Rançongiciels en France : pourquoi les TPE sont devenues la cible n°1

Ce que révèle le bilan 2025 de l’ANSSI

L’Panorama de la cybermenace 2025 (ANSSI/CERT-FR, remis en mars 2026) décompte 1 366 incidents de sécurité portés à la connaissance de l’agence en 2025. Le chiffre est stable par rapport à 2024 (1 361 incidents), mais il s’inscrit dans une pente de fond marquée : 831 incidents en 2022, 1 112 en 2023. Sur la même année, l’ANSSI a traité 3 586 événements de sécurité, en baisse de 18 % par rapport à 2024, une baisse que le rapport attribue au pic de signalements engendré par les Jeux olympiques de Paris en 2024.

Un point du rapport mérite d’être cité tel quel : ces chiffres reflètent la vision consolidée par les signalements émis par les bénéficiaires de l’agence, et ne sont pas nécessairement représentatifs de l’ensemble des événements qui touchent chaque secteur. Autrement dit, le niveau de menace réel est probablement supérieur au niveau mesuré, puisque beaucoup de victimes ne signalent jamais leurs incidents.

Les quatre secteurs les plus touchés concentrent 76 % des incidents : éducation et recherche (34 %), ministères et collectivités territoriales (24 %), santé (10 %), télécommunications (9 %). Le rapport l’explique en partie par le grand nombre d’entités publiques dans ces secteurs, plus enclines à signaler un incident à l’ANSSI.

Les TPE, nouvelles cibles privilégiées des rançongiciels

C’est la donnée la plus importante du rapport pour une petite entreprise : la part de TPE, PME et ETI parmi les victimes de rançongiciel est passée de 37 % en 2024 à 48 % en 2025. Près d’une victime sur deux appartient désormais à cette catégorie, alors que ces structures ne pèsent qu’une fraction du chiffre d’affaires national. Le rapport précise également que la part d’incidents touchant les établissements de santé est repartie à la hausse en 2025 (8 % selon l’ANSSI dans son Panorama 2025).

Pourquoi ce ciblage ? Les acteurs cybercriminels mènent des attaques opportunistes : ils ne choisissent pas leurs victimes par leur taille, ils scannent internet à la recherche de systèmes faciles à compromettre. Une TPE avec un mot de passe faible sur un accès distant ou un serveur non mis à jour est plus rentable pour un attaquant qu’une grande entreprise verrouillée. Le rapport note aussi que ces attaques peuvent avoir des conséquences majeures, comme l’interruption de chaînes de production ou de services fournis aux clients de la victime.

Qui attaque et comment : la mécanique de la double extorsion

Sur les 128 compromissions par rançongiciel recensées en 2025, le rapport identifie les groupes les plus actifs : Qilin (21 % des cas selon l’ANSSI), Akira (9 %) et LockBit 3.0 (au coude-à-coude derrière). Le nombre d’attaques par rançongiciel est en légère baisse par rapport à 2024, mais les méthodes se durcissent. La double extorsion est devenue la norme : l’attaquant chiffre d’abord les données de l’entreprise, puis menace de les publier si la rançon n’est pas payée. La pression peut être complétée par des attaques en déni de service ou par des tentatives d’extorsion directe auprès des clients de la victime, ce que le rapport appelle la triple extorsion.

Le rapport documente aussi le recours croissant aux infostealers, des programmes qui volent les mots de passe enregistrés dans les navigateurs. Pour une TPE, cela veut dire qu’un poste professionnel compromis via un usage personnel peut ouvrir l’accès à toute l’entreprise, surtout quand les usages professionnels et personnels ne sont pas séparés.

Le vol de données, la menace qui monte le plus vite

Le rapport consacre une section entière aux exfiltrations de données : 196 incidents de ce type en 2025, contre 130 en 2024, soit une hausse de 51 % (calcul effectué à partir des chiffres du rapport ANSSI). Ces vols sont souvent revendiqués publiquement sur des forums cybercriminels ou sur Telegram, mais l’ANSSI souligne que certaines revendications recyclent des données publiques ou déjà divulguées, ce qui complique l’évaluation du préjudice réel.

Les conséquences pour une petite entreprise dépassent la simple panne. Le rapport rappelle que les entités victimes risquent de perdre la confiance de leurs usagers, utilisateurs ou clients, voire de voir leur survie économique affectée. Pour un artisan ou un prestataire de services, une fuite de données clients (devis, factures, coordonnées) peut suffire à détruire une réputation construite en dix ans. Le sujet rejoint celui des arnaques par email décrites dans notre article sur les emails frauduleux ciblant les entreprises : l’ingénierie sociale est le point d’entrée le plus courant.

Quatre réflexes qui bloquent la majorité des attaques

Le rapport lui-même oriente vers les priorités. Quand l’ANSSI répond à un incident, l’usage est de privilégier l’extinction et l’isolation des systèmes, et de révoquer tous les authentifiants utilisés par l’attaque : cela montre que les comptes et mots de passe sont le nerf de la guerre. Les quatre réflexes qui en découlent :

• Authentification forte (MFA) sur les accès distants, la messagerie et tout outil d’administration.
• Sauvegardes hors ligne testées : une sauvegarde branchée en permanence est chiffrée en même temps que les données d’origine.
• Mises à jour des serveurs, postes et équipements d’accès distant : le rapport documente de nombreuses compromissions par des vulnérabilités connues.
• Séparation des usages professionnel et personnel : c’est la contre-mesure directe aux infostealers.

Si vous n’avez pas les ressources en interne, le portail public Cybermalveillance.gouv.fr met à disposition des guides et permet de trouver un prestataire référencé. Et si vous utilisez l’IA générative au quotidien dans votre activité, les précautions s’accumulent : notre article sur les vrais risques de l’IA pour une TPE détaille les points de vigilance.

Article rédigé par Raphaël Marieux. Mis à jour le 24/09/2026.

Sources : Panorama de la cybermenace 2025, ANSSI/CERT-FR ; Ma Sécurité (Ministère de l’Intérieur) ; Cybermalveillance.gouv.fr.