Cybersécurité des TPE et PME : les menaces qui visent vraiment les petites entreprises
- Les TPE et PME, première cible des rançongiciels en 2025
- Le phishing reste la porte d’entrée principale des attaquants
- Vulnérabilités non corrigées et sous-traitants : les failles qui s’exploitent
- Les 10 règles d’or de l’ANSSI à appliquer dans une petite entreprise
- Que faire en cas d’attaque : les bons réflexes
- L’obligation légale de notifier une violation à la CNIL
- FAQ
Les TPE et PME, première cible des rançongiciels en 2025
Le rançongiciel reste la menace numéro un pour les petites structures. Le Panorama de la cybermenace 2025, publié par l’ANSSI en mars 2026 (PDF officiel), fait état de 128 compromissions par rançongiciel portées à la connaissance de l’agence sur l’année, un nombre en légère baisse par rapport à 2024 mais qui reste significatif. Le rapport désigne les PME/TPE/ETI comme la catégorie d’entités la plus touchée par ce type d’attaque.
La raison est simple : ces entreprises concentrent l’essentiel de la valeur (données clients, comptabilité, outils métier) sans disposer des équipes de sécurité des grands groupes. Les attaquants le savent et en font des cibles opportunistes. D’après le même rapport, les souches les plus représentées en 2025 sont Qilin (21 % des incidents), Akira (9 %) et Lockbit 3.0/Lockbit Black (5 %) (ANSSI). La franchise Qilin a d’ailleurs revendiqué plus de 700 victimes sur l’année, dont 185 en octobre 2025 seul.
La répartition par secteur, toujours dans le Panorama 2025 de l’ANSSI (source), confirme le ciblage des structures de proximité : 8 % des incidents de rançongiciel ont touché des établissements de santé, en hausse par rapport à 2024, et 11 % des collectivités territoriales. Les établissements scolaires ont également été particulièrement visés. Un exemple concret : en octobre 2025, l’attaque de l’équipementier Collins Aerospace, revendiquée par le groupe Everest, a perturbé le fonctionnement de plusieurs aéroports européens pendant plusieurs jours.
Le phishing reste la porte d’entrée principale des attaquants
Avant le rançongiciel, il y a presque toujours un e-mail ou un message frauduleux. Le Threat Landscape 2025 de l’ENISA (rapport européen), qui a analysé 4 900 incidents, identifie le phishing comme vecteur d’intrusion dominant, à l’origine de 60 % des compromissions. Les campagnes ont massivement intégré l’intelligence artificielle : début 2025, plus de 80 % des campagnes de phishing observées étaient soutenues par l’IA, selon le même rapport.
Les techniques évoluent aussi. L’ANSSI observe l’emploi de méthodes avancées comme le SIM-swapping (transfert frauduleux du numéro de téléphone), le MFA Fatigue (bombardement de demandes de connexion pour lasser la victime), l’usurpation d’identité ou l’hameçonnage vocal par téléphone. Une personne qui clique sur un lien piégé ou valide une connexion sans réfléchir peut compromettre toute la messagerie de l’entreprise. L’IA ne change pas la donne sur ce point : comme je le détaillais dans mon article sur les limites de l’IA défensive, un outil automatisé ne remplace pas la vigilance des équipes.
Vulnérabilités non corrigées et sous-traitants : les failles qui s’exploitent
Les attaquants exploitent d’abord des failles connues. Selon le Threat Landscape 2025 de l’ENISA (rapport), l’exploitation de vulnérabilités représente 21,3 % des accès initiaux, et les correctifs sont souvent publiés plusieurs jours avant l’attaque : un logiciel non mis à jour est une porte ouverte. Les risques liés à la chaîne d’approvisionnement pèsent 10,6 % des menaces recensées : un prestataire ou un sous-traitant compromis devient un point d’entrée vers ses clients.
Le Panorama ANSSI 2025 consacre d’ailleurs une section entière au ciblage des sous-traitants comme vecteur de compromission. Une TPE qui héberge le site ou la base de données d’un client plus gros peut se retrouver attaquée non pas pour elle-même, mais pour accéder aux données de ses donneurs d’ordre. La conséquence : même une petite entreprise doit traiter sa sécurité avec sérieux, car elle peut être le maillon faible d’une chaîne plus grande.
Les 10 règles d’or de l’ANSSI à appliquer dans une petite entreprise
L’ANSSI publie une liste de bonnes pratiques qui protègent contre la majorité des risques (10 règles d’or officielles). Voici les plus décisives pour une TPE ou PME :
- Mettre à jour systématiquement tous les logiciels et équipements, dès que les correctifs sont proposés.
- Activer la double authentification sur la messagerie, les comptes bancaires et les outils métier, ou a minima utiliser des mots de passe robustes et différents pour chaque accès.
- Sauvegarder régulièrement les données sur des supports distincts, idéalement hors ligne, pour pouvoir restaurer sans payer de rançon.
- Séparer les usages personnels et professionnels : ne pas connecter d’équipement personnel au réseau de l’entreprise, ne pas utiliser sa boîte pro pour des inscriptions personnelles.
- Se méfier des e-mails inattendus, des pièces jointes et des liens, même si l’expéditeur semble connu.
- Éviter les réseaux Wi-Fi publics pour accéder aux outils professionnels.
- Limiter les droits d’accès de chaque salarié au strict nécessaire.
Le coût de ces mesures est faible, et leur effet est mesurable : les incidents traités par l’ANSSI ont baissé de 18 % en 2025 par rapport à 2024, une évolution que l’agence relie en partie à la meilleure hygiène numérique des organisations.
Que faire en cas d’attaque : les bons réflexes
Si une attaque survient, le réflexe ne doit pas être la panique mais la méthode. Le dispositif public Cybermalveillance.gouv.fr (chiffres clés officiels) a enregistré plus de 504 000 parcours d’assistance en 2025, et plus de 1,87 million depuis sa création en 2017. L’organisme oriente les victimes vers des prestataires référencés : 85 % des demandes d’assistance des entreprises reçoivent une réponse d’un prestataire en moins d’une heure.
Les étapes à suivre : débrancher les équipements touchés pour limiter la propagation, ne pas payer immédiatement la rançon, prévenir les personnes concernées, puis signaler l’incident sur la plateforme Cybermalveillance ou via le service 17Cyber. Dans tous les cas, conserver les preuves (e-mails, messages, captures d’écran) qui serviront aux analyses et aux éventuelles démarches judiciaires.
L’obligation légale de notifier une violation à la CNIL
Une cyberattaque n’est pas qu’un problème technique, c’est aussi une question juridique. Dès qu’une violation de données personnelles touche l’entreprise (perte, vol, altération ou accès non autorisé à des données clients ou salariés), le RGPD impose de notifier la CNIL dans les 72 heures (définition et obligations sur le site de la CNIL). Les personnes concernées doivent aussi être informées lorsque le risque est élevé. La question des données personnelles et de leur traitement encadré dépasse d’ailleurs la seule cybersécurité : les usages de l’IA en entreprise posent leurs propres questions RGPD.
La notification permet à l’autorité d’accompagner l’entreprise dans la gestion de l’incident. Ce n’est pas une formalité à craindre, mais une démarche qui protège : l’absence de déclaration expose, elle, à des sanctions. Pour une petite structure, l’essentiel est de préparer à l’avance un document simple : qui contacter, quelles données sont concernées, comment restaurer l’activité.
Les chiffres clés de la cybermenace en France
| Indicateur | Valeur | Source |
|---|---|---|
| Compromissions par rançongiciel en 2025 | 128 | ANSSI, Panorama 2025 |
| Part des PME/TPE/ETI parmi les victimes de rançongiciels | Catégorie la plus affectée | ANSSI, Panorama 2025 |
| Incidents avec phishing comme vecteur d’intrusion | 60 % | ENISA, Threat Landscape 2025 |
| Accès initiaux via exploitation de vulnérabilités | 21,3 % | ENISA, Threat Landscape 2025 |
| Campagnes de phishing soutenues par l’IA (début 2025) | Plus de 80 % | ENISA, Threat Landscape 2025 |
| Parcours d’assistance Cybermalveillance en 2025 | 504 000 | Cybermalveillance.gouv.fr |
| Demandes d’assistance entreprises avec réponse en moins d’1 h | 85 % | Cybermalveillance.gouv.fr |
FAQ
Une TPE est-elle vraiment une cible pour les cybercriminels ?
Oui, et ce n’est pas une question de taille mais de valeur : une petite entreprise détient des données clients, une comptabilité et souvent un accès aux systèmes de partenaires plus gros. Le Panorama ANSSI 2025 le confirme : les PME/TPE/ETI arrivent en tête des victimes de rançongiciels en France, devant les grands comptes et les administrations.
Faut-il payer la rançon en cas d’attaque ?
Payer ne garantit pas la récupération des données et finance la filière criminelle. Le réflexe recommandé par les autorités : débrancher les équipements, signaler l’incident à Cybermalveillance.gouv.fr ou au 17Cyber, et restaurer depuis les sauvegardes si elles existent.
Quels sont les trois gestes les plus efficaces pour protéger une petite entreprise ?
Mettre à jour tous les logiciels dès que possible, activer la double authentification sur les accès sensibles, et sauvegarder régulièrement les données sur un support hors ligne. Ces trois mesures couvrent l’essentiel des vecteurs d’attaque documentés par l’ANSSI et l’ENISA.
Comment reconnaître un e-mail de phishing ?
Les signaux classiques : expéditeur inconnu ou légèrement modifié, urgence à agir, pièce jointe inattendue, demande de connexion ou d’informations. En cas de doute, ne pas cliquer et contacter directement l’expéditeur par un autre canal, par exemple par téléphone.
Que se passe-t-il si je ne notifie pas une violation de données à la CNIL ?
Le RGPD prévoit un délai de 72 heures pour déclarer une violation à la CNIL après en avoir pris connaissance. Ne pas déclarer, c’est s’exposer à une sanction financière, alors que notifier permet à l’autorité de vous accompagner et de vérifier les mesures prises. Le dossier se prépare d’ailleurs à froid, avant l’incident.
Un antivirus suffit-il à protéger une entreprise ?
Non. L’antivirus ne couvre qu’une partie des vecteurs d’attaque. Les mises à jour, la double authentification, les sauvegardes et la vigilance des équipes face au phishing sont au moins aussi importants, comme le rappellent les bonnes pratiques de l’ANSSI.
Sources : ANSSI, Panorama de la cybermenace 2025 · ENISA, Threat Landscape 2025 · Cybermalveillance.gouv.fr · CNIL · ANSSI, 10 règles d’or
