Vacances d’été ou ponts de mai : un terrain propice aux cyberattaques
À l’approche des congés estivaux, des jours fériés de mai ou d’une fermeture annuelle, la tentation est grande de relâcher la pression sur les sujets techniques. Pourtant, les périodes de moindre activité en entreprise correspondent souvent à une hausse des incidents de sécurité informatique. Moins de présence humaine, moins de surveillance active, voire parfois des accès laissés volontairement ouverts pour assurer une continuité à distance : autant de portes laissées entrouvertes pour des attaquants opportunistes.
Les cybercriminels exploitent ces créneaux avec méthode. Certaines attaques sont planifiées des semaines à l’avance, précisément pour se déclencher au moment où les équipes IT ne sont plus pleinement mobilisées. Les entreprises de toute taille, notamment les TPE et PME, ne sont pas épargnées, en particulier celles dont les systèmes informatiques sont déjà sous tension ou faiblement protégés.
Pourquoi la sécurité informatique ne prend jamais de congés ?
L’infrastructure IT constitue aujourd’hui un levier essentiel de fonctionnement pour les entreprises : gestion commerciale, facturation, messagerie, accès distants, documents partagés, tout passe par le numérique. Or, la sécurité des systèmes d’information repose en grande partie sur des mises à jour régulières, des mots de passe robustes, des accès maîtrisés et un usage vigilant des outils à distance.
Dans ce contexte, renforcer la sécurité avant une période de congés est une démarche préventive : c’est éviter les pannes imprévues, anticiper les menaces extérieures et garantir une tranquillité d’esprit durant l’absence. Loin d’être une contrainte, c’est aussi l’occasion d’effectuer certaines mises à jour ou vérifications sans impacter le quotidien des utilisateurs.
Dans les sections suivantes, nous aborderons les points à surveiller, les bonnes pratiques à adopter, les outils à mobiliser et les réflexes simples à intégrer pour partir sereinement, tout en maintenant un niveau de sécurité élevé.
Des cybercriminels à l’affût pendant les congés
Les périodes de congés concentrent un ensemble de facteurs favorables à l’action des cyberattaquants : effectifs réduits, délais de réaction rallongés, routines de vérification suspendues. C’est durant ces moments que les cyberattaques par phishing, rançongiciels ou exploit de failles non corrigées ont le plus de chances d’aboutir. De nombreuses intrusions ne sont même détectées qu’au retour des congés, alors que les dégâts sont déjà causés.
La plateforme Cybermalveillance.gouv.fr a recensé plus de 420 000 demandes d’assistance en 2024, un chiffre en hausse de 50 % par rapport à l’année précédente. Une part importante de ces incidents intervient justement à des moments où les équipes internes sont partiellement absentes. Le certificat de disponibilité d’un système n’est pas une garantie d’absence de menace : les attaques silencieuses ou les préparations à distance sont devenues monnaie courante.
Systèmes informatiques inactifs ou mal surveillés : une faille ouverte
Un système informatique peu ou mal surveillé pendant plusieurs jours est une cible idéale. Il est courant que des sessions utilisateurs restent actives, que des services non essentiels restent en ligne « au cas où », ou que des mots de passe soient temporairement partagés pour maintenir une forme de support minimum à distance.
Ce sont précisément ces ajustements, souvent pensés comme pratiques, qui fragilisent l’ensemble du système. Un serveur qui n’a pas reçu ses mises à jour, une boîte mail professionnelle consultée sur un Wi-Fi public, ou un accès logiciel laissé ouvert depuis un ordinateur personnel deviennent autant de points d’entrée pour un acteur malveillant.
Préparer les congés, c’est donc aussi fermer proprement l’accès aux systèmes, vérifier les sauvegardes, désactiver ce qui n’est pas indispensable et formaliser ce qui doit rester accessible.
L’erreur humaine amplifiée par la déconnexion partielle
Dans un contexte de travail hybride ou de télétravail ponctuel pendant les congés, les risques liés aux comportements des utilisateurs augmentent. Il n’est pas rare que des salariés répondent à des e-mails professionnels depuis leur téléphone personnel ou qu’ils tentent de se connecter rapidement à un logiciel métier sans précaution, simplement pour « jeter un œil ».
Ce type d’usage expose fortement l’entreprise, d’autant plus que la vigilance est souvent relâchée pendant les congés. Si l’on ajoute à cela l’absence de supervision technique, l’exposition est double : technique et humaine.
Le droit à la déconnexion ne relève pas seulement d’un sujet RH ou réglementaire. C’est aussi une démarche de sécurité. En ne consultant ni mails, ni tickets, ni canaux de communication internes durant les congés, on réduit significativement les vulnérabilités potentielles liées à une activité partielle ou mal sécurisée.
Sécurité des systèmes d’information : continuité, intégrité et confidentialité
Un système d’information englobe bien plus que les ordinateurs ou les serveurs : il s’agit de l’ensemble des moyens techniques, humains et organisationnels permettant de collecter, traiter, stocker et transmettre les données d’une organisation. La sécurité des systèmes d’information vise à préserver la confidentialité, l’intégrité, la disponibilité et la traçabilité de ces informations.
Avant les congés, il est essentiel de s’assurer que ces quatre piliers sont respectés :
- Confidentialité : seuls les utilisateurs autorisés accèdent à certaines données.
- Intégrité : les données ne sont pas modifiées ou altérées de façon non intentionnelle.
- Disponibilité : les systèmes fonctionnent, même en l’absence des équipes.
- Traçabilité : toute action est enregistrée, analysable a posteriori.
Un oubli de mise à jour, un accès mal sécurisé ou une sauvegarde non testée peuvent rapidement mettre à mal un ou plusieurs de ces principes.
Non répudiation : pourquoi tracer les actions est indispensable ?
La non répudiation est un concept central dans la sécurité informatique. Elle garantit que toute action réalisée sur un système (connexion, modification, suppression) peut être attribuée à un utilisateur spécifique, sans contestation possible. Cette capacité à prouver l’origine d’une action permet d’éviter le flou en cas d’incident.
Pendant les congés, cette exigence est encore plus importante. En effet, les accès sont parfois partagés temporairement, ou les traces d’activité peuvent être brouillées si les connexions ne sont pas correctement journalisées. C’est pourquoi il est crucial d’activer et de vérifier :
- Les journaux de connexion,
- Les logs d’administration,
- Les systèmes d’alerte en cas d’accès inhabituel.
Ces éléments participent à la défense en profondeur de votre organisation. En cas de doute ou de litige, la non répudiation permet d’avoir des éléments concrets pour comprendre ce qui s’est produit, et par qui.
Renforcer les fondations pour prévenir plutôt que réagir
Il est souvent plus efficace – et moins coûteux – d’anticiper les risques que de tenter de les corriger a posteriori. De nombreuses entreprises se retrouvent en difficulté non pas à cause d’une attaque extrêmement sophistiquée, mais parce que les mesures de base n’étaient pas appliquées.
Voici quelques fondations à valider systématiquement :
- Les droits d’accès sont à jour,
- Les systèmes critiques sont surveillés,
- Les outils de sécurité (antivirus, pare-feu, VPN) sont actifs et opérationnels,
- Les utilisateurs sont informés des bonnes pratiques à adopter avant leur départ.
Il ne s’agit pas de suréquipement ou de complexification, mais de vérifications élémentaires qui, cumulées, renforcent la résilience globale du système pendant les absences prolongées.
Mises à jour : première ligne de défense contre les vulnérabilités
La quasi-totalité des cyberattaques exploitent des vulnérabilités connues. Ces failles, souvent documentées publiquement, sont rapidement corrigées par les éditeurs via des mises à jour. Pourtant, dans la pratique, nombre d’entre elles ne sont pas installées à temps. Cela crée un décalage critique entre les correctifs disponibles et la protection effective de l’entreprise.
Avant les périodes de fermeture, il est indispensable de :
- Mettre à jour les systèmes d’exploitation (Windows, Linux, macOS…),
- Appliquer les correctifs des logiciels métiers et des applications web,
- Mettre à jour les équipements réseau : routeurs, pare-feu, commutateurs,
- Vérifier que les antivirus et autres outils de sécurité sont à jour.
Cette démarche préventive réduit le risque d’intrusion pendant une période où les équipes seront moins disponibles pour réagir rapidement. Elle contribue à garantir la continuité de service en évitant des pannes liées à des conflits logiciels ou à des attaques évitables.
Planifier les mises à jour pendant les périodes creuses : un choix stratégique
En dehors des aspects de sécurité, les périodes creuses représentent aussi une opportunité technique. En planifiant les mises à jour à ce moment-là, vous réduisez les impacts potentiels sur les utilisateurs. Une mise à jour d’ERP, de base de données ou d’infrastructure réseau est souvent plus facile à déployer quand les postes sont éteints et que l’activité est en pause.
Cela permet également de :
- Tester les nouvelles versions de vos outils sans pression immédiate,
- Reprendre l’activité avec un environnement actualisé et sécurisé,
- Vérifier le bon fonctionnement post-mise à jour avant le retour des équipes.
Cette logique de maintenance préventive s’applique aussi bien aux systèmes informatiques locaux qu’aux solutions hébergées dans le cloud. Quelle que soit l’architecture, ne pas appliquer les mises à jour revient à laisser une porte ouverte dans votre infrastructure.
Mots de passe : les bons réflexes à adopter avant et après les congés
Les mots de passe restent aujourd’hui l’un des premiers vecteurs d’attaque en entreprise, notamment à travers des campagnes de phishing, de rejeu d’identifiants ou de tentatives d’accès par force brute. Leur protection est donc fondamentale, surtout en période de faible surveillance.
Voici les actions recommandées avant tout départ prolongé :
- Changer les mots de passe sensibles (ERP, messagerie, hébergements, VPN),
- Utiliser des mots de passe longs, uniques et complexes, idéalement générés par un gestionnaire sécurisé,
- Éviter de stocker les identifiants dans les navigateurs ou sur des appareils personnels,
- Réinitialiser les mots de passe à votre retour de congés, surtout s’ils ont été temporairement partagés.
Les outils de gestion centralisée des identifiants peuvent être utiles à condition d’être bien configurés. En parallèle, l’authentification multifacteur (MFA) devrait être systématisée sur tous les services exposés (webmail, applications cloud, accès distants…).
Limiter les droits d’accès pendant les absences : principe de précaution
Il est fréquent qu’un collaborateur laisse l’accès à certains outils à un collègue « en cas de besoin » pendant ses congés. Si cette pratique peut sembler pratique, elle constitue un risque important pour la sécurité des systèmes d’information, en rompant le principe de moindre privilège.
Avant une période d’absence, il est préférable de :
- Désactiver les comptes temporaires ou inutilisés,
- Limiter les droits aux seules fonctions nécessaires,
- Utiliser des comptes nominatifs plutôt que des accès génériques partagés,
- Documenter les accès exceptionnels avec un journal de vérification.
La traçabilité (et donc la non répudiation) est un enjeu majeur ici. Si plusieurs personnes utilisent un même identifiant, il devient impossible d’attribuer une action précise à un utilisateur. Or, en cas d’incident durant les congés, cette information peut être déterminante.
Gérer finement les droits d’accès, même temporairement, permet de limiter les points de défaillance humaine ou technique. C’est un geste simple qui renforce considérablement la résilience de votre environnement numérique.
Serveurs : pourquoi réaliser un préventif avant les congés ?
Les serveurs constituent souvent le cœur de l’infrastructure IT d’une entreprise : fichiers partagés, logiciels métiers, bases de données ou services d’authentification y sont centralisés. Pourtant, dans de nombreuses structures, ces machines fonctionnent sans intervention pendant plusieurs semaines — parfois jusqu’à la panne.
Avant toute période d’inactivité prolongée, il est recommandé de :
- Effectuer un bilan de santé du serveur : vérification des journaux système, de la consommation des ressources (RAM, CPU, disques), température, alimentation, etc.
- Contrôler le fonctionnement des services critiques : DNS interne, DHCP, Active Directory, etc.
- Vérifier les alertes de sécurité en attente ou ignorées.
- Appliquer, si possible, les mises à jour système et logicielles nécessaires.
Ce type d’opération, appelé préventif serveur, permet d’anticiper les pannes matérielles ou logicielles et de garantir un fonctionnement stable durant les congés. C’est aussi l’occasion d’identifier les ressources à surveiller à distance ou à relancer automatiquement en cas d’incident.
Sauvegardes et test de restauration : êtes-vous vraiment prêts ?
La sauvegarde est une des rares mesures qui permet de reprendre le contrôle après une attaque ou une panne majeure. Pourtant, une sauvegarde qui n’a jamais été testée ne peut pas être considérée comme fiable. Avant les congés, il est donc indispensable de :
- Vérifier que toutes les données critiques sont bien sauvegardées : documents, configurations, bases de données, messagerie…
- S’assurer que les sauvegardes sont horodatées, chiffrées, et stockées hors site (ex. : dans un cloud sécurisé ou sur un support déconnecté),
- Réaliser un test de restauration complet sur un environnement isolé pour valider que les données peuvent effectivement être récupérées en cas d’incident,
- Vérifier les notifications de succès ou d’échec des sauvegardes automatiques.
Ne pas effectuer cette étape, c’est espérer que tout fonctionnera si un incident survient — une stratégie risquée, surtout quand les équipes techniques sont absentes.
Les solutions de sauvegarde automatisée doivent également être protégées contre les rançongiciels : une sauvegarde connectée en permanence au système attaqué peut être chiffrée au même titre que le reste des fichiers. Le cloisonnement et l’isolation sont donc essentiels.
Wi-Fi publics et télétravail en vacances : des accès à haut risque
Il est courant, durant les congés, que certains collaborateurs conservent un accès partiel à leur environnement de travail. Cela peut être pour consulter une messagerie, valider une commande urgente ou répondre à une demande client. Le problème, ce n’est pas tant cette continuité ponctuelle que le contexte de connexion.
Se connecter à des logiciels professionnels depuis un Wi-Fi public (hôtel, aéroport, café…) expose les systèmes d’information à de multiples risques :
- Interception des identifiants de connexion (attaque « man-in-the-middle »),
- Exploitation de failles sur les appareils non à jour,
- Fausse page de connexion réseau détournant les accès.
Dans la mesure du possible, il est recommandé de ne jamais se connecter à un environnement professionnel depuis un Wi-Fi non sécurisé. Si cela est nécessaire, l’usage d’un VPN est impératif. Celui-ci chiffre les communications, même sur un réseau non fiable, et protège ainsi les informations échangées.
L’autre bonne pratique est d’éviter l’accès depuis un appareil personnel : un téléphone ou un ordinateur familial n’offre pas les mêmes garanties de sécurité qu’un équipement professionnel maintenu à jour.
VPN, pare-feu et antivirus : des outils incontournables en mobilité
L’usage d’un VPN (Virtual Private Network) est aujourd’hui une mesure incontournable pour tout accès distant. Il permet d’isoler les communications entre le poste utilisateur et le système d’information de l’entreprise, en passant par un tunnel sécurisé. L’activation systématique du VPN doit être exigée, y compris sur smartphone ou tablette.
En parallèle, d’autres couches de protection doivent être vérifiées :
- Pare-feu personnel activé sur tous les appareils mobiles ou portables,
- Antivirus à jour, avec protection temps réel active,
- Bloqueurs de scripts et extensions anti-phishing sur les navigateurs utilisés.
Enfin, il est vivement déconseillé d’utiliser des supports de stockage inconnus ou reçus en cadeau (clé USB, carte SD, disque dur externe), même s’ils semblent neufs. De nombreuses campagnes de malveillance exploitent encore ces vecteurs physiques pour introduire un code malveillant dans un environnement mal protégé.
Mettre en œuvre ces outils ne relève pas de la prudence excessive : c’est aujourd’hui une nécessité opérationnelle, notamment lorsque le travail à distance ponctuel se fait depuis des lieux non maîtrisés.
Réseaux sociaux : ne transformez pas vos congés en vulnérabilité
Partager ses projets de vacances ou publier des photos en temps réel est devenu courant. Pourtant, ces comportements, en apparence anodins, peuvent constituer un risque réel pour la sécurité de l’entreprise. Un profil LinkedIn ou Instagram renseigné, combiné à une annonce de départ ou à une géolocalisation publique, permet de recouper des informations précieuses pour cibler une organisation.
Les attaquants peuvent exploiter ces données pour :
- Lancer des campagnes de phishing ciblé pendant l’absence d’un responsable ou d’un collaborateur identifié,
- Usurper une identité pour tromper un collègue ou un prestataire (ex. : demande de virement),
- Planifier une intrusion pendant une période de moindre vigilance.
Par conséquent, il est recommandé de :
- Ne pas annoncer ses dates précises de congé publiquement,
- Éviter de publier des contenus identifiables en temps réel (photos de lieux reconnaissables, billets d’avion, etc.),
- Sensibiliser les équipes à ces pratiques, notamment sur les réseaux sociaux professionnels.
La cybersécurité ne se limite pas à la technique : elle dépend aussi de la maîtrise de l’information. Ce que vous publiez en ligne peut être utilisé contre vous… ou votre organisation.
Géolocalisation, photos, annonces de départ : les erreurs à éviter
Certains usages numériques semblent anodins mais peuvent fournir aux cybercriminels des indices de timing, de hiérarchie ou de structure. Quelques exemples fréquents à proscrire :
- Activer la géolocalisation automatique sur les réseaux sociaux,
- Partager des stories ou publications en direct sur son lieu de villégiature,
- Mentionner dans une bio ou un commentaire qu’on est “absent du bureau jusqu’au 15 août”,
- Commenter publiquement sur les absences de collègues ou de services.
Ces informations peuvent être utilisées pour mener une attaque ciblée à un moment où la personne en charge n’est pas disponible. Par exemple : une demande de transfert bancaire signée au nom d’un dirigeant absent, un faux message d’alerte sécurité, ou une tentative de récupération de mot de passe en se faisant passer pour un utilisateur absent.
Il est préférable de :
- Planifier les publications à l’avance, sans indications temporelles explicites,
- Différer le partage de photos à après le retour,
- Utiliser des paramètres de confidentialité élevés pour restreindre la visibilité des publications personnelles.
Cette vigilance numérique doit faire partie intégrante des bonnes pratiques de sécurité informatique, au même titre qu’un mot de passe complexe ou une mise à jour système.
Ordinateurs personnels et logiciels métiers : un duo risqué
Pendant les congés, il peut être tentant de consulter une facture urgente ou de vérifier un dossier client depuis son ordinateur personnel. Pourtant, cette pratique, très courante, représente un risque majeur pour la sécurité des systèmes d’information.
Les appareils personnels :
- Ne sont pas nécessairement à jour,
- Ne disposent pas toujours d’un antivirus ou d’un pare-feu actif,
- Peuvent être utilisés par plusieurs personnes dans un cadre familial,
- Hébergent des fichiers ou logiciels inconnus de l’environnement professionnel.
En se connectant depuis ce type d’appareil, vous exposez potentiellement vos outils métiers, vos identifiants ou vos données à des maliciels installés à votre insu. De plus, en cas de vol ou de compromission de l’ordinateur, il est difficile de maîtriser les conséquences sur les données de l’entreprise.
Il est donc préférable de :
- S’abstenir d’accéder aux outils professionnels pendant les congés,
- Ou, si cela est absolument nécessaire, d’utiliser un ordinateur professionnel configuré et sécurisé, avec une connexion VPN et des accès restreints.
Clés USB, disques durs externes : ne branchez jamais un appareil inconnu
Les supports physiques comme les clés USB, cartes SD ou disques durs externes sont encore trop souvent considérés comme inoffensifs. Or, ils peuvent contenir ou transmettre des logiciels malveillants, parfois dès leur branchement.
Certaines attaques récentes reposent sur des dispositifs offerts “en cadeau” lors d’événements ou laissés volontairement dans des espaces publics, puis branchés par curiosité ou commodité. Une fois connectés, ils peuvent :
- Installer un keylogger,
- Ouvrir une porte dérobée vers le système,
- Lancer un script malveillant exploitant une faille matérielle.
Avant les congés, il est également important de :
- Ranger tout le matériel professionnel (ordinateurs, disques, supports de sauvegarde) dans un lieu sécurisé et clos,
- Interdire l’usage de supports non validés par la DSI,
- Désactiver les ports USB sur certains postes critiques si cela est possible.
Enfin, évitez aussi le stockage de mots de passe dans les navigateurs ou sur les smartphones personnels. Un téléphone perdu ou compromis peut suffire à donner accès à vos comptes professionnels.
La cybersécurité repose aussi sur des gestes simples, mais rigoureux, appliqués même hors des périodes de travail actives.
Planifiez une vérification complète avec un expert
La meilleure façon de sécuriser son système avant une période de congés est de ne rien laisser au hasard. Pour cela, une vérification complète de l’infrastructure informatique s’impose. Cette démarche doit couvrir :
- Les mises à jour logicielles et matérielles,
- La revue des droits d’accès et la désactivation des comptes inactifs,
- Le préventif serveur, avec contrôle des disques, alimentations, alertes système,
- La vérification des sauvegardes et un test de restauration,
- Le bon fonctionnement des outils de sécurité (VPN, pare-feu, antivirus, MFA),
- La sensibilisation des utilisateurs à leurs pratiques numériques en mobilité.
Ce type d’audit ou d’intervention peut être réalisé en amont par un prestataire spécialisé, afin de s’assurer que tout est sous contrôle.
Cela permet aussi d’identifier d’éventuelles failles résiduelles ou des usages non conformes (stockage de mots de passe dans un navigateur, accès non journalisé, etc.).
Si vous ne disposez pas d’une équipe IT en interne, vous pouvez planifier une opération avec un expert Parinet Informatique, pour sécuriser vos systèmes et préparer sereinement votre absence.