Il y a encore cinq ans, beaucoup de dirigeants de PME pensaient que la cybersécurité était un problème pour les grandes entreprises. Les hackers ciblaient les banques, les hôpitaux, les multinationales. Pas eux. Ce raisonnement est désormais dangereux. Selon le Panorama de la cybermenace 2025 publié par l’ANSSI en mars 2026, 48 % des victimes d’attaque par rançongiciel en France sont des TPE, PME ou ETI, contre 37 % l’année précédente. Les cybercriminels ont simplement compris que les petites structures sont moins bien protégées et plus enclines à payer rapidement pour s’en sortir. Voici les menaces réelles à connaître, et les actions concrètes à mettre en place sans avoir un département informatique dédié.
Pourquoi les PME sont devenues des cibles prioritaires
La logique des cybercriminels est purement économique. Une attaque réussie contre une PME demande beaucoup moins d’efforts techniques qu’une attaque contre un grand groupe, pour un rendement souvent suffisant. Les outils utilisés sont largement automatisés : des scanners parcourent des millions d’adresses IP en quelques minutes, identifient les systèmes vulnérables, et déclenchent l’attaque sans intervention humaine. Vous n’êtes pas ciblé personnellement. Vous êtes simplement trouvé.
Le coût de cette réalité est brutal. Selon les données publiées par plusieurs sources institutionnelles et cabinets spécialisés, une cyberattaque coûte en moyenne 59 000 euros en coûts directs à une PME française. Ce montant peut atteindre 466 000 euros dans le cas d’un rançongiciel paralysant l’activité sur plusieurs semaines, selon les chiffres issus d’un rapport de la Cour des comptes. Et 60 % des PME victimes d’une cyberattaque ferment définitivement dans les 18 mois suivant l’incident. Ce n’est pas une statistique abstraite. C’est une réalité que certains dirigeants découvrent trop tard.
Malgré ce contexte, trois entreprises sur quatre consacrent moins de 2 000 euros par an à leur cybersécurité, selon le baromètre Cybermalveillance.gouv.fr. L’écart entre la menace et la réponse apportée reste considérable.
Les principales menaces à connaître
Le phishing (hameçonnage)
C’est de loin la menace la plus fréquente et la plus efficace. Le phishing consiste à tromper un collaborateur via un email, un SMS ou un message Teams/Slack qui semble légitime, pour lui faire cliquer sur un lien malveillant ou saisir ses identifiants sur une fausse page. Un email qui imite parfaitement votre banque, votre logiciel de comptabilité, ou même votre dirigeant (« votre PDG » vous demande un virement urgent) : c’est le vecteur d’entrée numéro un des cyberattaques en France.
La variante la plus redoutable est le spear phishing : un email personnalisé qui utilise votre nom, le nom de votre entreprise, et parfois des informations tirées de LinkedIn pour sembler crédible. Ce type d’attaque contourne souvent les filtres antispam classiques.
Les rançongiciels (ransomware)
Un rançongiciel chiffre l’ensemble de vos données et vous exige une rançon (souvent en cryptomonnaie) pour les récupérer. Quand l’attaque réussit, c’est l’activité qui s’arrête net : plus d’accès aux fichiers, aux logiciels métier, aux bases clients. Parfois plusieurs semaines d’arrêt total pour des structures qui n’ont pas de plan de continuité. L’ANSSI classe les rançongiciels comme la menace la plus impactante pour les entreprises françaises depuis plusieurs années consécutives.
La compromission de compte
Un attaquant obtient les identifiants d’un collaborateur (via phishing, via une fuite de données d’un autre service en ligne, ou via des mots de passe trop faibles) et accède à vos outils internes : messagerie, espace de stockage partagé, ERP, CRM. Cette intrusion peut rester silencieuse pendant des semaines, le temps de collecter des informations sensibles, de détourner des paiements, ou de préparer une attaque plus large.
Les failles non corrigées
Chaque logiciel non mis à jour est une porte potentiellement ouverte. Les éditeurs publient régulièrement des correctifs de sécurité pour combler des vulnérabilités connues. Une PME qui ne met pas à jour ses systèmes (serveur, site web, logiciels métier) offre aux attaquants des accès documentés et exploitables. Les scanners automatiques les trouvent en quelques secondes.
Ce que la réglementation impose déjà
Deux textes méritent l’attention des dirigeants de PME, parce qu’ils créent des obligations concrètes et des risques financiers réels en cas de non-conformité.
Le RGPD impose de notifier la CNIL dans les 72 heures toute violation de données personnelles susceptible de représenter un risque pour les personnes concernées. Le non-respect de cette obligation peut déboucher sur des sanctions financières significatives. À titre d’exemple, une PME de e-commerce de 25 salariés ayant subi une fuite de 100 000 comptes clients s’est vu infliger une amende de 150 000 euros par la CNIL pour défaut de chiffrement, selon les décisions publiées sur son site.
La directive NIS2, transposée en droit français en 2024, étend les obligations de cybersécurité à de nombreuses entreprises qui n’étaient pas concernées par NIS1, notamment dans les secteurs de l’alimentation, de la fabrication, de la gestion des déchets, et des services numériques. Si votre entreprise fait partie d’une chaîne d’approvisionnement d’un acteur critique, les donneurs d’ordre exigent désormais de plus en plus souvent une conformité minimale comme prérequis commercial.
Les actions concrètes à mettre en place sans budget astronomique
La bonne nouvelle, c’est qu’une grande partie des cyberattaques qui touchent les PME exploitent des failles basiques, évitables avec des mesures simples. L’ANSSI et Cybermalveillance.gouv.fr recommandent une liste de priorités, dont voici les plus importantes :
- Activer l’authentification à deux facteurs (MFA) sur tous les comptes critiques : messagerie, VPN, outils cloud, accès administrateur. C’est la mesure qui bloque le plus d’intrusions pour le moins d’effort.
- Mettre à jour systématiquement tous les logiciels et systèmes d’exploitation, dès que les correctifs de sécurité sont disponibles. Activez les mises à jour automatiques partout où c’est possible.
- Sauvegarder régulièrement les données selon la règle 3-2-1 : 3 copies des données, sur 2 supports différents, dont 1 hors site (ou cloud déconnecté du réseau principal). Tester ces sauvegardes régulièrement est aussi important que de les faire.
- Former les collaborateurs à reconnaître un email de phishing. Une heure de sensibilisation par an réduit significativement le risque humain, qui reste la première porte d’entrée des attaquants.
- Utiliser un gestionnaire de mots de passe pour l’ensemble de l’équipe. Les mots de passe faibles ou réutilisés restent l’une des causes les plus fréquentes de compromission de compte.
- Définir une procédure de virement d’urgence : tout virement inhabituel doit faire l’objet d’une vérification orale par un second canal (appel téléphonique) avant exécution, quelle que soit la hiérarchie de l’expéditeur apparent.
Quel budget prévoir ?
L’ANSSI et le CESIN (club des experts de la sécurité de l’information et du numérique) convergent sur une recommandation de 5 à 10 % du budget informatique total consacré à la cybersécurité pour une PME exposée (e-commerce, données clients sensibles, sous-traitant d’acteurs critiques). Pour une PME avec un budget IT de 20 000 euros par an, ça représente entre 1 000 et 2 000 euros dédiés à la cybersécurité. C’est accessible, et c’est largement inférieur au coût moyen d’un incident.
Cybermalveillance.gouv.fr propose également un diagnostic cyber gratuit pour les TPE et PME, accessible directement sur leur site. C’est un bon point de départ pour identifier les failles prioritaires sans engager de prestataire immédiatement.
Ce qu’il faut retenir
La cybersécurité n’est plus réservée aux grandes entreprises. En 2026, 48 % des victimes de rançongiciels en France sont des TPE, PME ou ETI, et le coût moyen d’une cyberattaque atteint 59 000 euros en coûts directs, pouvant dépasser 466 000 euros dans les cas les plus graves. Les principales menaces (phishing, rançongiciels, compromission de compte, failles non corrigées) exploitent presque toujours des failles basiques et évitables. Les mesures prioritaires sont accessibles sans budget conséquent : MFA sur tous les comptes critiques, mises à jour systématiques, sauvegardes testées, sensibilisation des équipes et procédures de virement sécurisées. Le RGPD et la directive NIS2 ajoutent des obligations réglementaires réelles avec des sanctions financières documentées. Investir modestement en prévention reste infiniment moins coûteux qu’absorber les conséquences d’une attaque réussie.
