaraient avoir déjà subi une cyberattaque, et 17 % seulement de celles-ci avaient porté plainte. Seules 27 % disposaient d’une sauvegarde externalisée.

À l’échelle nationale, cybermalveillance.gouv.fr a assisté plus de 500 000 victimes en 2025, soit 20 % de plus qu’en 2024. Trois menaces concernent directement une PME :

• l’hameçonnage : de faux messages imitent une banque, un fournisseur ou un collègue, parfois pour obtenir un changement de coordonnées bancaires ; c’est la première menace tous publics confondus, en hausse de 70 % ;
• le piratage de compte : la messagerie ou un réseau social passe aux mains d’un tiers, souvent après un hameçonnage ; c’est la première menace pour les professionnels, en hausse de 45 % ;
• le rançongiciel : les fichiers sont chiffrés contre rançon ; moins fréquent, il peut arrêter l’activité pendant des semaines, comme l’a montré le cas Lagoon.

Cybersécurité PME en Nouvelle-Calédonie : dix mesures prioritaires

Ces mesures reprennent le guide de l’ANSSI pour les TPE et PME et les recommandations de cybermalveillance.gouv.fr. La plupart demandent du temps plus que du budget.

1. Activer la double authentification sur la messagerie, la banque en ligne et les outils en ligne.
2. Utiliser des mots de passe d’au moins 12 caractères, différents pour chaque service, rangés dans un gestionnaire de mots de passe.
3. Installer les mises à jour dès qu’elles sont proposées, et remplacer le matériel qui n’en reçoit plus.
4. Sauvegarder régulièrement, avec au moins une copie déconnectée du réseau.
5. Donner à chacun un compte sans droits d’administration, ces droits étant réservés à la configuration.
6. Tenir la liste des comptes et des accès, et les révoquer au départ de chaque salarié.
7. Vérifier par téléphone, à un numéro déjà connu, toute demande de changement de coordonnées bancaires.
8. Sensibiliser l’équipe à l’hameçonnage et remettre une charte informatique à chaque nouvel arrivant.
9. Garder un antivirus et un pare-feu actifs sur chaque poste.
10. Préparer une fiche réflexe en cas d’incident, avec les contacts à appeler.

Le point de départ, pour l’ANSSI, est l’inventaire de vos postes, comptes et logiciels : on ne protège bien que ce que l’on connaît.

Les sauvegardes : la mesure qui sauve

Face à un rançongiciel, une sauvegarde intacte fait la différence entre quelques jours de remise en route et une perte définitive. Les attaquants cherchent aussi à détruire les sauvegardes en ligne, rappelle cybermalveillance.gouv.fr : il en faut une copie déconnectée.

L’ANSSI recommande la règle « 3-2-1 » :

• trois copies de sauvegarde ;
• sur deux supports différents ;
• dont une hors ligne.

Elle demande aussi des tests de restauration réguliers. Une sauvegarde jamais restaurée reste une hypothèse.

Le fondateur de BFO Partners travaille sur l’hébergement de systèmes d’information de santé depuis 2011 et a dirigé un opérateur de cloud calédonien de 2015 à 2022. La question décisive n’est pas « avons-nous une sauvegarde ? », mais « en combien de temps repartons-nous ? ». Posez-la à votre prestataire et faites écrire la réponse.

Former l’équipe au facteur humain

Après l’attaque, Lagoon a fait de la sensibilisation des employés et des clients un axe majeur contre l’hameçonnage, selon LNC. Open NC fait le même constat : apprendre aux équipes à repérer les liens suspects est une étape clé.

Une formation utile reste simple :

• une session courte, avec de vrais messages reçus par l’entreprise ;
• une règle claire : signaler un doute ou un clic malheureux est encouragé, comme le recommande l’ANSSI ;
• une double validation pour les virements et les changements de coordonnées bancaires ;
• un rappel à l’arrivée de chaque nouveau salarié.

Prestataire, contrat, assurance : qui fait quoi

Sans service informatique, la sécurité repose souvent sur un prestataire. Le contrat doit préciser ce qu’il prend en charge et ce qui reste de votre ressort :

• qui installe les mises à jour, et à quel rythme ;
• où sont les sauvegardes, qui les teste et en combien de temps une restauration est possible ;
• le délai d’intervention en cas d’incident, y compris le week-end ;
• la réversibilité : comment récupérer vos données si vous changez de prestataire.

cybermalveillance.gouv.fr conseille de choisir des prestataires à l’expertise reconnue, labellisés ou certifiés. L’ANSSI invite aussi à vérifier que votre police d’assurance couvre les risques cyber les plus redoutés pour l’entreprise, en lisant les exclusions.

Faire ce point avant de signer ou de renouveler un contrat est l’objet d’un diagnostic au forfait.

Le plan de réaction en cas d’incident

Le jour d’une attaque, personne n’a le temps de chercher les bons numéros. Une fiche d’une page, imprimée et fondée sur les consignes de l’ANSSI, suffit :

1. Déconnecter d’internet les postes ou le réseau touchés, sans éteindre ni modifier les machines.
2. Prévenir le dirigeant, le prestataire informatique et l’assureur.
3. Ne pas payer la rançon.
4. Porter plainte auprès de la police ou de la gendarmerie, en conservant les preuves. En 2021, 17 % seulement des entreprises calédoniennes attaquées l’avaient fait.
5. Informer clients et partenaires si leurs données sont concernées. La loi Informatique et Libertés s’applique en Nouvelle-Calédonie : vérifiez vos obligations auprès de la CNIL.
6. Repartir de sauvegardes saines, puis corriger la faille.

Ce plan s’inscrit dans une réflexion plus large sur le numérique dans l’entreprise.

Questions fréquentes

Quelle est la première mesure de cybersécurité pour une PME ?

Activer la double authentification sur la messagerie et les comptes en ligne, puis mettre en place une sauvegarde déconnectée. Le piratage de compte est la première menace pour les professionnels dans le rapport 2025 de cybermalveillance.gouv.fr.

Que faire en cas de rançongiciel ?

Déconnecter les postes touchés d’internet sans les éteindre, prévenir votre prestataire et votre assureur, ne pas payer la rançon et porter plainte. Repartez ensuite de sauvegardes saines. Ce sont les consignes du guide de l’ANSSI pour les TPE et PME.

Une PME a-t-elle besoin d’une assurance cyber ?

L’ANSSI recommande de faire évaluer la couverture de votre police d’assurance face au risque cyber. Vérifiez si votre contrat actuel couvre une attaque, la perte d’exploitation et la restauration des données, et lisez les exclusions.

Sources

• Les Nouvelles Calédoniennes, Cyberattaque contre Lagoon : un mois et demi après, que retenir de cette attaque d’une ampleur inédite ?, 02/10/2024
• Europe 1, La Nouvelle-Calédonie visée par une cyberattaque inédite, enquête ouverte à Paris, 22/05/2024
• Les Nouvelles Calédoniennes, « La cybersécurité est vraiment en manque de ressources humaines », 01/10/2026
• cybermalveillance.gouv.fr, Rapport d’activité 2025, 26/03/2026
• Observatoire numérique de la Nouvelle-Calédonie, Baromètre numérique entreprises 2021 (synthèse)
• ANSSI et DGE, La cybersécurité pour les TPE/PME en 13 questions, 2e édition, octobre 2022
• cybermalveillance.gouv.fr, 5 recommandations essentielles pour les entreprises, septembre 2023
• CNIL, Comment la loi Informatique et Libertés s’applique-t-elle à l’outre-mer ?, 04/07/2019