Une entreprise française sur deux avait été attaquée en 2024. En 2025, ce chiffre a reculé à 40 % selon le baromètre CESIN — non pas parce que les attaquants se font rares, mais parce que les défenses progressent enfin. Reste que 81 % des organisations touchées déclarent un impact business significatif : arrêt de production, perte d’image, transactions frauduleuses. La fenêtre entre être ciblé et subir des dommages réels se mesure désormais en heures, parfois en minutes.
Ce guide passe en revue ce qui a réellement changé dans le paysage des menaces, les chiffres que vous devez connaître pour défendre un budget auprès de votre direction, et les mesures concrètes — outils nommés, protocoles spécifiques — qui font la différence entre une attaque contenue et une crise totale.
Le panorama de la menace en 2025-2026 : les chiffres de l’ANSSI
Le Panorama de la cybermenace 2025 publié par le CERT-FR en mars 2026 (CERTFR-2026-CTI-002) dresse un tableau nuancé : l’ANSSI a traité 3 586 événements de sécurité en 2025, dont 1 366 incidents confirmés — un niveau stable par rapport à 2024. Mais la stabilité des volumes ne signifie pas une accalmie. Elle masque une transformation profonde des modes opératoires.
Côté rançongiciels, 128 compromissions ont été portées à la connaissance de l’ANSSI en 2025. Les PME, TPE et ETI restent la catégorie la plus affectée. Et les établissements de santé représentent à nouveau 8 % des victimes — une proportion en hausse, qui rappelle que certains secteurs ne peuvent pas se permettre le luxe d’un arrêt d’activité.
Côté plateforme cybermalveillance.gouv.fr, le bilan 2025 est éloquent : plus de 500 000 victimes assistées, soit une hausse de 20 % par rapport à 2024. Les violations de données ont explosé (+107 %), le hamelçonnage bondit de 70 %, la fraude au virement de 170 %.
Les quatre menaces qui dominent en 2026
Ransomware : 44 % des violations confirmées
Selon le Verizon Data Breach Investigations Report 2025, le ransomware est présent dans 44 % des violations de données confirmées — en hausse de 37 % par rapport à l’édition précédente. Pour les PME spécifiquement, ce chiffre monte à 88 % des breaches constatés.
Le mécanisme est connu mais mérite d’être énoncé clairement : un logiciel malveillant chiffre l’ensemble des fichiers accessibles, puis réclame une rançon. Depuis 2023, la double extorsion est la norme — les données sont exfiltrées avant le chiffrement et la menace de publication devient un levier supplémentaire. Bonne nouvelle relative : 64 % des victimes refusent de payer, et le paiement médian, quand il a lieu, est de 115 000 dollars (DBIR 2025).
Les vecteurs d’infection restent stables : phishing ciblé (spear phishing), accès RDP exposés sans MFA, exploitation de vulnérabilités non patchées. Ce sont des failles défendables. Pour comprendre l’impact financier précis sur votre secteur, notre analyse du coût moyen d’une cyberattaque en France en 2026 détaille les chiffres par taille d’entreprise.
Phishing et ses dérivés : 55 % des vecteurs d’attaque
Le phishing/spear phishing représente 55 % des vecteurs d’attaque identifiés dans le baromètre CESIN 2025 — premier vecteur loin devant l’exploitation de failles (41 %) et les attaques via tiers (35 %). L’IA générative a changé la donne : les emails de phishing rédigés par des LLM sont orthographiquement irréprochables, contextuellement pertinents, et générés à l’échelle industrielle.
Le vishing (phishing vocal avec clonage de voix par IA) est la menace qui monte. Un appel de votre « directeur financier » demandant un virement urgent peut être entièrement synthétique. Plusieurs entreprises françaises ont découvert trop tard qu’elles n’avaient jamais parlé à un être humain.
La défense passe par deux piliers non substituables : la configuration technique (SPF, DKIM, DMARC correctement déployés ; filtrage des pièces jointes) et la formation réelle des collaborateurs, avec simulations régulières. Sur ce deuxième point, le DBIR 2025 relève un signal positif : le taux de signalement d’un email de phishing est quatre fois plus élevé chez les collaborateurs formés dans les 30 jours précédents (21 % contre 5 %).
Attaques via tiers : un risque qui double
Le risque supply chain s’est imposé comme une préoccupation majeure. D’après le Verizon DBIR 2025, 30 % des violations impliquent désormais un tiers — le double de 2024 (15 %). Dans le baromètre CESIN 2025, les attaques via tiers représentent 35 % des vecteurs en moyenne, et 43 % chez les grandes entreprises.
Pour une PME, ce risque se concrétise via un éditeur de logiciel métier compromis, un sous-traitant avec accès VPN à votre réseau, ou une bibliothèque open source intégrée dans un outil du quotidien. La cartographie de vos prestataires critiques et l’audit contractuel de leurs pratiques sécurité — via questionnaire ou certification ISO 27001 — sont les réponses les plus pragmatiques.
Credential stuffing et vol d’identifiants
Les identifiants volés représentent 22 % des vecteurs d’accès initial dans le DBIR 2025. Les infostealers (malwares voleurs de mots de passe) compromettent aujourd’hui 30 % des appareils Windows d’entreprise — et jusqu’à 46 % des appareils non managés (BYOD, ordinateurs personnels utilisés en télétravail).
| Menace | Fréquence / Prévalence | Impact moyen | Protection prioritaire |
|---|---|---|---|
| Ransomware | 44 % des violations (DBIR 2025) ; 128 incidents notifiés ANSSI 2025 | Rançon médiane : 115 000 $ + arrêt d’activité | Sauvegardes offline 3-2-1 + EDR + patch management |
| Phishing / Spear phishing | 55 % des vecteurs d’attaque (CESIN 2025) | Variable ; fraude au président : pertes en millions | Formation + simulations + SPF/DKIM/DMARC |
| Attaques via tiers | 30 % des breaches (DBIR 2025), +100 % vs 2024 | Élevé (accès réseau privilégié) | Audit fournisseurs + segmentation + moindre privilège |
| Vol d’identifiants | 22 % des vecteurs d’accès (DBIR 2025) ; 46 % des BYOD compromis | Accès persistant non détecté (moy. 200+ jours) | MFA obligatoire + gestionnaire de mots de passe |
| Violations de données | +107 % en 2025 (cybermalveillance.gouv.fr) | Sanctions RGPD + atteinte réputationnelle | Chiffrement + contrôle des accès + DLP |
Les défenses qui fonctionnent vraiment
MFA : la mesure la plus rentable par habitant
L’authentification multi-facteurs (MFA) est déployée dans 94 % des grandes entreprises du panel CESIN 2025 — mais reste insuffisamment généralisée dans les PME. Le rapport coût/efficacité est difficilement battable : une étude Microsoft (citée par l’ANSSI dans son guide d’hygiène informatique) indique que le MFA bloque 99,9 % des attaques automatisées sur les comptes.
Quelques précisions techniques qui changent tout : le MFA par SMS reste vulnérable aux attaques SIM swapping et aux interceptions SS7. Pour les accès critiques (comptes administrateurs, accès cloud, VPN), les applications TOTP type Aegis, Authy ou Microsoft Authenticator sont nettement plus robustes. Le top du top reste les clés physiques FIDO2 (YubiKey, Google Titan) — inviolables contre le phishing car liées à l’origine du domaine.
Priorité de déploiement : messagerie professionnelle en premier (c’est par là que partent la plupart des attaques), puis VPN et accès distants, puis applications métier avec accès aux données sensibles.
Sauvegardes : la règle 3-2-1-1-0, pas la règle du « on verra »
Une sauvegarde correctement faite est la seule assurance qui tient face à un ransomware. La règle 3-2-1 — trois copies, deux supports différents, une hors site — a évolué vers le standard 3-2-1-1-0 : une copie immuable (type WORM, impossible à chiffrer ou modifier même avec des droits admin), et zéro erreur vérifiée lors des tests de restauration.
Le point que 80 % des PME ratent : les sauvegardes doivent être déconnectées logiquement du réseau principal pendant les périodes hors sauvegarde. Un NAS accessible en permanence depuis le serveur de fichiers sera chiffré avec le reste lors d’une attaque ransomware. Les solutions comme Veeam Backup avec « immutable backups » vers un stockage S3 object lock, ou Acronis avec stockage cloud isolé, répondent à cette contrainte.
L’autre règle d’or : testez vos restaurations. Pas une fois au déploiement — tous les trimestres minimum. Une sauvegarde dont on n’a jamais vérifié la restauration est une promesse non tenue.
EDR : au-delà de l’antivirus signature
L’antivirus classique par signature est mort face aux techniques modernes : chiffrement des payloads, polymorphisme, living-off-the-land (utilisation d’outils légitimes Windows comme PowerShell ou WMI pour mener l’attaque). Un EDR — Endpoint Detection and Response — analyse les comportements en temps réel, sans avoir besoin de connaître la signature de la menace.
Le taux d’adoption des EDR atteint 95 % dans les grandes entreprises du panel CESIN 2025. Pour les PME, la bonne nouvelle est l’essor des offres MDR (Managed Detection and Response) : vous bénéficiez d’un EDR de niveau enterprise avec une équipe qui surveille les alertes 24/7, pour un budget de 10 à 20 € par poste/mois. Des acteurs comme SentinelOne Vigilance, CrowdStrike Falcon Complete ou les offres MDR locales de MSSP français proposent ce modèle. Pour choisir la solution adaptée à votre contexte, notre comparatif antivirus entreprise 2026 analyse les critères par taille d’organisation.
Patch management : les failles d’hier tuent aujourd’hui
Les vulnérabilités exploitées représentent 20 % des vecteurs d’accès initial dans le DBIR 2025, en hausse de 34 % par rapport à 2024. Et une proportion significative de ces exploits cible des CVE publiées depuis plus de six mois — des failles dont le correctif existe depuis des mois, que personne n’a appliqué.
Le processus de patch management structuré comprend : un inventaire exhaustif des actifs, une veille sur les CVE critiques (le CERT-FR publie des alertes quotidiennes sur cert.ssi.gouv.fr), un cycle de déploiement priorisé par criticité et exposition, et une vérification du déploiement effectif. Les équipements réseau — routeurs, firewalls, switches managés — sont systématiquement oubliés dans les cycles de patch. C’est une erreur : une faille sur un firewall Fortinet ou un VPN SSL donne un accès direct et persistant.
Segmentation réseau et moindre privilège
Posez-vous une question simple : si un attaquant prend le contrôle d’un poste utilisateur du service comptabilité, que peut-il atteindre depuis là ? Sur un réseau plat non segmenté, la réponse honnête est : tout. La segmentation divise l’infrastructure en zones isolées communiquant selon des règles strictes — DMZ, réseau de production, réseau utilisateurs, réseau IoT séparés.
Le principe du moindre privilège complète cette logique : un commercial n’a pas accès aux serveurs de production, une application web n’a pas de droits DBA sur la base de données, un prestataire externe a un accès VPN limité à la ressource dont il a besoin, pas à tout le réseau. La sécurisation de vos systèmes va au-delà du réseau : notre guide sur les étapes pour sécuriser son système d’information détaille un plan d’action progressif, applicable même sans équipe dédiée.
NIS2, RGPD et référentiel ANSSI : ce que vous devez vraiment appliquer
NIS2 : de 500 à 15 000 entités régulées
La directive NIS2 (Network and Information Security 2) constitue le changement réglementaire le plus significatif en cybersécurité depuis le RGPD. Sa transposition en droit français élargit le périmètre des entités régulées de 500 à environ 15 000 organisations — une multiplication par 30. Les secteurs couverts passent de 6 à 18 : santé, transport, énergie, finances, eau, infrastructure numérique, mais aussi distribution alimentaire, fabrication industrielle, gestion des déchets, services postaux.
Ce qui change concrètement : la direction est directement responsable de la cybersécurité (obligation de formation, impossible de déléguer la responsabilité entière au RSSI), la gestion des risques supply chain devient obligatoire, les incidents significatifs doivent être notifiés à l’ANSSI dans des délais stricts (alerte précoce 24h, notification complète 72h), et la continuité d’activité doit être documentée et testée. Les sanctions pour les entités « essentielles » atteignent 10 millions d’euros ou 2 % du chiffre d’affaires mondial.
RGPD : l’article 32 et les obligations de sécurité souvent ignorées
Le RGPD est généralement abordé sous l’angle documentaire — registre de traitements, mentions légales, bandeau cookies. L’article 32 est systématiquement sous-estimé : il impose des mesures techniques et organisationnelles de sécurité proportionnées au risque. Pseudonymisation, chiffrement, garantie de confidentialité et d’intégrité, capacité de restauration, tests réguliers. Ce ne sont pas des recommandations — ce sont des obligations.
En cas de violation de données personnelles, vous disposez de 72 heures pour notifier la CNIL. Les sanctions pour défaut de sécurité peuvent atteindre 20 millions d’euros ou 4 % du chiffre d’affaires mondial pour les manquements les plus graves.
Le référentiel ANSSI : 42 règles d’hygiène informatique
L’ANSSI publie gratuitement sur ssi.gouv.fr un corpus de guides pratiques qui représente la référence française en matière de cybersécurité. Le « Guide d’hygiène informatique » (42 règles fondamentales) est le point de départ recommandé pour toute organisation qui structure sa politique de sécurité.
Le dispositif cybermalveillance.gouv.fr complète cette offre institutionnelle : assistance aux victimes, mise en relation avec des prestataires de proximité labellisés, et ressources pédagogiques pour la sensibilisation des collaborateurs. En cas d’incident, c’est le premier réflexe à avoir avant même de contacter votre prestataire informatique habituel.
Construire sa politique de sécurité : plan d’action PME
La question que posent 80 % des dirigeants de PME est « par où commencer ? ». La réponse honnête : commencez par savoir où vous en êtes. Un audit de sécurité — même simplifié via l’outil d’autoévaluation MonAideCyber de l’ANSSI — donne une vision réelle des failles prioritaires. Vous ne pouvez pas prioriser sans données.
Voici les six actions qui ont le meilleur ratio impact/coût pour une organisation de 10 à 100 personnes :
1. MFA sur tous les accès exposés. Messagerie, VPN, applications cloud, console d’administration. C’est la mesure numéro un, déployable en quelques heures, qui bloque la majorité des attaques automatisées. Commencez par la messagerie — c’est là que la plupart des compromissions démarrent.
2. Sauvegardes isolées et testées. Veeam, Acronis ou équivalent, avec au moins une copie immuable hors site. Test de restauration tous les trimestres minimum. Si votre prestataire informatique ne peut pas vous confirmer la dernière restauration testée et sa date, c’est un problème à résoudre maintenant.
3. EDR managé (MDR). SentinelOne, CrowdStrike, ou offre MDR locale d’un MSSP français certifié ANSSI. Budget indicatif : 12 à 18 € par poste/mois tout compris. Infiniment moins cher qu’un incident.
4. Gestionnaire de mots de passe entreprise. Bitwarden Teams (open source, hébergeable), 1Password Business ou Dashlane Business. Résout simultanément les mots de passe faibles, la réutilisation et le partage non sécurisé. ROI immédiat.
5. Formation anti-phishing des collaborateurs. Pas un webinaire annuel — des simulations régulières avec vraie boucle de feedback. Des solutions comme KnowBe4 ou Proofpoint Security Awareness proposent des programmes clés en main. Le DBIR 2025 montre que le signal de détection quadruple après formation récente.
6. Plan de réponse à incident documenté. Un document d’une page qui répond aux questions : qui appelle qui, dans quel ordre, avec quels contacts ? Cybermalveillance.gouv.fr en cas d’attaque, votre MSP/MSSP, votre assureur cyber, la CNIL si des données personnelles sont compromises. Testé lors d’un exercice tabletop annuel minimum.
Le budget sécurité recommandé pour une PME se situe entre 5 % et 10 % du budget IT global. Ce n’est pas un coût — c’est une prime d’assurance contre un risque dont le coût moyen, en cas de sinistre, dépasse largement l’investissement annuel de prévention.
Pour aller plus loin sur les outils à disposition, notre comparatif des solutions de sécurité endpoint 2026 analyse les principales offres EDR et antivirus avec des critères adaptés aux différentes tailles d’organisation.
