Chaque été, le BYOD redessine la surface d’attaque des PME, souvent à leur insu. Terminaux personnels non managés, réseaux publics non chiffrés, équipes IT réduites : la conjonction est prévisible, mais rarement traitée comme un risque à part entière.
Le périmètre managé se déplace hors de contrôle
Chaque été, une partie des collaborateurs continue d’accéder aux ressources de l’entreprise depuis des environnements que la DSI ne contrôle pas. Wi-Fi d’un hôtel, d’un café ou d’une location saisonnière : le terminal utilisé est souvent personnel plutôt que le poste professionnel habituel.
Ce recours au BYOD (Bring Your Own Device) n’est pas un phénomène nouveau. Mais il s’intensifie en période estivale, au moment précis où les équipes IT sont elles-mêmes réduites pour cause de congés. Pour une PME, cette conjonction élargit mécaniquement la surface d’attaque, sans que la direction en ait toujours conscience.
Ce que révèlent les chiffres régionaux
Selon l’Agence nationale de la sécurité informatique (ANSI), la Tunisie a enregistré plus de 57 000 cyberattaques au premier semestre 2025. Au Maroc, la Direction générale de la sécurité des systèmes d’information (DGSSI) rapporte un chiffre tout aussi préoccupant : 62 % des PME y ont subi une cyberattaque en 2024.
Ce sont les organisations les moins équipées techniquement qui voient leur exposition augmenter durant l’été. Trois facteurs se combinent : des réseaux publics non chiffrés, des terminaux personnels sans solution de protection à jour, et un accès aux données professionnelles depuis des environnements non supervisés.
Un vecteur classique de compromission latérale
Techniquement, le risque ne se limite pas au terminal compromis lui-même. Un accès initial obtenu depuis l’appareil d’un collaborateur en vacances peut servir de point de bascule vers l’ensemble du système d’information. Messagerie professionnelle, outils de facturation, accès aux données clients : c’est le scénario classique du mouvement latéral post-compromission.
Pour une PME sans équipe IT dédiée ni supervision continue (SOC), le délai de détection d’une intrusion se compte souvent en jours plutôt qu’en heures. Ce délai a un impact direct sur la continuité d’activité. Il peut aussi fragiliser la confiance des partenaires et des clients.
Quatre mesures techniques à déployer avant l’été
ESET recommande quatre mesures concrètes pour limiter l’exposition des PME durant la période estivale :
- Une politique BYOD écrite et communiquée avant l’été, précisant quels outils professionnels peuvent être utilisés depuis un appareil personnel, et lesquels doivent en rester exclus (accès bancaires, données clients, systèmes de facturation).
- Un VPN obligatoire pour tout accès distant. Un réseau Wi-Fi public d’hôtel ou de café ne doit jamais servir de point d’accès direct aux outils de l’entreprise sans chiffrement du trafic.
- Une solution de protection des terminaux (endpoint) déployée sur chaque appareil, y compris personnel, avec mise à jour automatique. Elle permet de conserver une visibilité sur les connexions même en sous-effectif IT.
- Une procédure d’alerte simplifiée et accessible en dehors des horaires habituels. L’objectif : qu’un collaborateur suspectant une compromission (perte d’appareil, clic sur un lien douteux) sache immédiatement qui contacter.
L’analyse d’ESET
« Le risque cyber ne prend pas de vacances. Pour les directions, l’enjeu estival n’est pas de renoncer à la flexibilité du télétravail, mais de s’assurer que cette flexibilité repose sur un cadre clair — faute de quoi elle devient, chaque année, le point faible le plus prévisible du calendrier », souligne Mohamed Amine Dahmani, Responsable régional des ventes chez ESET Afrique du Nord-Ouest.
Pour les équipes IT, l’enjeu est donc clair : traiter le BYOD estival comme une extension temporaire, et prévisible, du périmètre à sécuriser. Pas comme une exception à gérer au cas par cas.
