Crypto et entreprise : les 7 règles de sécurité indispensables

Avec la crypto, il n’y a généralement pas de guichet où réclamer une opération mal faite : une erreur ou un vol sont souvent définitifs. La bonne nouvelle, c’est que la majorité des risques se réduisent avec quelques règles simples, applicables sans équipe informatique. Voici les sept que nous jugeons indispensables.

Règle 1 – Séparer strictement le professionnel et le personnel

Utilisez des comptes, des adresses e-mail et, si possible, des appareils dédiés à l’activité de l’entreprise. Un portefeuille ou un compte pro ne doit pas être relié à votre messagerie personnelle ni utilisé pour des essais. Cette séparation limite les dégâts si l’un des deux univers est compromis, et facilite la comptabilité.

Règle 2 – Activer l’authentification multifacteur partout

Un mot de passe seul ne suffit pas. L’ANSSI recommande de privilégier l’authentification multifacteur et, parmi les facteurs, ceux reposant sur la possession d’un objet (une clé de sécurité physique, par exemple)^[1]. Associez-y un coffre-fort de mots de passe, comme le recommandent l’ANSSI et la CNIL, afin d’utiliser un mot de passe long et unique pour chaque service^[1][2].

Règle 3 – Protéger les clés et les phrases de récupération

Si vous gérez vous-même un portefeuille, la phrase de récupération (une suite de mots) donne accès à tous les fonds. Quelques principes :

• Ne la photographiez pas, ne la saisissez dans aucun site, ne l’envoyez à personne, y compris à un prétendu « support ».
• Conservez-la hors ligne, sur un support durable, dans au moins deux lieux sûrs distincts.
• Prévoyez qui peut y accéder si vous êtes indisponible, et dans quelles conditions.

Règle 4 – Exiger une double validation

Aucun paiement sortant important ne devrait dépendre d’une seule personne. Fixez un seuil au-delà duquel une seconde personne valide l’opération, ou utilisez une solution qui exige plusieurs approbations. Cette règle protège autant contre la fraude et la contrainte que contre la simple erreur de saisie.

Règle 5 – Vérifier chaque adresse, tester avant de payer gros

Les adresses crypto sont longues et illisibles : une erreur ou une substitution malveillante lors d’un copier-coller est possible. Avant tout envoi :

• Comparez le début et la fin de l’adresse avec une source fiable, par un second canal (appel, message vérifié).
• Vérifiez le réseau (blockchain) attendu.
• Envoyez d’abord un petit montant de test.
• Gardez une liste d’adresses approuvées et limitez les modifications.

Règle 6 – Rester vigilant face à l’hameçonnage et aux faux supports

Les escroqueries reposent souvent sur l’urgence : faux e-mail du « service client », faux lien, faux conseiller vous demandant d’installer un logiciel ou de communiquer un code. Adoptez des réflexes : ne cliquez pas depuis un message reçu, accédez aux services via vos favoris, ne communiquez jamais de code de validation, et vérifiez qu’un prestataire est bien autorisé via la liste blanche de l’AMF^[3]. En cas de doute, interrompez l’opération et rappelez le prestataire via un numéro que vous avez vous-même retrouvé.

Règle 7 – Organiser les droits d’accès, les mises à jour et la réaction aux incidents

La sécurité est aussi une affaire d’organisation. Concrètement :

• Limitez les droits au strict nécessaire et retirez les accès d’une personne qui quitte l’entreprise.
• Maintenez à jour les appareils et les applications utilisés.
• Rédigez une page « que faire en cas de problème » : qui prévenir, quels accès couper, quelles preuves conserver.

Le guide d’hygiène informatique de l’ANSSI, qui présente 42 mesures de sécurité, constitue une base utile pour structurer ce travail^[4].

Les erreurs les plus fréquentes

Dans les petites structures, les incidents viennent rarement d’une attaque sophistiquée. Ils viennent plutôt de situations ordinaires : un seul collaborateur qui détient tous les accès, une phrase de récupération conservée dans un e-mail ou une photo, un paiement validé à la hâte parce qu’un message semblait urgent, ou un ancien salarié dont le compte n’a jamais été fermé. Chacune de ces situations se corrige par une règle de la liste ci-dessus. Relisez-la une fois par trimestre, en équipe, comme un contrôle de routine : c’est souvent là que l’on repère ce qui a changé sans que personne s’en aperçoive.

Par où commencer ?

Si vous ne deviez faire que trois choses cette semaine : activer l’authentification multifacteur sur tous les comptes liés à la crypto, mettre en place une double validation pour les sorties de fonds, et écrire où et comment sont conservées les clés de récupération. Le reste pourra suivre par étapes.

Auto-évaluation express

• Comptes et appareils professionnels séparés
• Authentification multifacteur activée et coffre-fort de mots de passe en place
• Phrases de récupération stockées hors ligne, en deux lieux
• Seuil de double validation défini
• Procédure de vérification des adresses écrite
• Équipe sensibilisée à l’hameçonnage
• Droits d’accès revus et plan d’incident rédigé