Un technicien IT se présente à mon bureau sans rendez-vous confirmé, que faire ? Ne le laissez jamais accéder aux postes de travail avant d'avoir confirmé son identité par un canal indépendant : appelez vous-même le fournisseur ou le responsable informatique interne à un numéro que vous connaissez déjà (jamais celui fourni par le visiteur), demandez une pièce d'identité officielle avec photo et un bon de travail ou numéro de ticket vérifiable, et escortez-le en tout temps s'il est admis. En cas de doute, refusez poliment l'accès et proposez de reporter à un moment où l'identité pourra être confirmée.
La plupart des guides de cybersécurité pour PME se concentrent sur les menaces numériques : courriels de phishing, faux popups de virus, liens malveillants. Notre article sur les arnaques par pop-up de faux virus couvre d'ailleurs en détail ces menaces qui apparaissent directement à l'écran. Mais en 2026, une tactique distincte gagne du terrain chez les groupes criminels qui ciblent les PME québécoises : l'intrusion physique. Des individus se présentent directement dans vos bureaux, en personne, en se faisant passer pour un technicien informatique, un représentant d'un fournisseur de matériel ou un installateur mandaté — parfois en référençant un courriel de phishing envoyé quelques jours plus tôt pour rendre leur visite crédible. Une fois à l'intérieur, l'objectif est le même que dans une attaque numérique classique : obtenir un accès direct à un poste de travail pour déployer un rançongiciel ou installer un accès distant persistant. Ce guide s'adresse aux gestionnaires, propriétaires et responsables de la réception des PME québécoises et propose un protocole concret de vérification, une formation pour le personnel d'accueil, et la marche à suivre si l'incident survient malgré tout.
Une tendance en croissance, pas un cas isolé
Nos techniciens rapportent une hausse notable des signalements de visiteurs suspects se présentant comme des techniciens IT dans des PME québécoises depuis le début de 2026. La tactique n'est pas nouvelle en soi — l'ingénierie sociale physique existe depuis des décennies dans le monde de la sécurité informatique — mais son association avec un déploiement de rançongiciel, plutôt qu'un simple vol d'équipement, en fait une menace particulièrement coûteuse pour une PME mal préparée.
Comment fonctionne cette nouvelle arnaque : anatomie d'une intrusion physique
Contrairement à une attaque purement numérique, l'arnaque du faux technicien en personne se déroule en plusieurs étapes distinctes, souvent étalées sur plusieurs jours, ce qui la rend plus difficile à repérer pour un employé qui ne connaît qu'un seul volet de la manœuvre. Voici la séquence typique observée par nos techniciens et documentée dans les signalements reçus par des PME québécoises.
Étape 1 — La reconnaissance et le courriel de phishing préparatoire
Avant même de se présenter physiquement, les criminels effectuent généralement une reconnaissance de l'entreprise ciblée : site web, profils LinkedIn des employés, avis Google, parfois même l'observation directe des lieux. Plusieurs cas documentés incluent l'envoi préalable d'un courriel de phishing, souvent quelques jours avant la visite, se faisant passer pour un fournisseur informatique connu de l'entreprise ou un fabricant de matériel annonçant une visite de maintenance, une mise à jour de sécurité obligatoire, ou le remplacement d'un équipement défectueux. Ce courriel sert un double objectif : il légitime la visite à venir aux yeux du personnel, et il permet parfois de récolter des informations supplémentaires sur l'organisation (noms d'employés, horaires, système utilisé) qui seront réutilisées lors de la visite en personne.
Étape 2 — L'usurpation d'identité et la prise de contact
Le jour J, l'individu se présente à la réception avec une apparence soignée et professionnelle : chemise avec logo (parfois imprimé pour l'occasion), carte professionnelle, parfois même un uniforme ressemblant à celui d'un fournisseur reconnu. Il mentionne souvent des détails précis — le nom d'un employé, une référence au courriel envoyé quelques jours plus tôt, un numéro de ticket qui semble légitime — pour désarmer le scepticisme naturel du personnel de réception. Cette combinaison d'apparence professionnelle et de connaissance apparente de l'entreprise constitue le cœur de l'ingénierie sociale physique : elle exploite la tendance naturelle à faire confiance à quelqu'un qui semble déjà « connaître » l'organisation.
Étape 3 — L'entrée physique dans vos bureaux
Une fois l'accès obtenu — parfois avec un simple signe de tête du personnel de réception débordé, parfois en profitant du tailgating (suivre un employé légitime qui franchit une porte sécurisée sans vérifier qui le suit) — l'individu circule dans les bureaux avec une confiance qui décourage les questions. Le fait de porter un sac d'outils, une mallette d'ordinateur portable ou une pince de câblage renforce l'illusion de légitimité et donne un prétexte immédiat pour s'approcher des postes de travail sans éveiller les soupçons.
Étape 4 — L'accès au poste et le déploiement du rançongiciel
La phase finale varie selon le niveau de sophistication de l'attaque : branchement d'une clé USB malveillante sur un poste laissé sans surveillance, installation d'un petit appareil de capture de réseau discrètement dissimulé, ou simplement l'exécution d'un script depuis un poste déverrouillé pendant que l'employé responsable s'absente momentanément. Dans plusieurs cas documentés, le rançongiciel n'est pas nécessairement déclenché immédiatement — il peut rester dormant plusieurs jours ou semaines avant de s'activer, ce qui complique encore davantage l'identification de la source réelle de l'intrusion après coup.
Pourquoi cette tactique fonctionne si bien en 2026
Après des années de campagnes de sensibilisation au phishing par courriel, la majorité des employés de PME québécoises ont développé un réflexe de méfiance envers les liens suspects et les pièces jointes inconnues — un progrès réel que documentent aussi nos articles sur les signes qu'une entreprise a été piratée. Mais cette vigilance numérique ne s'est pas toujours transposée dans le monde physique. Un visiteur bien habillé, poli et apparemment informé continue d'inspirer une confiance quasi automatique dans la majorité des bureaux, particulièrement dans les PME où la réception est souvent assurée par une seule personne cumulant plusieurs responsabilités et n'ayant jamais reçu de formation spécifique sur ce type de menace.
De plus, contrairement à un courriel de phishing qui peut être filtré ou signalé par un logiciel de sécurité, une présence physique contourne entièrement les outils technologiques de défense d'une entreprise. Aucun antivirus, aucun filtre anti-pourriel, aucune passerelle de sécurité ne peut intercepter un individu qui se présente à la porte d'entrée. C'est précisément cette lacune — l'écart entre la sécurité numérique et la sécurité physique — que cette nouvelle vague d'attaques exploite systématiquement.
Un visiteur suspect s'est présenté à votre bureau ?
Nos techniciens certifiés IT Cares interviennent en urgence pour analyser vos postes, vérifier vos systèmes et sécuriser votre réseau après une intrusion physique suspectée. Disponibles pour intervention rapide à Montréal et partout au Québec.
Vrai technicien ou imposteur ? Le tableau des signaux qui ne trompent pas
Distinguer un technicien légitime d'un imposteur en quelques secondes à la réception n'est pas toujours évident, surtout sous pression. Le tableau suivant compare les comportements et signaux typiques de chaque scénario, pour aider le personnel d'accueil à évaluer rapidement une situation.
| Signal observé | Vrai technicien / fournisseur | Imposteur potentiel |
|---|---|---|
| Rendez-vous | Confirmé à l'avance avec un contact interne nommé, généralement par courriel ou téléphone | Absent, vague, ou justifié par une « urgence » de dernière minute |
| Pièce d'identité | Carte professionnelle officielle avec photo, cohérente avec l'employeur déclaré | Absente, générique, ou présentée rapidement sans laisser le temps de la lire |
| Bon de travail / ticket | Numéro de ticket ou bon de travail vérifiable auprès du fournisseur | Numéro non vérifiable, ou refus poli de le communiquer clairement |
| Connaissance de l'entreprise | Connaît le contact habituel et les détails techniques exacts de l'environnement | Mentionne des détails vagues ou tirés d'un courriel de phishing envoyé plus tôt |
| Comportement à la réception | Patient, accepte d'attendre une vérification, comprend le protocole de sécurité | Presse le personnel, invoque l'urgence, tente de contourner la procédure normale |
| Escorte demandée | S'attend à être escorté et n'y voit aucun problème | Cherche à circuler seul ou à s'éloigner rapidement de l'accompagnateur |
| Réaction à un appel de vérification | Encourage activement l'appel au fournisseur ou au responsable informatique | Décourage l'appel, propose de « faire vite » ou de revenir plus tard si on insiste |
Un seul signal suspect suffit pour justifier une vérification
Il n'est pas nécessaire d'observer tous les signaux d'alerte pour agir avec prudence. Un visiteur pressé, qui décourage un appel de vérification ou qui refuse une escorte, mérite une vérification indépendante même si tout le reste de sa présentation semble parfaitement professionnelle. Les criminels les plus efficaces sont précisément ceux qui maîtrisent le plus grand nombre de ces signaux — la prudence doit rester le réflexe par défaut, pas l'exception.
Le protocole de vérification à la réception, étape par étape
Un protocole clair, écrit et affiché près du poste d'accueil permet au personnel de réception de suivre une procédure objective plutôt que de se fier uniquement à son jugement personnel sous pression. Voici les étapes recommandées, applicables à toute PME québécoise peu importe sa taille.
Demander une pièce d'identité avec photo, systématiquement
Peu importe à quel point le visiteur semble pressé ou professionnel, demandez une pièce d'identité officielle avec photo et notez le nom de son employeur. Cette étape ne devrait jamais être escamotée, même pour un visiteur qui prétend être déjà venu auparavant.
Demander un bon de travail ou un numéro de ticket
Un fournisseur légitime dispose presque toujours d'un numéro de référence associé à sa visite — bon de travail, numéro de ticket de service, ou confirmation de rendez-vous. L'absence totale de référence vérifiable, ou une hésitation notable à la fournir, constitue un signal d'alerte important.
Appeler vous-même un numéro connu — jamais celui fourni par le visiteur
Composez le numéro officiel de l'entreprise ou du fournisseur trouvé sur une facture antérieure, le site web officiel, ou dans vos propres dossiers — jamais un numéro inscrit sur une carte professionnelle remise par le visiteur lui-même, qui pourrait rediriger vers un complice. Confirmez que la visite est bien planifiée et que la personne présente est bien celle attendue.
Vérifier auprès du contact interne habituel
Si votre PME travaille avec un fournisseur de services gérés régulier, confirmez directement auprès de votre contact interne désigné (gestionnaire, responsable informatique) qu'une intervention était bel et bien prévue ce jour-là, avant d'accorder tout accès.
Escorter le visiteur en tout temps s'il est admis
Une fois l'identité confirmée et l'accès accordé, le visiteur ne devrait jamais circuler seul dans les bureaux. Un employé ou un responsable désigné l'accompagne du début à la fin de son intervention, y compris lors de tout accès à un poste de travail.
En cas de doute persistant, refuser poliment et reporter
Si la vérification échoue ou reste incomplète — numéro injoignable, contact interne qui ne confirme pas la visite, incohérence dans les réponses — refusez poliment l'accès et proposez de reporter la visite une fois l'identité confirmée. Un fournisseur légitime comprendra toujours cette prudence ; un imposteur insistera, ce qui constitue en soi un signal supplémentaire.
Former le personnel d'accueil : ce qu'il faut couvrir
Le personnel de réception constitue la première ligne de défense physique d'une PME, mais reçoit rarement une formation en cybersécurité comparable à celle offerte aux employés de bureau exposés aux courriels de phishing. Corriger cet écart représente l'une des mesures les plus rentables qu'une entreprise puisse mettre en place.
Une session de formation courte mais ciblée
Une formation d'une heure, répétée annuellement, suffit généralement pour couvrir l'essentiel : reconnaître les signaux d'alerte, appliquer le protocole de vérification sans exception, et savoir qui alerter en cas de doute. L'objectif n'est pas de transformer le personnel d'accueil en experts en sécurité, mais de leur donner la confiance et l'autorité nécessaires pour appliquer une procédure simple sans se sentir impolis ou paranoïaques.
Donner explicitement la permission de dire non
Un obstacle fréquent est la crainte, chez le personnel d'accueil, de sembler impoli ou de créer une situation embarrassante en questionnant un visiteur qui se présente avec assurance. La direction doit communiquer clairement, et de façon répétée, que refuser l'accès en cas de doute est toujours la bonne décision et ne sera jamais reproché — même si le visiteur s'avère finalement légitime.
Afficher le protocole près du poste d'accueil
Une affiche ou une fiche plastifiée résumant les six étapes du protocole, visible directement au poste de réception, réduit la charge mentale du personnel en situation de stress et sert de rappel constant même longtemps après la formation initiale.
Sensibiliser l'ensemble du personnel au tailgating
Au-delà du personnel de réception, tous les employés devraient être sensibilisés au risque du tailgating — le fait de tenir une porte sécurisée à quelqu'un qui n'a pas badgé ou signé de registre. La politesse instinctive de tenir une porte à un inconnu qui suit de près constitue l'une des méthodes les plus simples et les plus efficaces pour un intrus de contourner tout le reste du protocole de sécurité.
Que faire si un faux technicien se présente — ou y est déjà entré
Malgré un protocole bien établi, certaines situations échappent à la vigilance du personnel. Voici la marche à suivre selon que l'intrusion est détectée avant ou après l'accès à un poste de travail.
Si le doute survient pendant que le visiteur est encore présent
Restez calme et poli, mais fermes. Invoquez simplement le protocole de sécurité de l'entreprise, sans confrontation directe ni accusation explicite — « notre politique exige que je confirme toute visite avant de vous laisser accéder aux postes, je vous demande un instant ». Isolez discrètement le visiteur dans une zone d'attente, hors de portée des postes de travail, le temps de compléter la vérification. Si le visiteur devient insistant, agressif ou tente de contourner cette demande, alertez immédiatement un responsable et n'hésitez pas à refuser catégoriquement l'accès.
Si un accès à un poste a déjà été accordé et que le doute survient après coup
Isolez immédiatement le poste concerné du réseau, exactement comme pour toute autre compromission suspectée — débranchez le câble Ethernet ou désactivez le WiFi, sans nécessairement éteindre l'appareil si un rançongiciel est soupçonné. Notre guide sur les 24 premières heures suivant une attaque ransomware détaille la marche à suivre minute par minute si un chiffrement de fichiers est déjà en cours. Alertez sans délai votre responsable informatique ou fournisseur de services gérés, changez les mots de passe des comptes accessibles depuis ce poste à partir d'un autre appareil non compromis, et documentez le plus de détails possible sur le visiteur : description physique, heure exacte, nom mentionné, entreprise déclarée, plaque d'immatriculation si un véhicule a été observé.
Envisager de contacter les autorités
Une intrusion frauduleuse dans des locaux d'entreprise dans le but d'accéder à des systèmes informatiques peut constituer une infraction criminelle. Selon la gravité de l'incident et les pertes potentielles, un signalement au service de police local, en plus des démarches techniques de sécurisation, peut être justifié — particulièrement si des données sensibles de clients ou d'employés ont été exposées.
Faire réaliser un audit de sécurité complet
Même en l'absence de symptôme visible immédiat, un audit technique complet est fortement recommandé après une intrusion physique confirmée ou fortement soupçonnée. Un accès physique non supervisé, même de quelques minutes, peut suffire à installer une porte dérobée persistante qui ne se manifestera que des semaines plus tard.
Études de cas : trois PME québécoises confrontées à cette arnaque
Les scénarios suivants, inspirés de situations types rencontrées par des PME québécoises, illustrent concrètement comment cette arnaque se déroule en pratique et l'écart de conséquences entre une réaction rapide et une réaction tardive. Les noms et détails ont été modifiés à des fins d'illustration.
Cas 1 — Cabinet comptable de Laval : le faux « technicien Microsoft » de la période fiscale
En pleine saison des déclarations fiscales, un individu se présente à la réception d'un cabinet comptable de Laval, se disant envoyé par le fournisseur informatique habituel du cabinet pour « une mise à jour de sécurité urgente sur les postes suite à une vulnérabilité récemment découverte ». Il mentionne le nom exact du fournisseur, connu de la réceptionniste, ainsi qu'un courriel reçu deux jours plus tôt annonçant cette même intervention — courriel qui s'avérera plus tard être un faux envoyé par les mêmes criminels. Suivant le protocole récemment mis en place après une formation, la réceptionniste demande une pièce d'identité et un bon de travail, puis appelle elle-même le numéro habituel du fournisseur trouvé sur une facture archivée plutôt que celui inscrit sur la carte professionnelle du visiteur. Le fournisseur confirme immédiatement qu'aucune intervention n'était prévue ce jour-là et qu'aucun technicien correspondant à cette description ne travaille pour lui. Le visiteur, voyant l'appel se dérouler, quitte précipitamment les lieux avant même la fin de la conversation. Aucun accès n'a été accordé, aucun poste n'a été compromis, et l'incident est documenté et signalé aux autres cabinets comptables du réseau professionnel local à titre préventif. Coût total de l'incident : nul, hormis le temps de documentation.
Cas 2 — Clinique de Trois-Rivières : l'installateur de matériel médical qui n'existait pas
Une clinique privée de la région de Trois-Rivières reçoit la visite d'un homme se présentant comme un technicien envoyé pour installer une mise à jour sur un appareil de facturation électronique connecté au réseau de la clinique. Contrairement au cas précédent, la réceptionniste, submergée par une file de patients, ne suit pas rigoureusement le protocole habituel et laisse le visiteur accéder à la salle des serveurs sans escorte continue, pensant qu'un collègue le surveillerait. Le visiteur profite de quelques minutes sans supervision directe pour brancher une clé USB sur un poste administratif déverrouillé. Trois semaines plus tard, un rançongiciel se déclenche, chiffrant les dossiers administratifs et une partie des systèmes de facturation. L'enquête technique qui suit relie l'infection à ce poste précis et à cette fenêtre temporelle, sans toutefois pouvoir identifier l'individu avec certitude puisqu'aucune pièce d'identité n'avait été demandée ni conservée. Le coût total de l'incident — récupération des systèmes, notification des patients dont les dossiers étaient potentiellement accessibles, obligations liées à la Loi 25, et perte de productivité pendant la remise en fonction — dépasse 22 000 $. La clinique instaure depuis un protocole strict d'escorte continue, sans exception, peu importe l'achalandage à la réception.
Cas 3 — PME manufacturière de Longueuil : le faux représentant d'un fabricant d'équipement
Un individu se présente aux bureaux administratifs d'une PME manufacturière de Longueuil, prétendant représenter le fabricant d'un équipement de production récemment acquis, pour effectuer une « calibration logicielle obligatoire » directement depuis un poste connecté au réseau de gestion des opérations. Le directeur des opérations, présent au moment de la visite, trouve la demande légèrement inhabituelle — le fabricant effectue habituellement ce type d'intervention à distance — et demande poliment de vérifier auprès de son contact habituel chez le fabricant avant de procéder. Le visiteur insiste, invoquant une fenêtre de disponibilité limitée et le risque de devoir facturer un second déplacement si la vérification retarde trop l'intervention. Le directeur maintient sa demande de vérification malgré la pression, contacte le fabricant à son numéro officiel, et apprend qu'aucune intervention sur place n'était prévue ni même techniquement nécessaire pour ce type de calibration. Le visiteur quitte les lieux sans jamais accéder à un poste. L'entreprise documente l'incident, renforce sa politique de vérification pour tous les fournisseurs d'équipement, et n'a subi aucune perte, si ce n'est environ 30 minutes de temps de gestion consacrées à la vérification.
Ce que ces trois cas ont en commun
Dans les deux cas où la vérification indépendante a été appliquée rigoureusement, aucun accès n'a été accordé et aucune perte n'a été subie, malgré une pression sociale évidente exercée par le visiteur pour accélérer ou contourner la procédure. Dans le seul cas où le protocole n'a pas été suivi jusqu'au bout — par manque de personnel disponible plutôt que par manque de connaissance — les conséquences ont été considérablement plus lourdes. La constance dans l'application du protocole, même sous pression opérationnelle, s'avère le facteur déterminant.
Ce qu'il ne faut surtout pas faire
Autant un bon protocole compte, autant certaines réactions instinctives affaiblissent systématiquement la sécurité physique d'une PME. Voici les erreurs les plus fréquentes observées par nos techniciens.
Laisser la politesse l'emporter sur la vérification
La crainte de sembler impoli ou méfiant envers un visiteur qui semble professionnel pousse souvent le personnel d'accueil à écourter ou omettre la vérification. Un fournisseur légitime ne sera jamais offensé par une procédure de sécurité appliquée de façon constante et professionnelle — c'est au contraire un signe de bonne gestion qui rassure les partenaires d'affaires sérieux.
Accepter un numéro de téléphone fourni par le visiteur lui-même
Composer le numéro inscrit sur une carte professionnelle remise par le visiteur ne constitue pas une vérification indépendante — un complice peut simplement répondre en confirmant la fausse identité. Utilisez toujours un numéro que vous avez vous-même trouvé au préalable, dans vos propres dossiers ou sur le site web officiel du fournisseur.
Laisser un visiteur circuler seul, même « juste un instant »
Quelques minutes sans supervision directe suffisent amplement pour brancher un appareil malveillant ou installer un logiciel sur un poste déverrouillé. L'escorte continue ne devrait jamais être interrompue, peu importe les distractions ou l'achalandage du moment.
Céder à la pression du temps invoquée par le visiteur
Une urgence invoquée par le visiteur lui-même — fenêtre de disponibilité limitée, risque de frais supplémentaires, panne imminente — constitue une tactique classique de manipulation destinée à précipiter une décision sans vérification adéquate. Une vraie urgence technique peut généralement attendre les quelques minutes nécessaires à un appel de confirmation.
Ne pas documenter les visites refusées ou suspectes
Même lorsqu'un visiteur suspect quitte les lieux sans incident, documenter la tentative — description, heure, entreprise mentionnée — permet d'alerter d'autres entreprises du même secteur ou de la même région, et constitue une preuve utile en cas de tentative répétée.
Budget réaliste : combien coûte un audit de sécurité physique au Québec
Pour une PME québécoise qui souhaite évaluer et renforcer sa sécurité physique face à ce type de menace, voici les ordres de grandeur observés sur le marché en 2026.
| Type de service | Coût typique (CAD) | Ce que ça couvre |
|---|---|---|
| Audit de sécurité physique de base | 400 $ à 1 200 $ | Revue des accès, du protocole de réception, des zones sensibles et recommandations correctives |
| Audit combiné physique et informatique | 1 000 $ à 3 500 $ | Audit physique complet + revue des accès réseau, journaux de connexion et posture de cybersécurité générale |
| Formation du personnel d'accueil (session unique) | 250 $ à 600 $ | Session d'une heure sur la reconnaissance des signaux et l'application du protocole de vérification |
| Mise en place d'un protocole écrit et affichage | 150 $ à 400 $ | Rédaction du protocole adapté à l'entreprise, fiches affichées, intégration au manuel d'accueil |
| Intervention d'urgence post-intrusion (analyse et nettoyage) | 300 $ à 900 $ | Isolement, analyse de compromission, nettoyage ou reformatage des postes concernés |
Comparé aux coûts observés dans les études de cas précédentes — où une intrusion réussie a entraîné des pertes dépassant 20 000 $ pour une seule clinique — un investissement ponctuel de quelques centaines à quelques milliers de dollars dans un audit de sécurité physique et une formation du personnel représente un rapport coût-bénéfice nettement favorable pour la grande majorité des PME québécoises, particulièrement celles qui reçoivent régulièrement des visiteurs externes (clients, fournisseurs, livreurs) dans leurs locaux.
Renforcez la sécurité physique de votre PME avant le prochain incident
IT Cares accompagne les PME québécoises en audit de sécurité, en formation du personnel et en réponse à incident d'urgence. Nos techniciens certifiés évaluent vos protocoles d'accueil, sécurisent vos systèmes après une intrusion suspectée et forment votre équipe à reconnaître les tentatives d'ingénierie sociale physique.
Checklist téléchargeable : protocole de vérification à la réception
Voici la liste complète à imprimer et à afficher près du poste d'accueil de votre entreprise pour une application rapide et constante du protocole, peu importe qui assure la réception ce jour-là.
- ☐ Demander systématiquement une pièce d'identité officielle avec photo, sans exception
- ☐ Noter le nom de l'employeur déclaré et le comparer à ce qui était attendu
- ☐ Demander un bon de travail ou un numéro de ticket de service vérifiable
- ☐ Appeler un numéro de téléphone connu à l'avance — jamais celui fourni par le visiteur
- ☐ Confirmer auprès du contact interne habituel qu'une visite était bien prévue
- ☐ Ne jamais laisser un visiteur circuler seul, même quelques instants
- ☐ Escorter le visiteur en tout temps, y compris lors de tout accès à un poste de travail
- ☐ Refuser poliment et reporter la visite en cas de doute persistant, peu importe la pression exercée
- ☐ Se méfier de toute urgence invoquée par le visiteur lui-même pour accélérer la procédure
- ☐ Documenter toute visite suspecte, même refusée : description, heure, entreprise mentionnée
- ☐ Sensibiliser tout le personnel au risque du tailgating aux portes sécurisées
- ☐ Isoler immédiatement du réseau tout poste ayant été accédé par un visiteur non vérifié
- ☐ Alerter le responsable informatique et envisager un audit de sécurité après toute intrusion confirmée ou soupçonnée
Ressources gouvernementales et organismes à connaître
Plusieurs organismes gouvernementaux offrent du soutien, des outils et parfois du financement aux PME québécoises et canadiennes en matière de sécurité, incluant la dimension physique souvent négligée de la cybersécurité.
Centre canadien pour la cybersécurité
Le Centre canadien pour la cybersécurité, relevant du gouvernement fédéral, publie des guides pratiques destinés aux PME sur l'ensemble des dimensions de la sécurité, y compris les risques liés à l'ingénierie sociale et aux contrôles d'accès physique. Ses ressources constituent un point de référence fiable pour toute entreprise qui souhaite structurer une politique de sécurité complète, au-delà des seules menaces numériques.
Banque de développement du Canada (BDC)
La BDC propose des ressources et, selon les cas, du financement pour aider les PME canadiennes à renforcer leurs mesures de sécurité globales, incluant des outils d'autoévaluation des risques et des prêts destinés à la modernisation des infrastructures, ce qui peut couvrir l'installation de systèmes de contrôle d'accès ou de vidéosurveillance à l'entrée des bureaux.
Investissement Québec
Investissement Québec offre également des programmes d'accompagnement pouvant appuyer la transformation numérique et la sécurisation des PME québécoises. Les entreprises qui prévoient un investissement plus substantiel en sécurité (audit complet, contrôle d'accès électronique, vidéosurveillance) peuvent y trouver des programmes adaptés à leur secteur d'activité.
Commission d'accès à l'information (CAI)
Si une intrusion physique mène à un accès non autorisé à des renseignements personnels de clients ou d'employés, les mêmes obligations de la Loi 25 s'appliquent que pour tout autre incident de confidentialité, incluant potentiellement une notification à la CAI dans un délai visé de 72 heures. La CAI demeure la référence officielle pour évaluer si un incident donné déclenche cette obligation.
Questions fréquentes — Faux technicien IT en personne
Ne le laissez jamais accéder aux postes de travail avant d'avoir confirmé son identité par un canal indépendant : appelez vous-même le fournisseur ou le responsable informatique interne à un numéro que vous connaissez déjà (jamais celui fourni par le visiteur), demandez une pièce d'identité officielle avec photo et un bon de travail ou numéro de ticket vérifiable, et escortez-le en tout temps s'il est admis. En cas de doute, refusez poliment l'accès et proposez de reporter à un moment où l'identité pourra être confirmée.
Demandez une pièce d'identité avec photo, le nom de son employeur, et un numéro de bon de travail ou de ticket de service. Ensuite, composez vous-même le numéro officiel de l'entreprise ou du fournisseur — trouvé sur une facture antérieure ou le site web officiel, jamais sur une carte professionnelle remise par le visiteur — pour confirmer que cette personne est bien envoyée et attendue. Si votre PME utilise un fournisseur de services gérés régulier, vérifiez également auprès de votre contact interne habituel si une intervention était prévue ce jour-là.
Parce que les PME ont considérablement renforcé leur vigilance envers le phishing par courriel et les faux popups, ce qui pousse certains groupes criminels vers des tactiques moins attendues et donc plus efficaces. Une présence physique inspire naturellement davantage confiance qu'un courriel, contourne certains outils de sécurité informatique, et permet un accès direct au matériel — souvent combinée à un courriel de phishing envoyé quelques jours avant pour crédibiliser la visite.
Isolez immédiatement le poste concerné du réseau, ne le laissez pas continuer à être utilisé, et alertez sans délai votre responsable informatique ou fournisseur de services gérés. Changez les mots de passe de tous les comptes accessibles depuis ce poste à partir d'un autre appareil non compromis, documentez l'heure de la visite et la description du visiteur, et envisagez de contacter les autorités si une intrusion frauduleuse est confirmée. Un audit de sécurité complet est fortement recommandé même si aucun symptôme n'est visible immédiatement.
Oui, c'est une des mesures les plus rentables qu'une PME puisse mettre en place. Le personnel d'accueil est la première ligne de défense physique de l'entreprise, mais il reçoit rarement une formation en cybersécurité comparée à celle offerte aux employés de bureau. Une session courte, combinée à un protocole écrit de vérification affiché près de la réception, réduit considérablement le risque qu'un imposteur obtienne un accès.
Un audit de sécurité physique de base pour une petite PME québécoise se situe généralement entre 400 $ et 1 200 $, couvrant la revue des accès, des protocoles de réception et des zones sensibles. Un audit combiné physique et informatique, plus complet, coûte typiquement entre 1 000 $ et 3 500 $ selon la taille de l'entreprise et le nombre de sites. Ces montants restent nettement inférieurs au coût moyen d'une attaque par rançongiciel réussie, qui dépasse souvent plusieurs dizaines de milliers de dollars pour une PME.
Dans la grande majorité des cas, oui. Un fournisseur de services gérés légitime planifie ses interventions sur place à l'avance avec un contact désigné dans l'entreprise, sauf en de rares situations d'urgence déjà convenues au téléphone avec un responsable identifié. Une visite complètement imprévue, sans contact préalable confirmé par une personne que vous connaissez dans votre organisation, doit toujours être traitée avec un scepticisme accru, même si le visiteur semble professionnel et bien informé.
Le fait qu'un visiteur connaisse des détails précis sur un courriel, un ticket de support ou un incident récent ne prouve pas sa légitimité — cela indique souvent que les criminels ont eux-mêmes envoyé ce courriel de phishing quelques jours plus tôt pour préparer et crédibiliser leur visite physique. Suivez le même protocole de vérification indépendant peu importe le niveau de détail apparent que le visiteur semble posséder sur votre entreprise.
Commentaires (3)
On a vécu exactement le scénario du cabinet comptable décrit ici il y a deux semaines. Notre réceptionniste a appliqué le protocole à la lettre et le faux technicien est parti dès qu'elle a commencé à composer le vrai numéro du fournisseur. Formation bien investie.
On n'avait jamais pensé à la sécurité physique, seulement aux courriels de phishing. Après avoir lu ça on a affiché le protocole en 6 étapes juste à côté de notre réception dès le lendemain.
Le point sur ne jamais appeler le numéro donné par le visiteur lui-même m'a vraiment fait réaliser une faille dans notre façon de faire. On va revoir notre procédure d'accueil cette semaine.
Laisser un commentaire