Google va racheter Wiz pour 32 milliards : cinq alertes cyber pour les PME

L’accord annoncé par Google pour acheter Wiz replace la cybersécurité au cœur de la stratégie des géants du cloud. Mais, pour une petite ou moyenne entreprise, l’actualité la plus urgente ne se joue pas nécessairement dans une grande opération financière : elle se niche souvent dans un e-mail pressant, une facture modifiée ou un faux changement de coordonnées bancaires.

Au 23 mars 2025, cinq signaux méritent d’être distingués. Ils vont de l’acquisition record de Wiz par Google à la montée des tentatives de phishing, en passant par la formation des salariés. Leur point commun est simple : la sécurité ne dépend jamais d’un seul logiciel. Elle repose aussi sur des contrôles concrets et sur la capacité des équipes à ralentir lorsqu’une demande paraît inhabituelle.

Les cinq signaux à retenir cette semaine

Google et Wiz : pourquoi cet accord est historique

Le 18 mars 2025, Google a annoncé avoir conclu un accord pour acquérir Wiz pour 32 milliards de dollars, intégralement en numéraire. Si la transaction est finalisée, il s’agira de la plus importante acquisition de l’histoire de Google, devant le rachat de Motorola Mobility annoncé en 2011.

Wiz est une jeune entreprise spécialisée dans la sécurité des environnements cloud. Fondée par quatre ingénieurs ayant une expérience dans le renseignement électronique, elle s’est fait connaître avec des outils capables d’identifier, depuis une vue centralisée, les failles, les mauvaises configurations et les accès à risque au sein d’infrastructures hébergées dans le cloud.

Cette spécialité répond à un problème très concret. Une entreprise peut utiliser simultanément des services de plusieurs grands fournisseurs, tout en ajoutant des applications et des données au fil de sa croissance. Dans cet ensemble, une autorisation trop large, une base de données accessible par erreur ou un logiciel non corrigé peut créer une porte d’entrée. Les outils de sécurité cloud cherchent à repérer ces expositions et à aider les équipes à les prioriser.

L’opération ne sort pas de nulle part. À l’été 2024, le conseil d’administration de Wiz avait refusé une première offre de Google, évaluée à plus de 21 milliards d’euros. La nouvelle proposition témoigne de la valeur stratégique prise par la sécurité du cloud, à mesure que les entreprises déplacent leurs systèmes et développent des usages d’intelligence artificielle.

Google prévoit que Wiz rejoigne Google Cloud. Le groupe a aussi indiqué que les produits de Wiz continueraient à fonctionner sur les principaux environnements cloud, notamment ceux d’Amazon Web Services, Microsoft Azure et Oracle Cloud. Ce point est déterminant : beaucoup d’entreprises ne veulent pas être enfermées dans un écosystème technique unique.

L’accord reste toutefois soumis aux conditions habituelles de finalisation, dont l’examen des autorités de la concurrence. Aux États-Unis, cette opération de très grande ampleur sera observée au regard de ses conséquences sur le marché de la cybersécurité et du cloud. Au 23 mars 2025, Google n’a donc pas encore finalisé l’acquisition.

Ce que le rapprochement peut, et ne peut pas, changer pour les PME

Pour les PME, l’annonce ne signifie pas qu’il faut remplacer sans attendre ses outils de sécurité. Le bénéfice potentiel se situe plutôt dans l’évolution de l’offre disponible : les fournisseurs de cloud cherchent à proposer des protections plus intégrées, capables de donner une vue plus claire sur les risques techniques.

Une entreprise qui utilise des logiciels hébergés, des services de stockage en ligne ou des applications métiers accessibles à distance doit pourtant commencer par des questions plus élémentaires : qui dispose des droits d’administration ? Quels comptes ne sont plus utilisés ? Les sauvegardes peuvent-elles être restaurées ? Les mises à jour critiques sont-elles appliquées ? Une technologie de sécurité avancée n’efface pas les erreurs de configuration ni l’absence de procédure.

La prudence est d’autant plus nécessaire que l’intégration de Wiz à Google Cloud n’est pas achevée. Les PME ont intérêt à comparer les offres selon des critères tangibles : compatibilité avec leurs outils, simplicité de déploiement, coût, accompagnement, alertes compréhensibles et capacité à corriger rapidement une exposition détectée.

Fraude au virement : le risque le plus immédiat pour les petites entreprises

La fraude au virement est souvent désignée sous le nom de fraude au faux fournisseur ou de fraude au président, selon le scénario employé. Le principe est similaire : un escroc se fait passer pour une personne légitime, par exemple un dirigeant, un fournisseur ou un partenaire, afin d’obtenir un paiement vers un compte qu’il contrôle.

L’attaque commence fréquemment par du phishing. Le pirate imite une adresse e-mail, reprend la signature d’un interlocuteur connu, utilise une facture crédible et invoque l’urgence. Dans le cas d’un changement de relevé d’identité bancaire, il suffit qu’une personne mette à jour des coordonnées sans vérification indépendante pour que le prochain règlement soit détourné.

Les PME sont particulièrement exposées lorsque les rôles sont concentrés entre peu de personnes et que l’urgence opérationnelle prime sur le contrôle. Elles ne sont pas démunies pour autant. Des mesures organisationnelles peu coûteuses réduisent déjà fortement la surface d’attaque :

• exiger une confirmation par téléphone, en utilisant un numéro déjà connu de l’entreprise, pour tout changement de coordonnées bancaires ;
• instaurer une double validation pour les virements inhabituels ou dépassant un montant défini en interne ;
• séparer, autant que possible, la création d’un bénéficiaire et l’autorisation du paiement ;
• signaler sans délai à la banque un virement douteux ou erroné ;
• conserver une liste à jour des interlocuteurs et procédures de paiement des fournisseurs.

Le point essentiel est que la vérification doit emprunter un autre canal que celui du message reçu. Répondre au même e-mail ou appeler le numéro indiqué dans une facture falsifiée ne constitue pas un contrôle fiable.

Alerte Gmail : distinguer la faille technique de l’arnaque

Une vulnérabilité liée à Gmail a été signalée comme pouvant menacer la sécurité de 2,5 milliards d’utilisateurs. Ce chiffre souligne l’ampleur potentielle d’un problème touchant une messagerie largement utilisée par les particuliers comme par les professionnels. Il ne permet toutefois pas, à lui seul, de conclure que tous les comptes sont compromis ou que chaque utilisateur a été ciblé.

Le périmètre technique, le correctif et le mode d’exploitation n’étant pas précisés dans l’alerte, la réaction la plus utile consiste à appliquer les principes de sécurité de compte qui valent dans tous les cas. Il faut notamment activer la validation en deux étapes, examiner les appareils et connexions associés au compte, révoquer les accès inconnus et utiliser un mot de passe unique et robuste.

Dans la pratique, beaucoup de messages prétendant alerter sur une prétendue faille Gmail sont eux-mêmes des tentatives de phishing. Un e-mail qui réclame un mot de passe, un code de validation ou l’installation immédiate d’un logiciel doit être considéré avec suspicion. Les services légitimes ne demandent pas par e-mail le code à usage unique censé protéger un compte.

Former les salariés sans les culpabiliser

Les protections techniques filtrent une partie des messages malveillants, mais elles ne peuvent pas traiter toutes les situations. Les fraudeurs exploitent le contexte humain : une comptable qui clôture une période, un salarié qui attend une facture ou un dirigeant en déplacement. La formation est donc une composante opérationnelle de la cybersécurité, et non une formalité administrative.

Une formation efficace ne consiste pas à envoyer une longue présentation une fois par an. Elle s’appuie sur des scénarios proches du quotidien : demande de paiement urgente, pièce jointe inattendue, lien vers un faux espace de partage de documents, changement de coordonnées bancaires ou faux message du service informatique.

Les simulations de phishing et les ateliers interactifs peuvent aider à créer les bons réflexes, à condition de ne pas transformer l’exercice en piège humiliant. L’objectif est de permettre à chacun de signaler rapidement un doute, sans craindre d’être tenu responsable. Une adresse ou un canal interne clairement identifié pour signaler les messages suspects rend cette vigilance plus concrète.

Start-ups et phishing dopé par l’IA : une innovation à évaluer avec méthode

Le panorama de la semaine met également en avant cinq start-ups de cybersécurité considérées comme prometteuses. Cette dynamique est révélatrice d’un secteur où les besoins évoluent rapidement, de la protection du cloud à l’analyse des menaces en passant par la gestion des identités.

Pour une PME, une jeune entreprise innovante peut proposer un outil adapté à un besoin précis. Mais la nouveauté ne doit pas remplacer l’évaluation. Avant d’adopter une solution, il faut vérifier ce qu’elle protège réellement, où les données sont stockées, quelles alertes elle génère, qui en assurera le suivi et comment récupérer ses données ou changer de fournisseur si nécessaire.

L’intelligence artificielle ajoute une difficulté dans ce paysage. Elle peut aider les défenseurs à analyser des volumes importants d’alertes, mais elle permet aussi aux attaquants de produire des e-mails plus fluides, mieux ciblés et plus convaincants. Les fautes d’orthographe, longtemps utilisées comme indice de fraude, ne suffisent plus à repérer un message malveillant.

La réponse ne consiste pas à supposer que tous les e-mails sont faux. Elle consiste à contrôler les éléments qui comptent : l’identité réelle de l’expéditeur, l’adresse de réponse, le contexte de la demande, le processus de validation et le caractère inhabituel de l’opération demandée.

Ce qu’il faut surveiller dans les prochains mois

L’examen réglementaire du rachat de Wiz sera le premier élément à suivre. Son issue déterminera si, et dans quelles conditions, Google pourra intégrer l’entreprise à Google Cloud. Les choix qui seront faits sur l’ouverture des produits de Wiz aux autres clouds intéresseront tout particulièrement les organisations qui ont adopté une stratégie multicloud.

Pour les PME, l’enjeu le plus concret restera la capacité à faire vivre des règles simples. Une politique de mot de passe sans validation en deux étapes, un outil de sécurité sans personne pour lire les alertes ou une procédure de virement que l’urgence permet de contourner offrent une protection incomplète.

La priorité n’est donc pas d’accumuler les solutions, mais d’articuler trois niveaux de défense : des comptes correctement protégés, des outils maintenus à jour et des salariés autorisés à vérifier avant d’agir. Face à des attaques de plus en plus crédibles, cette combinaison reste la meilleure manière de réduire le risque sans paralyser l’activité.