1 982 attaques en 6 jours : ce que subit vraiment un serveur de PME, et comment nous le protégeons

Chapô : Nous avons regardé de près ce qui arrive à notre propre serveur de production. Du 14 au 20 octobre 2026, en seulement 6 jours, Sentinelle a détecté et traité 1 982 attaques, et Rempart a bloqué plus de 168 000 tentatives malveillantes. Voici ce que cela veut dire concrètement pour une PME, chiffres réels à l'appui.

Le contexte : être en ligne, c'est être exposé en permanence

Chez CINQ, nous sommes la direction technologique externalisée des PME : un DSI/CTO à temps partagé, sans le coût d'un poste à temps plein. Comme beaucoup de nos clients, nous faisons tourner notre activité sur Internet : nos sites, nos applications, nos outils internes et ceux que nous développons sont hébergés sur notre serveur de production.

C'est la situation de la plupart des PME aujourd'hui : un site vitrine, une boutique en ligne, un espace client, un logiciel métier accessible à distance… Dès qu'un service est en ligne, il est visible par tout le monde. Y compris par des programmes automatiques qui passent leurs journées à chercher une porte mal fermée.

On pense souvent : « Nous sommes trop petits pour intéresser des pirates. » En réalité, la plupart des attaques ne visent personne en particulier. Elles sont automatisées et testent tout ce qui est connecté, 24 heures sur 24. La taille de l'entreprise ne change rien.

Ce que subit réellement un serveur exposé

Pour le montrer, nous avons pris les chiffres de notre propre infrastructure. La période est courte : 6 jours, du 14 au 20 octobre 2026, car notre historique ne remonte pas plus loin. Ce ne sont donc pas des totaux sur un mois ou une année, simplement ce qui s'est passé en moins d'une semaine.

Sur ces 6 jours, Sentinelle a détecté et traité 1 982 attaques, soit environ 328 par jour, venant de 485 adresses différentes.

Voici, en clair, ce que ces visiteurs indésirables essayaient de faire :

• Tomber dans nos pièges à robots (536) : nous laissons volontairement des « appâts » qu'aucun visiteur normal ne touche. Les programmes malveillants qui s'y précipitent se démasquent tout seuls.
• Sonder nos sites (323) : ils frappent à toutes les portes pour voir lesquelles répondent.
• Chercher des fichiers sensibles (245) : ils tentent de trouver des documents oubliés, des sauvegardes ou des fichiers internes laissés accessibles par erreur.
• Deviner les accès administrateur (157), plus 26 tentatives pour deviner des identifiants : ils essaient des milliers de combinaisons de mots de passe en espérant tomber sur la bonne.
• Aspirer ou explorer nos sites de façon abusive (156) : ils copient le contenu en masse ou parcourent tout, bien au-delà d'un usage normal.
• Chercher les pages d'administration (138) : ils cherchent l'entrée réservée aux gestionnaires du site.
• Identifier les technologies utilisées (108) : ils veulent savoir sur quoi tourne le site, pour savoir quelles failles essayer.
• Voler des fichiers de configuration (64) : ce sont les fichiers qui contiennent les réglages, et parfois des mots de passe.
• Remonter dans les dossiers (62) : ils tentent de sortir de la partie publique du site pour aller fouiller ailleurs sur le serveur.
• Tester des failles connues (33) : ils essaient des failles de sécurité déjà publiées, en espérant tomber sur un logiciel pas à jour.
• Scanner les outils de gestion de sites (25) : ils vérifient si un outil de création de site connu est installé, pour en exploiter les faiblesses.

D'où viennent ces attaques ? Principalement des États-Unis, de Belgique, des Pays-Bas et d'Allemagne. Et une grande partie vient de serveurs loués dans le cloud, souvent à l'étranger. Autrement dit, il ne s'agit pas d'un pirate isolé derrière son écran, mais de machines louées à bas prix pour attaquer en masse, puis abandonnées.

La décision : confier la protection à des spécialistes

Face à ce flux continu, deux options : y consacrer du temps en interne (compétences pointues, veille permanente, astreintes la nuit et le week-end), ou confier le sujet à une équipe dont c'est le métier.

Pour notre propre infrastructure, nous appliquons ce que nous proposons à nos clients. La protection repose sur quatre piliers :

• Rempart, le bouclier : il bloque les visiteurs malveillants avant qu'ils n'atteignent le serveur. Il s'appuie notamment sur une liste d'environ 22 000 adresses malveillantes connues, refusées d'office.
• Sentinelle, la cybersurveillance : elle repère les comportements suspects, comme quelqu'un qui teste des mots de passe en boucle ou fouille là où il ne devrait pas, et elle réagit aussitôt en bannissant l'auteur.
• La surveillance continue : l'état du serveur est suivi en permanence, pour détecter un problème avant qu'il ne devienne une panne.
• Les sauvegardes : en cas de coup dur, on doit pouvoir tout remettre en route. Elles sont automatiques, quotidiennes et contrôlées.

Les résultats, chiffres réels à l'appui

Rappel : tous les chiffres ci-dessous portent sur 6 jours, du 14 au 20 octobre 2026, la totalité de l'historique disponible au moment de la mesure.

• Plus de 168 000 tentatives malveillantes bloquées par Rempart avant même d'atteindre le serveur.
• 1 982 attaques détectées et traitées par Sentinelle (environ 328 par jour), venant de 485 adresses différentes.
• 1 749 tentatives de connexion forcée repoussées (des programmes qui essaient des mots de passe à la chaîne) et 165 adresses bannies.
• 6 sauvegardes automatiques chaque nuit : la base de données, le serveur complet, tous les sites, les applications, le code, et une copie conservée hors site, au cas où le serveur lui-même serait touché.
• Des sauvegardes vérifiées chaque matin : sur la période, 3 contrôles « OK » et aucune anomalie, complétés par un bilan chaque semaine.
• Un serveur en service sans interruption depuis 18 jours au moment de la mesure.

Voici, en direct, une partie de ce que notre protection arrête en ce moment même. Chaque point correspond à une tentative bloquée avant d'atteindre notre serveur.

Ce que cela change pour un dirigeant

Ces chiffres ne sont pas là pour faire peur. Ils montrent une réalité : votre activité en ligne est sollicitée en permanence, que vous le sachiez ou non. La question n'est pas si quelqu'un essaiera d'entrer, mais qui fait le guet pendant ce temps.

Confier ce rôle à CINQ, c'est :

• Avoir l'esprit tranquille : les attaques sont bloquées ou traitées sans que vous ayez à intervenir, jour et nuit, week-end compris.
• Assurer la continuité de votre activité : un site ou un logiciel qui reste en ligne, c'est du chiffre d'affaires et des clients qui ne partent pas ailleurs. Et si un incident survient, des sauvegardes vérifiées permettent de repartir.
• Avancer sur la conformité : protection des données, traçabilité, sauvegardes contrôlées… autant d'éléments que demandent de plus en plus vos clients, vos assureurs et la réglementation.
• Ne pas monter d'équipe sécurité en interne : pas de recrutement difficile, pas d'astreintes à organiser, pas de veille à assurer. Vous bénéficiez d'un dispositif de professionnel, à coût maîtrisé.

Et vous, qui surveille votre serveur cette nuit ?

Le dispositif qui protège notre propre infrastructure est celui que nous proposons à nos clients avec CINQ Sentinelle, notre cybersurveillance managée. L'offre Pro, à 149 € par mois, réunit surveillance continue, blocage des attaques et suivi régulier, sans que vous ayez à vous en occuper.

👉 Découvrir CINQ Sentinelle