Cybersécurité PME : protéger ses comptes marketing

Votre compte publicitaire intéresse davantage les attaquants que votre fichier clients. C'est contre-intuitif, et c'est pourtant ce qu'on observe sur le terrain depuis deux ans. Un compte Google Ads ou un Business Manager Meta, c'est un moyen de paiement déjà approvisionné, déjà validé par la plateforme, et que personne ne surveille le week-end.

On opère des comptes publicitaires pour des PME depuis 2009, depuis nos bureaux de Cernay. Les tentatives d'intrusion sur les comptes de nos clients, on en voit passer tous les jours. Pas une par mois : tous les jours.

Ce que disent vraiment les chiffres français

L'ANSSI a publié son panorama de la cybermenace en mars 2026. Deux chiffres méritent qu'on s'y arrête.

Le premier : 48 % des victimes de rançongiciel sont des TPE, PME ou ETI, contre 37 % l'année précédente. La petite entreprise n'est plus un dommage collatéral, elle est devenue la cible principale. Le second : 74 % des PME françaises se situent sous le seuil « Essentiel » défini par l'ANSSI, c'est-à-dire en dessous des bonnes pratiques minimales.

Et puis il y a ce décalage qui explique tout le reste. 58 % des dirigeants estiment être bien protégés. 80 % reconnaissent ne pas savoir évaluer ce qu'une attaque leur coûterait.

Dernier chiffre, le plus utile de tous : 91 % des attaques commencent par un email. Pas par une faille exotique dans votre serveur. Par un message que quelqu'un a ouvert.

Les quatre attaques qu'on voit passer sur les comptes marketing

Le vol de comptes publicitaires n'est plus de l'artisanat. C'est devenu un marché structuré, avec des grilles tarifaires, des services d'entiercement et des garanties de remboursement sur les comptes revendus. Voilà les quatre modes opératoires qu'on rencontre le plus.

Le phishing par Business Manager. C'est le plus vicieux, parce que l'email vient réellement de Meta. L'attaquant abuse d'un Business Manager compromis pour vous envoyer une notification authentique, du bon domaine, avec le bon design. Ce qu'il récupère derrière : vos identifiants, votre code d'authentification à deux facteurs, et parfois vos pièces d'identité.

La prise de contrôle Google Ads. Google s'est mis à envoyer des alertes proactives à ses annonceurs en mars 2026, ce qui en dit long sur l'ampleur du phénomène. Un compte avec 5 000 € de budget mensuel se vide en quelques heures, le temps que les campagnes frauduleuses tournent avant que quelqu'un s'en aperçoive.

Le site compromis. Un plugin WordPress pas mis à jour, et votre site sert de relais à des redirections publicitaires. Le symptôme arrive souvent par Google, qui vous signale du contenu trompeur, bien après l'infection.

Le faux virement fournisseur. Celui-là ne touche pas la technique mais la comptabilité. Un email qui ressemble à celui de votre prestataire, avec un RIB modifié. On en a vu passer chez des clients qui avaient par ailleurs une infrastructure très propre.

Les clés API, le trou dans la raquette de 2026

C'est le sujet dont personne ne parle et qui explose. Depuis que les PME intègrent des outils IA dans leurs process, elles manipulent des clés API OpenAI, Anthropic ou autres. Ces clés sont des moyens de paiement à part entière, et elles se baladent dans des fichiers de configuration.

Le délai de compromission est brutal. Quand une clé est poussée par erreur dans un dépôt public, les robots la trouvent en quelques minutes. Pas en quelques jours. Les chercheurs de Sysdig ont documenté le détournement de quotas IA, avec un potentiel de facturation mesuré à 46 000 dollars par jour sur un seul compte compromis.

Plus retors encore : entre fin juillet et fin août 2026, des attaquants se sont fait passer pour les robots d'indexation d'OpenAI, d'Anthropic et de DeepSeek pour scanner les sites à la recherche de fichiers de configuration exposés. 824 adresses IP différentes derrière la même signature technique. Votre serveur croit accueillir un crawler légitime, il accueille un aspirateur à secrets.

On en a fait les frais nous-mêmes. Depuis, nos clés vivent chiffrées et ne sont déchiffrées qu'au démarrage des services, en mémoire vive, jamais sur le disque. C'est le genre de correction qu'on met en place après, rarement avant. On préfère le dire plutôt que de faire semblant d'avoir toujours été irréprochables.

Trois réflexes suffisent à couvrir l'essentiel : une clé différente par application, un plafond de dépense configuré chez le fournisseur, et une rotation dès qu'un prestataire ou un salarié quitte le projet. Si vous travaillez avec une agence sur des sujets IA, posez-lui la question de la gestion de ses secrets. La réponse est révélatrice.

Qui fait quoi, et pourquoi ça déraille

Franchement, la majorité des incidents qu'on constate chez les PME ne viennent pas d'une prouesse technique. Ils viennent d'un flou sur les responsabilités.

Quelques questions qui font mal :

• Qui est propriétaire du Business Manager ? L'entreprise, ou le compte personnel d'un ancien stagiaire ?
• Combien de personnes ont un accès administrateur sur votre compte publicitaire aujourd'hui ?
• Quand votre dernière agence est partie, ses accès ont-ils été révoqués ? Vraiment révoqués, pas juste « on a arrêté de bosser ensemble » ?
• Si votre responsable marketing démissionne demain matin, qui reprend la main sur les comptes ?

D'expérience, la moitié des dirigeants ne savent pas répondre à la deuxième question. Et c'est normal : personne ne leur a jamais dit que c'était leur sujet. Un actif publicitaire se gère comme un compte bancaire, avec une liste de signataires qu'on met à jour.

La checklist du dirigeant, par ordre d'impact

Rien d'exotique ici. Ces cinq points couvrent la grande majorité des scénarios, et vous pouvez en traiter trois cet après-midi.

• Authentification à deux facteurs partout, et pas par SMS. Une application d'authentification ou une clé physique. Le SMS s'intercepte.
• Audit des accès sur vos comptes publicitaires et votre site. Sortez tous ceux qui n'ont plus rien à y faire. Faites-le aujourd'hui, puis tous les trimestres.
• Propriété des actifs au nom de l'entreprise. Jamais sur un compte personnel, même le vôtre.
• Alertes de dépense sur chaque compte publicitaire et chaque fournisseur d'API. C'est souvent le seuil de budget qui sonne l'alarme en premier, avant le service de sécurité.
• Une consigne simple pour l'équipe : aucune validation de changement de RIB, d'accès ou de mot de passe par email seul. Toujours un second canal, un appel téléphonique suffit.

Ce n'est pas une politique de sécurité complète. C'est le minimum qui vous fait passer au-dessus du seuil où la plupart des attaques automatisées abandonnent.

Ce qu'on applique sur les comptes de nos clients

Quand on prend en main un pilotage publicitaire, on commence par un inventaire des accès avant même de regarder les campagnes. C'est rarement ce que le client attend, et c'est souvent là qu'on trouve les surprises : trois anciens prestataires encore administrateurs, un Business Manager détenu par personne d'identifiable.

On travaille ensuite avec des accès nominatifs, révocables un par un. Jamais de mot de passe partagé sur un compte commun, que ce soit sur Google Ads ou sur Meta Ads. Et le jour où la collaboration s'arrête, le client peut couper nos accès en trois clics sans nous demander quoi que ce soit. C'est la moindre des choses.

Un dernier point, qui rejoint un autre sujet : un tracking bien posé côté serveur vous donne aussi une visibilité sur les comportements anormaux de vos campagnes. Une dépense qui décolle un dimanche soir, ça se voit.

Questions fréquentes

Une TPE de cinq personnes est-elle vraiment une cible ?

Oui, et plus qu'avant. Les attaques sont automatisées : personne ne vous a choisi, un robot a trouvé une porte ouverte. Votre taille ne vous protège pas, elle vous rend juste moins bien défendu que les grands comptes. C'est exactement ce que traduisent les 48 % de victimes TPE et PME relevés par l'ANSSI.

Mon agence est responsable si mon compte publicitaire est piraté ?

Ça dépend de l'origine de la compromission, et c'est justement pour ça qu'il faut des accès nominatifs. Avec des comptes individuels, on sait qui s'est connecté et quand. Avec un mot de passe partagé entre cinq personnes, personne ne peut rien prouver, et c'est le client qui paie.

Que faire dans l'heure qui suit une compromission ?

Coupez les budgets publicitaires, changez le mot de passe du compte email associé avant tout le reste, révoquez les sessions actives, puis les accès tiers. Signalez à la plateforme dans la foulée. Et prévenez votre banque si un RIB a circulé. L'ordre compte : l'email est la clé de tout le reste.

Faut-il une cyberassurance quand on est une PME ?

C'est un vrai sujet, mais pas le premier. Les assureurs conditionnent de plus en plus leur couverture à un niveau minimum de bonnes pratiques. Commencez par la checklist ci-dessus, sinon vous paierez une prime pour un contrat qui ne vous indemnisera pas.

Les outils IA augmentent-ils le risque ?

Ils déplacent le risque. Vous gagnez en productivité et vous créez de nouveaux moyens de paiement à protéger, les clés API. Ce n'est pas une raison pour s'en priver, c'est une raison pour les intégrer proprement. On en parle aussi dans notre article sur les erreurs classiques des projets IA en PME.