Un lundi matin, l’un se connecte depuis son salon, l’autre depuis un train : en matière de télétravail et de cybersécurité, le périmètre à protéger suit chacun, avec sa box et son téléphone personnel, bien au-delà des locaux. Les accès à distance relient alors les télétravailleurs au système d’information.
Dans de nombreux incidents traités en 2025, l’ANSSI a constaté des intrusions passant par des comptes VPN (réseau privé virtuel) dépourvus d’authentification forte. De la surface d’attaque à la checklist à cocher entre deux visioconférences, voici de bonnes pratiques simples à partager en entreprise comme en collectivité, pour avancer sur la sécurité informatique du télétravail.
L’essentiel en bref :
- Le télétravail élargit le périmètre à protéger car chaque connexion à distance et chaque appareil supplémentaire ajoutent un point de contact avec l’extérieur, et les équipements d’accès comme les VPN comptent parmi les cibles privilégiées des attaquants.
- Un VPN d’entreprise associé à une double authentification forme la base d’un accès à distance sécurisé.
- Le Wi-Fi domestique se sécurise avec quelques réglages de la box : mot de passe par défaut remplacé, chiffrement WPA2 ou WPA3 vérifié, réseau dédié aux objets connectés.
- Les appareils personnels sont courants en télétravail (58 % des TPE-PME interrogées en 2025). Le matériel fourni par l’employeur est à privilégier, avec séparation des usages, chiffrement et gestion des appareils lorsqu’un appareil personnel est retenu.
- Une charte de sécurité et une checklist de dix points donnent des règles claires à chaque télétravailleur.
- La montée en compétences aide à adopter ces pratiques : les Parcours Apprenants Cybersécurité de Pix Pro proposent une évaluation, puis des modules d’une dizaine de minutes adaptés à chacun pour reconnaître les menaces et sécuriser ses comptes.
Télétravail et cybersécurité : un territoire élargi à protéger
Chaque connexion et chaque appareil supplémentaire ajoute un point de contact avec l’extérieur. Voici où se concentre l’attention des attaquants.
Des accès à distance très convoités
Pour se connecter au réseau de l’organisation depuis son domicile, le télétravailleur peut passer par un VPN : un tunnel chiffré entre son poste et ce réseau. Les attaquants cherchent notamment à y entrer de deux façons : par les équipements qui font fonctionner le VPN, ou par les comptes qui servent à s’y connecter.
Les équipements sont situés en bordure du réseau et attirent des attaques massives et opportunistes. Depuis le début de 2025, l’ANSSI a été alertée de multiples compromissions d’équipements VPN. En avril 2025, le CERT-FR a signalé une campagne massive touchant de nombreux équipements Fortinet FortiGate en France, dont certains étaient compromis dès le début de 2023. Selon l’éditeur, seuls sont concernés ceux dont la fonction VPN (SSL-VPN) est ou a été activée. En cas de compromission, le CERT-FR précise que les mises à jour de sécurité se complètent d’une vérification de l’équipement et du renouvellement des secrets (mots de passe, certificats, clés) qui y transitent.
Les comptes de connexion sont l’autre point d’entrée : l’ANSSI est intervenue sur de nombreux cas de rançongiciel où l’attaquant avait pénétré dans le réseau par un compte VPN dépourvu d’authentification forte, c’est-à-dire d’un contrôle allant au-delà du mot de passe. Cette méthode reste, selon elle, une voie d’entrée privilégiée des attaquants.
Le cas Free : une authentification au VPN jugé trop peu robuste
En janvier 2026, la CNIL a sanctionné Free Mobile (27 M€) et Free (15 M€) à la suite d’une intrusion d’octobre 2024 touchant 24 millions de contrats d’abonnés. Elle a notamment relevé l’authentification au VPN de chaque société, jugée insuffisamment robuste, ce VPN étant utilisé en particulier pour le travail à distance des employés, ainsi que des mesures de détection des comportements anormaux jugées inefficaces. La décision ne détaille pas le mode d’intrusion : elle porte sur les mesures de sécurité mises en place, dont l’authentification des accès à distance.
Appareils personnels en télétravail : un usage répandu en entreprise comme en collectivité
Selon un sondage OpinionWay pour Cybermalveillance.gouv.fr en 2025, 58 % des TPE et PME interrogées utilisent des équipements personnels pour leurs activités professionnelles, le téléphone portable étant cité par 91 % d’entre elles.
Une étude OpinionWay de 2024 auprès des communes de moins de 25 000 habitants dresse un tableau voisin : 58 % d’usage, dont 92 % pour le téléphone.
Or, le niveau de sécurité de ces appareils échappe à la vérification de l’organisation : Cybermalveillance.gouv.fr souligne que certains peuvent même être déjà compromis par un usage personnel. Dans son rapport sur l’incident de la DGFiP (Direction générale des finances publiques), présenté plus bas, l’ANSSI recommande de réserver l’accès aux applications internes aux postes administrés par l’administration, avec un passage par un VPN dédié aux agents lorsque la connexion se fait depuis Internet. Entreprises, collectivités et administrations sont toutes concernées par ces enjeux de cybersécurité.
VPN d’entreprise et Wi-Fi domestique : sécuriser ses connexions en télétravail
Du bureau à la cuisine, la sécurité se joue sur deux maillons : la passerelle VPN et la box.
VPN d’entreprise et double authentification : le duo de base
Ce VPN entreprise devient un VPN sécurisé lorsqu’il s’associe à une double authentification (un second contrôle en plus du mot de passe, aussi appelé authentification multifacteur) et à des équipements tenus à jour.
Le rapport de l’ANSSI sur l’incident de la DGFiP à l’été 2026 décrit deux intrusions revendiquées par un même acteur. Dans l’une, le portail APEX, réservé aux partenaires de l’administration comme les notaires et les géomètres-experts, demandait un identifiant, un mot de passe, puis un code à usage unique reçu par e-mail. Selon les investigations de la DGFiP, la compromission du poste d’un géomètre-expert, dans un cabinet privé, a permis de contourner ce second facteur, puis d’accéder à des données cadastrales et de les extraire entre le 27 juillet et le 8 août 2026. Pour l’ANSSI, ce code reçu par e-mail s’est révélé insuffisant dans ce cas. Elle recommande un second facteur résistant à la compromission du premier, comme une application d’authentification ou un jeton physique, de préférence délivré sur un appareil différent : un code envoyé par e-mail perd son intérêt lorsque la messagerie s’ouvre avec un simple identifiant et mot de passe.
Où en sont les organisations en matière de double authentification ?
Parmi celles équipées de dispositifs de cybersécurité, 26 % des TPE-PME (2025) et 11 % des collectivités (2024) déclarent disposer de la double authentification pour se connecter depuis l’extérieur, télétravail et télémaintenance compris. Cette protection a encore de la place pour se généraliser.
Sécuriser son Wi-Fi à domicile en télétravail : cinq réglages de box
Cinq réglages de la box, ou routeur, sécurisent le Wi-Fi domestique :
- un mot de passe Wi-Fi long, complexe et unique
- un mot de passe d’administration distinct
- un chiffrement WPA2 ou WPA3 vérifié dans l’interface
- le WPS (connexion simplifiée) et l’administration à distance désactivés lorsque l’usage le permet
- un réseau invité ou dédié aux objets connectés
Les box des principaux fournisseurs se mettent à jour automatiquement ; les routeurs, répéteurs Wi-Fi et adaptateurs CPL (qui font passer le réseau par les prises électriques) sont à actualiser dès qu’une nouvelle version est disponible.
BYOD en télétravail : encadrer les appareils personnels
Le téléphone personnel qui consulte la messagerie professionnelle relève du BYOD (bring your own device) : un sujet de cadrage, en matière de sécurité des smartphones en entreprise, plus qu’une question de principe.
Risques du BYOD : ce que les responsables de la sécurité en pensent
Le regard des responsables de la sécurité des systèmes d’information (RSSI) évolue. Selon le baromètre du CESIN (Club des experts de la sécurité de l’information et du numérique), réalisé fin 2025 auprès de 397 de ses membres, issus majoritairement d’organisations de plus de 250 salariés, 49 % jugent élevé ou très élevé le risque lié au BYOD (16 % très élevé), contre 64 % à la vague précédente.
L’enquête signale ce recul comme significatif, ce qui peut laisser penser que les organisations maîtrisent davantage les usages des appareils personnels. Près d’un répondant sur deux juge toutefois le risque élevé ou très élevé, et le BYOD gagne à être structuré avec méthode, comme le détaille la suite.
Encadrer le BYOD : séparation, chiffrement, gestion des appareils
Le premier réflexe consiste à équiper les télétravailleurs d’un matériel professionnel fourni par l’employeur, avec des postes gérés par l’organisation, un disque chiffré et, pour les smartphones, une solution MDM (Mobile Device Management) qui applique les règles de sécurité informatique à distance.
Lorsqu’un collaborateur utilise son appareil personnel, la CNIL recommande plusieurs mesures :
- Pour la séparation, l’employeur donne son accord à l’usage de l’appareil personnel et la partie professionnelle de l’appareil est cloisonnée dans une bulle de sécurité.
- Pour le chiffrement, les échanges sont protégés par un VPN ou le protocole HTTPS, et l’accès à distance s’appuie sur une authentification robuste de l’utilisateur.
- Pour la gestion de l’appareil, un mot de passe verrouille l’écran, un antivirus est à jour et une procédure encadre la perte, avec l’effacement à distance des seules données professionnelles.
Le niveau de cadrage dépend de la sensibilité des données, la direction arbitrant avec l’éclairage de la DSI. À la DGFiP, dans une seconde intrusion décrite par l’ANSSI, plusieurs dizaines d’identifiants d’agents ont été volés sur trois mois, probablement par des logiciels espions (infostealers) installés sur des ordinateurs non administrés par la DGFiP, dont, selon le rapport, des appareils personnels. Ces identifiants ont permis à l’attaquant d’accéder aux applications de l’administration, et des données concernant près de 353 000 particuliers et 252 000 professionnels ont ensuite été publiées. Depuis, l’ANSSI recommande à cette administration d’exclure les appareils personnels de l’accès aux ressources métiers, une mesure adaptée à son contexte.
La sensibilisation à la cybersécurité complète le cadrage du BYOD. Les Parcours Apprenants Cybersécurité de Pix Pro proposent deux thématiques : “Connaître les menaces et s’en protéger” pour aider les collaborateurs à reconnaître l’hameçonnage, et “Sécuriser ses comptes sur les services en ligne” pour aborder les mots de passe, les gestionnaires de mots de passe et la double authentification. Découvrez-les :
