Une association, un club ou une petite école gèrent aujourd'hui une bonne partie de leur activité en ligne : page sur les réseaux sociaux, groupe de messagerie, adresse e-mail, tableur des membres, compte de paiement mobile. La perte d'un seul de ces comptes peut paralyser l'organisation ou exposer les données de ses membres.
Les attaques les plus fréquentes ne sont pas des opérations sophistiquées : ce sont des mots de passe devinés, des comptes laissés aux mains d'anciens membres et des messages trompeurs. Voici les gestes qui protègent l'essentiel.
1. Des mots de passe solides et uniques
Un mot de passe court ou réutilisé est la porte d'entrée la plus courante. Les bonnes pratiques :
- une phrase de passe plutôt qu'un mot : quatre ou cinq mots sans rapport entre eux, faciles à retenir et difficiles à deviner ;
- un mot de passe différent pour chaque compte important : si l'un fuit, les autres restent protégés ;
- jamais la date de naissance, le nom du club ou « 123456 ».
Pour retenir de nombreux mots de passe, un gestionnaire de mots de passe est la meilleure solution : il les stocke de façon chiffrée derrière un seul mot de passe principal.
2. Activer la double authentification
La double authentification ajoute une seconde vérification : un code reçu par SMS, ou mieux, généré par une application d'authentification sur le téléphone. Même si quelqu'un découvre le mot de passe, il ne peut pas se connecter sans ce code.
Activez-la en priorité sur :
- l'adresse e-mail principale de l'association, car elle permet de réinitialiser tous les autres comptes ;
- les pages et comptes sur les réseaux sociaux ;
- les comptes de paiement et de financement.
3. Ne pas dépendre d'une seule personne
Beaucoup d'associations perdent un compte parce qu'il était au nom d'un ancien président parti sans transmettre les accès. Pour l'éviter :
- créez une adresse e-mail propre à l'association, et non personnelle, pour tous les comptes ;
- désignez au moins deux administrateurs pour chaque page ou groupe ;
- tenez une liste des comptes (nom du service, adresse de connexion, administrateurs) conservée par deux responsables ;
- retirez les accès d'un membre qui quitte ses fonctions, le jour même.
4. Reconnaître les arnaques par message
Les escroqueries par message (SMS, messagerie instantanée, e-mail) sont devenues très convaincantes. Elles se ressemblent souvent :
- l'urgence : « votre compte sera fermé dans 24 heures » ;
- la fausse autorité : un message qui imite une banque, un opérateur, une administration ou un partenaire ;
- la demande inhabituelle : un code reçu par SMS à transmettre, un transfert d'argent urgent, un lien pour « vérifier » un compte.
La règle d'or : ne jamais communiquer un code reçu par SMS, et vérifier toute demande d'argent par un autre canal, par exemple en appelant directement la personne à un numéro déjà connu. Aucune organisation sérieuse ne demande un code de validation par message.
Les arnaques au faux partenaire sont fréquentes dans le monde associatif : un message prétend venir d'un bailleur ou d'une ONG et demande des frais pour débloquer une subvention. Un financement légitime ne se débloque jamais contre un paiement préalable.
5. Mettre à jour les appareils
Les mises à jour des téléphones et ordinateurs corrigent des failles de sécurité. Les reporter indéfiniment laisse ces failles ouvertes. Activez les mises à jour automatiques et évitez d'installer des applications hors des boutiques officielles.
6. Protéger les données des membres
Un fichier de membres contient des noms, des numéros de téléphone, parfois des informations sur des mineurs. Quelques principes :
- ne collecter que le nécessaire : inutile de demander une adresse précise si on ne s'en sert pas ;
- limiter l'accès au fichier aux responsables qui en ont besoin ;
- ne pas partager la liste des membres dans un grand groupe de messagerie ;
- demander l'accord des parents avant de publier des photos d'enfants.
7. Sauvegarder
Un téléphone perdu, un ordinateur en panne, et des années de documents disparaissent. Sauvegardez régulièrement les documents importants (statuts, comptes rendus, comptabilité, photos) sur un service en ligne et sur un support séparé. Vérifiez de temps en temps que la sauvegarde se restaure vraiment.
Une liste de contrôle pour la prochaine réunion
En une réunion, une association peut faire l'essentiel :
- Lister tous les comptes de l'organisation et leurs administrateurs.
- Ajouter un second administrateur partout où il n'y en a qu'un.
- Activer la double authentification sur l'e-mail et les réseaux sociaux.
- Changer les mots de passe partagés trop simples ou connus d'anciens membres.
- Rappeler à tous la règle : on ne transmet jamais un code reçu par SMS.
Newtiv.org forme les associations, les clubs et les écoles aux usages du numérique, sécurité comprise. Découvrez nos programmes ou contactez-nous.