La cybersécurité d’une PME repose sur trois réflexes accessibles : sauvegarder ses données, mettre à jour ses logiciels et former ses équipes à repérer l’hameçonnage. En 2025, les PME, TPE et ETI ont représenté 48 % des victimes de rançongiciel traitées par l’ANSSI. Voici comment se protéger sans budget démesuré.
Pourquoi les PME sont-elles une cible privilégiée des cyberattaques ?
Longtemps, les dirigeants de petites structures ont cru que leur taille les rendait invisibles. L’inverse est vrai. Selon le Panorama de la cybermenace 2025 de l’ANSSI, les PME, TPE et ETI concentrent 48 % des victimes de rançongiciel, contre 37 % un an plus tôt. La bascule des attaques vers les petites entreprises s’accentue nettement.
La raison tient dans une phrase de l’agence : ces organisations ne sont pas visées parce qu’elles valent plus, mais parce qu’elles sont perçues comme moins bien protégées. Un attaquant cherche le chemin le plus court. Entre un grand groupe doté d’une équipe sécurité et une PME sans pare-feu à jour, le choix est vite fait.
Trois faiblesses reviennent presque toujours :
- des systèmes rarement mis à jour, faute de temps ou de compétence interne
- des mots de passe faibles ou réutilisés sur plusieurs services
- une absence de sauvegarde testée, qui rend chaque attaque potentiellement fatale
La plupart des attaques ne sont même pas menées à la main. Des robots scannent Internet en continu à la recherche de failles connues et de services mal configurés. Une PME n’a pas besoin d’intéresser un pirate pour être touchée : il suffit qu’elle soit vulnérable au bon moment. Cette industrialisation explique pourquoi des entreprises de dix salariés se retrouvent chiffrées du jour au lendemain, sans avoir jamais été visées personnellement.
Le baromètre TPE-PME de Cybermalveillance.gouv.fr le confirme : 80 % des dirigeants interrogés ne s’estiment pas suffisamment préparés, et six sur dix avouent ne pas savoir évaluer les conséquences d’une cyberattaque. Cette absence de visibilité est un terrain idéal pour les attaquants.
L’enjeu est financier autant que technique. Selon le baromètre Hiscox, une cyberattaque coûte en moyenne entre 59 000 et 466 000 euros à une PME française, selon sa taille et la durée de l’interruption d’activité. En clair, la cybersécurité des PME est une condition de survie, au même titre que la trésorerie ou le carnet de commandes. Anticiper le coût d’un incident fait d’ailleurs partie d’une bonne gestion de la trésorerie, pas d’un simple poste informatique.
Quelles sont les principales menaces qui visent une PME ?
Toutes les attaques ne se valent pas. Deux dominent le paysage français : l’hameçonnage et le rançongiciel. Les connaître, c’est déjà réduire le risque. Selon Cybermalveillance.gouv.fr, 16 % des entreprises déclarent avoir subi au moins une cyberattaque au cours des douze derniers mois, principalement de l’hameçonnage.
L’hameçonnage, la porte d’entrée numéro un
L’hameçonnage (phishing) consiste à piéger un collaborateur avec un faux message, courriel, SMS ou appel, pour lui soutirer un mot de passe ou lui faire ouvrir une pièce jointe piégée. D’après le rapport 2025 de Cybermalveillance.gouv.fr, 43 % des TPE-PME victimes attribuent l’attaque subie à de l’hameçonnage, contre 24 % l’année précédente. La progression est brutale.
Le procédé fonctionne car il exploite l’humain, pas la machine. Un faux courriel qui imite votre banque, l’URSSAF ou un fournisseur suffit. Les attaquants s’appuient désormais sur l’intelligence artificielle pour rédiger des messages sans faute, crédibles et personnalisés, ce qui rend la vigilance encore plus décisive. Les signaux à apprendre à repérer :
- une adresse d’expéditeur légèrement modifiée, à une lettre près
- un ton pressant qui réclame une action immédiate
- une demande inhabituelle de virement ou de changement de RIB
- un lien dont l’adresse réelle diffère du texte affiché
Une variante particulièrement coûteuse cible directement les finances : la fraude au président, ou faux ordre de virement. Un dirigeant est usurpé, un comptable reçoit une demande urgente et confidentielle de virement vers un nouveau compte. Sans procédure de double validation, l’argent part et revient rarement. La parade est organisationnelle avant d’être technique : toute modification de RIB ou virement exceptionnel se confirme par un second canal, un simple appel téléphonique suffit.
Le rançongiciel, l’attaque qui paralyse
Un rançongiciel (ransomware) chiffre l’ensemble de vos fichiers et réclame une rançon pour les débloquer. Pour une PME sans sauvegarde, c’est l’arrêt total : plus de devis, plus de facturation, plus d’accès aux données clients. En 2025, Cybermalveillance.gouv.fr a enregistré 2 700 demandes d’assistance liées à un rançongiciel, en hausse de 10 %, dont 1 691 émanant de professionnels.
Côté ANSSI, 128 compromissions par rançongiciel ont été traitées sur l’année, le groupe cybercriminel Qilin représentant à lui seul 21 % des souches identifiées. La logique reste la même : payer ne garantit rien, ni la récupération des données, ni l’absence d’une nouvelle attaque quelques mois plus tard.
Les autres vecteurs à ne pas négliger
Au-delà de ces deux menaces, 18 % des victimes citent une faille de sécurité non corrigée et 11 % la consultation d’un site Internet vérolé, selon la même enquête OpinionWay pour Cybermalveillance.gouv.fr. Un logiciel obsolète, un site non mis à jour ou une clé USB inconnue branchée sur un poste restent des points d’entrée classiques, souvent sous-estimés.
Quelles mesures de cybersécurité mettre en place à petit budget ?
Bonne nouvelle : l’essentiel de la protection ne coûte presque rien. L’ANSSI, dans son guide « La cybersécurité pour les TPE/PME en 13 questions » publié avec la Direction générale des entreprises, rappelle que la majorité des attaques réussies exploitent des négligences simples. Voici les mesures de cybersécurité à déployer en priorité.
Les gestes fondamentaux, applicables dès cette semaine :
- activer l’authentification multifacteur (MFA) sur la messagerie, la banque et les outils clés
- imposer des mots de passe longs et uniques, stockés dans un gestionnaire dédié
- mettre à jour sans délai systèmes d’exploitation, navigateurs et logiciels métier
- installer un antivirus reconnu sur chaque poste et le maintenir actif
- cloisonner les accès pour que chaque salarié n’ouvre que ce dont il a besoin
Ces réflexes couvrent déjà une large part du risque. L’authentification multifacteur, à elle seule, bloque la quasi-totalité des tentatives d’usurpation par mot de passe volé, car un identifiant dérobé ne suffit plus à ouvrir le compte.
Sur les mots de passe, oubliez les combinaisons compliquées et impossibles à mémoriser. L’ANSSI recommande plutôt des phrases de passe longues, une suite de mots sans lien logique, bien plus résistantes qu’un court mot de passe truffé de caractères spéciaux. Un gestionnaire de mots de passe génère et retient le reste, pour que personne ne réutilise le même identifiant sur dix services différents.
Pour aller plus loin sans exploser le budget :
- segmenter le réseau afin d’isoler les postes sensibles, comptabilité et direction en tête
- chiffrer les ordinateurs portables et les supports amovibles
- limiter les droits d’administrateur aux seules personnes réellement concernées
- documenter une politique de sécurité simple, écrite, connue de tous
En pratique, la cybersécurité en PME ne réclame pas un expert à plein temps au démarrage. Elle demande de la constance. Ces mesures s’intègrent naturellement à votre socle d’outils numériques indispensables, aux côtés du CRM et de la suite collaborative, plutôt qu’en couche technique isolée.
Pourquoi la sauvegarde est votre meilleure assurance
Si vous ne deviez retenir qu’une mesure, ce serait celle-ci. Une sauvegarde récente et testée transforme un rançongiciel en simple incident technique : vous restaurez, vous repartez, vous ne payez rien. Sans elle, la même attaque peut condamner l’entreprise en quelques jours.
La règle de référence, reprise par l’ANSSI et Cybermalveillance.gouv.fr, tient en trois chiffres, la règle dite 3-2-1 :
- 3 copies de vos données, l’original plus deux sauvegardes
- 2 supports différents, par exemple un disque externe et un espace cloud
- 1 copie conservée hors site, déconnectée du réseau
Le point critique, c’est justement cette copie déconnectée. Un rançongiciel moderne cherche activement les sauvegardes accessibles pour les chiffrer elles aussi. Une copie hors ligne, ou un cloud doté d’un historique de versions, échappe à ce piège et reste restaurable même après la compromission des postes.
La sauvegarde couvre aussi un risque non malveillant, souvent oublié : la panne matérielle, l’erreur humaine, le vol d’un ordinateur. Un disque qui lâche ou un portable perdu dans un train détruit autant de données qu’une attaque, sans aucun pirate derrière. Une bonne politique de sauvegarde vous protège des deux à la fois.
Une sauvegarde ne vaut que si elle se restaure vraiment. Testez la restauration au moins une fois par trimestre. Beaucoup de dirigeants découvrent le jour de l’attaque que leurs copies étaient corrompues ou incomplètes. Cette discipline protège aussi vos données comptables et vos fichiers clients, souvent centralisés dans un CRM dont la perte serait irréparable.
Comment sensibiliser vos équipes face aux cybermenaces ?
La technique ne fait pas tout. Puisque l’hameçonnage vise l’humain, vos collaborateurs sont à la fois la première cible et la première ligne de défense. Une équipe formée repère le faux courriel que le filtre automatique a laissé passer.
La sensibilisation efficace repose sur des actions concrètes, pas sur une réunion annuelle vite oubliée :
- organiser des sessions courtes et régulières plutôt qu’une formation unique
- lancer de fausses campagnes d’hameçonnage pour entraîner les réflexes en conditions réelles
- définir une procédure claire en cas de doute : à qui signaler, comment réagir
- rappeler les règles de base sur les mots de passe et les pièces jointes
- désigner un référent cybersécurité, interlocuteur identifié en interne
L’objectif n’est pas de culpabiliser, mais de créer un réflexe collectif. Un salarié qui signale un courriel suspect sans crainte d’être blâmé vaut mille fois mieux qu’un salarié qui cache son erreur par peur des reproches. Cette culture du signalement se construit dans la durée, pas en une matinée.
Former ses équipes à la vigilance numérique relève de la même logique que le développement des compétences managériales. C’est un investissement dans l’humain, au même titre que les formations certifiantes pour dirigeants, et son retour se mesure à la première attaque évitée.
Quel est le rôle de l’ANSSI et quels sont les acteurs de la cybersécurité en France ?
Face à une attaque, une PME n’est pas seule. La France dispose d’un écosystème public structuré, gratuit pour l’essentiel.
Le rôle de l’ANSSI est central : l’Agence nationale de la sécurité des systèmes d’information est l’autorité nationale en matière de cyberdéfense. Elle protège en priorité les administrations et les opérateurs d’importance vitale, mais produit aussi des ressources accessibles à toutes les entreprises : guides, recommandations, alertes du CERT-FR. Son guide « La cybersécurité pour les TPE/PME en 13 questions » sert de feuille de route aux petites structures. À noter : ce guide n’a pas de valeur juridique contraignante, il fixe un référentiel de bonnes pratiques largement repris par les obligations légales existantes.
Les autres acteurs de la cybersécurité en France utiles à un dirigeant :
- Cybermalveillance.gouv.fr, la plateforme d’assistance aux victimes, qui oriente vers des prestataires référencés et a traité plus de 504 000 demandes en 2025
- la CNIL, compétente sur la protection des données personnelles et la notification des violations
- la police et la gendarmerie, via leurs services spécialisés dans la lutte contre la cybercriminalité
- les prestataires privés qualifiés, dont certains labellisés ExpertCyber
- France Num et la CPME, qui relaient le Guide des bonnes pratiques de l’informatique et ses 12 recommandations
Ces ressources sont pensées pour des non-spécialistes. Le Guide des bonnes pratiques de l’informatique, élaboré par l’ANSSI avec la CPME, condense en 12 recommandations les enseignements tirés d’attaques réelles et de leurs causes. Rien d’abstrait : mises à jour, sauvegardes, mots de passe, séparation des usages professionnels et personnels. Une PME qui applique ces douze points élimine déjà l’essentiel des scénarios d’intrusion les plus courants.
Connaître ces relais avant l’incident fait gagner un temps précieux le jour où tout s’arrête. Le réflexe utile : enregistrer dès maintenant l’adresse de Cybermalveillance.gouv.fr et le numéro de votre prestataire informatique, quelque part d’accessible même sans ordinateur.
Que faire en cas de cyberattaque ?
Le pire moment pour improviser, c’est pendant l’attaque. Quelques réflexes, dans le bon ordre, limitent les dégâts et facilitent la reprise.
Les étapes immédiates :
- Isoler les machines touchées en les déconnectant du réseau, sans les éteindre, pour préserver les traces
- Alerter le référent interne et le prestataire informatique sans attendre
- Ne pas payer la rançon : le paiement ne garantit ni la récupération des données, ni la fin de l’attaque
- Conserver les preuves, captures d’écran, messages et journaux, utiles pour l’enquête
- Porter plainte auprès de la police ou de la gendarmerie
- Notifier la CNIL sous 72 heures en cas de fuite de données personnelles
L’assistance de Cybermalveillance.gouv.fr guide gratuitement les victimes et oriente vers un professionnel proche. Le meilleur moment pour écrire cette marche à suivre, c’est maintenant, à froid. Une fiche réflexe d’une page, affichée et connue des personnes clés, évite la panique et les décisions précipitées le jour de l’incident. Pensez aussi à la communication : prévenir clients et fournisseurs concernés, sobrement et sans dramatiser, vaut mieux qu’un silence qui alimente les rumeurs.
Une fois la crise passée, tirez-en les leçons. Identifiez la faille exploitée, corrigez-la, renforcez la mesure qui a manqué. Une attaque bien gérée devient l’occasion de solidifier durablement votre posture de sécurité, souvent plus efficacement que n’importe quelle formation théorique.
Prochaine étape concrète : activez l’authentification multifacteur sur votre messagerie aujourd’hui, vérifiez qu’une sauvegarde hors ligne existe cette semaine, et planifiez une session de sensibilisation avant la fin du mois. Ces trois actions couvrent l’essentiel du risque pour une PME, sans budget dédié.
Sujets abordés
Poursuivez votre lecture
Retrouvez tous nos guides et analyses.
