Cyberattaques : pourquoi les TPE et PME sont devenues la cible n°1 des hackers en 2026
Ransomware, phishing, fraude au président : les petites entreprises sont la cible principale des cyberattaques. Comment se protéger sans budget IT dédié.
Un lundi matin comme un autre. La comptable ouvre son poste, et au lieu du bureau habituel, un fond d’écran noir affiche un compte à rebours et une adresse de paiement en cryptomonnaie. Les fichiers clients, la facturation, les devis en cours : tout est chiffré. L’entreprise compte huit salariés et n’a jamais entendu parler de RSSI. Ce scénario, longtemps associé aux grandes entreprises, est aujourd’hui le quotidien statistique des TPE et PME françaises.
Pourquoi les petites entreprises sont devenues des cibles prioritaires
L’idée reçue a la vie dure : « je suis trop petit pour intéresser un hacker ». C’est exactement l’inverse qui s’est produit. Les attaquants ont industrialisé leurs méthodes — campagnes de phishing envoyées par dizaines de milliers, scans automatisés de vulnérabilités sur des plages IP entières, kits de ransomware loués en « Ransomware-as-a-Service » à des affiliés peu qualifiés techniquement. Dans ce modèle économique, la taille de la cible importe moins que sa vulnérabilité : une PME avec un accès distant mal sécurisé se fait repérer aussi vite qu’un grand groupe, et se défend beaucoup moins bien.
L’Agence nationale de la sécurité des systèmes d’information (ANSSI) constate depuis plusieurs années, dans son panorama annuel de la cybermenace, une bascule nette des attaques par ransomware vers les collectivités territoriales, les établissements de santé et les PME — des cibles qui, historiquement, investissaient très peu dans la sécurité informatique. Trois facteurs expliquent cette exposition :
- Des défenses minimales. Pas de pare-feu nouvelle génération, pas de supervision réseau, des mots de passe partagés entre plusieurs salariés.
- Une dépendance totale à l’outil informatique. Une TPE qui perd l’accès à sa facturation ou à son logiciel métier pendant deux semaines peut mettre en péril sa trésorerie, contrairement à un grand groupe qui absorbe le choc.
- Un effet de rebond vers les grands comptes. Une PME sous-traitante ou fournisseur d’un grand groupe peut servir de porte d’entrée détournée vers des systèmes mieux protégés — une technique appelée attaque par la chaîne d’approvisionnement.
Si votre entreprise s’appuie sur du télétravail, cette exposition augmente encore : les accès distants mal configurés figurent parmi les portes d’entrée les plus exploitées par les attaquants ces dernières années.
Les trois menaces qui pèsent vraiment sur votre entreprise
Le ransomware, ou rançongiciel
Le principe reste stable depuis plusieurs années : un logiciel malveillant chiffre l’ensemble de vos fichiers et exige une rançon, généralement en cryptomonnaie, contre la clé de déchiffrement. Les vecteurs d’entrée les plus fréquents sont une pièce jointe piégée ouverte par un salarié, un accès de bureau à distance (RDP) exposé sans protection suffisante, ou une vulnérabilité logicielle non corrigée depuis des mois.
La double extorsion s’est généralisée : les attaquants exfiltrent d’abord vos données avant de les chiffrer, et menacent de les publier si vous refusez de payer — même si vous parvenez à restaurer vos fichiers depuis une sauvegarde.
Le phishing et la fraude au président
L’hameçonnage reste le point d’entrée numéro un, et sa version la plus coûteuse pour les PME porte un nom bien connu des gendarmes : la fraude au président (ou Business Email Compromise). Un attaquant usurpe l’identité du dirigeant ou d’un fournisseur habituel par e-mail, souvent après avoir observé discrètement les échanges réels de l’entreprise, et demande un virement urgent et confidentiel. Sans lien malveillant ni pièce jointe, ces attaques passent facilement les filtres antivirus classiques — seule la vigilance humaine les arrête.
La fuite de données et le risque RGPD
Un vol de données clients ou salariés déclenche des obligations légales immédiates : notification à la CNIL sous 72 heures en cas de risque pour les personnes concernées, et parfois information directe des personnes touchées. Le sujet dépasse la seule technique — c’est aussi un enjeu de conformité que le délégué à la protection des données est censé anticiper, même dans une structure qui n’a pas de DPO à temps plein.
Combien coûte réellement une cyberattaque à une PME
Le montant de la rançon n’est presque jamais le poste de coût le plus lourd. L’interruption d’activité, la remédiation informatique et la gestion de crise pèsent généralement bien plus dans la facture finale.
| Poste de coût | Ordre de grandeur pour une PME | Remarque |
|---|---|---|
| Rançon versée (si l’entreprise paie) | 10 000 € à 100 000 € | Déconseillé par l’ANSSI, aucune garantie de récupération |
| Interruption d’activité | 1 à 4 semaines de chiffre d’affaires | Souvent le poste le plus coûteux, rarement anticipé |
| Remédiation informatique (expertise, reconstruction) | 5 000 € à 40 000 € | Variable selon l’ampleur du système d’information touché |
| Notification RGPD et gestion de crise | 2 000 € à 15 000 € | Communication, conseil juridique, information des personnes concernées |
| Prime d’assurance cyber annuelle | 500 € à 5 000 € selon la taille | Généralement bien inférieure au coût d’un sinistre non couvert |
À retenir : une entreprise qui investit 1 000 à 3 000 € par an dans des mesures de base (sauvegarde, authentification à deux facteurs, sensibilisation) dépense en général moins que le coût d’une seule semaine d’interruption d’activité après une attaque réussie.
Les mesures de protection prioritaires, sans budget de RSSI dédié
Il n’est pas nécessaire de recruter un responsable de la sécurité informatique pour réduire drastiquement votre exposition. Sept mesures, classées par ordre de priorité et de simplicité de mise en œuvre :
- Activez l’authentification à deux facteurs (2FA) sur toutes les messageries, tous les accès distants et tous les outils de gestion. C’est la mesure la plus efficace rapportée au coût : elle bloque la grande majorité des tentatives de connexion frauduleuse même avec un mot de passe compromis.
- Mettez en place une sauvegarde hors ligne, testée régulièrement. La règle du 3-2-1 reste la référence : trois copies de vos données, sur deux supports différents, dont une copie déconnectée du réseau. Une sauvegarde accessible depuis le réseau infecté se fait chiffrer en même temps que le reste.
- Appliquez les mises à jour de sécurité sans délai, sur les postes de travail comme sur les équipements réseau (box, routeur, pare-feu). La majorité des ransomwares exploitent des failles connues et déjà corrigées depuis plusieurs mois.
- Formez vos équipes au phishing, concrètement. Une session annuelle avec des exemples réels d’e-mails piégés vaut mieux qu’une charte informatique jamais lue. Instaurez une règle simple : tout virement inhabituel se confirme par un appel téléphonique, jamais par retour d’e-mail.
- Limitez les accès aux seules données nécessaires par poste. Un salarié compromis ne doit pas donner accès à l’intégralité du système d’information.
- Écrivez un plan de réponse à incident, même sommaire. Qui appeler, dans quel ordre, quelles données sauvegarder en priorité. Un document d’une page rédigé à froid vaut infiniment mieux qu’une improvisation en pleine crise.
- Souscrivez une assurance cyber adaptée à votre taille. Elle finance l’expertise d’urgence et la gestion de crise, souvent dans les premières heures — le moment où chaque minute compte.
Faut-il souscrire une assurance cyber ?
Une assurance professionnelle classique — RC Pro, multirisque — exclut généralement les sinistres informatiques ou ne les couvre que très partiellement. Une police cyber dédiée prend en charge un périmètre différent : frais d’expertise informatique en urgence, assistance juridique pour les obligations de notification, gestion de la communication de crise, perte d’exploitation pendant l’interruption, et parfois une partie des frais de rançon selon les contrats.
Pour une TPE ou une petite PME, les primes démarrent souvent autour de quelques centaines d’euros par an et augmentent avec le chiffre d’affaires et la sensibilité des données traitées. La plupart des assureurs conditionnent la souscription à un socle minimal de mesures — 2FA, sauvegarde, antivirus à jour — ce qui pousse d’ailleurs les entreprises à mettre en œuvre les bonnes pratiques de base avant même la survenance d’un sinistre.
Que faire dans les 48 heures qui suivent une attaque
- Isolez les machines touchées du réseau, sans les éteindre ni les redémarrer.
- Ne payez pas dans l’urgence — prenez le temps d’évaluer les options avec un professionnel.
- Signalez l’incident sur la plateforme officielle cybermalveillance.gouv.fr, qui oriente vers des prestataires qualifiés à proximité.
- Contactez votre assureur cyber, s’il existe, avant d’engager toute dépense de remédiation.
- Déposez plainte auprès des services de gendarmerie ou de police spécialisés en cybercriminalité — une étape indispensable pour l’assurance et pour l’enquête.
- Évaluez l’obligation de notification RGPD si des données personnelles sont concernées, avec le délai de 72 heures en tête.
- Communiquez de façon transparente avec vos clients et partenaires impactés — le silence prolongé coûte souvent plus cher en confiance que l’incident lui-même.
NIS2 : le cadre réglementaire qui vous rattrape indirectement
La directive européenne NIS2 élargit fortement le nombre d’entreprises soumises à des obligations formelles de cybersécurité, dans des secteurs jugés essentiels ou importants (énergie, santé, numérique, industrie, transport). Sa transposition en droit français avance progressivement, avec des obligations qui montent en puissance pour les entreprises directement concernées.
L’effet le plus concret pour une petite entreprise ne vient pas toujours de la loi elle-même : il vient de ses donneurs d’ordre. Une PME sous-traitante ou fournisseur d’un grand groupe soumis à NIS2 se voit de plus en plus souvent imposer des clauses de sécurité contractuelles — audits, questionnaires de conformité, exigences techniques minimales — pour continuer à travailler avec lui. Anticiper ces exigences, même sans obligation légale directe, devient un avantage commercial autant qu’une protection.
La cybersécurité d’une petite entreprise ne se joue pas sur un budget de grand groupe, mais sur une poignée de réflexes appliqués avec constance : authentification renforcée, sauvegarde hors ligne testée, formation des équipes au phishing, et un plan écrit pour le jour où l’incident survient malgré tout. La question n’est plus de savoir si votre entreprise sera un jour ciblée, mais si elle aura pris, avant ce jour-là, les quelques mesures qui transforment une attaque en simple contrariété plutôt qu’en crise existentielle.
Questions fréquentes
Une petite entreprise de 5 salariés est-elle vraiment une cible pour les hackers ?
Oui, et c'est même devenu la norme plutôt que l'exception. Les attaquants ne ciblent plus manuellement une entreprise en particulier : ils envoient des campagnes de phishing et scannent des vulnérabilités par milliers, automatiquement, sans distinction de taille. Une TPE avec un mot de passe faible sur son accès à distance est une cible aussi valable qu'un grand groupe — souvent plus facile, car elle n'a généralement ni pare-feu à jour, ni sauvegarde testée, ni personne dédié à la sécurité informatique.
Que faire dans l'heure qui suit la découverte d'un ransomware ?
Déconnectez immédiatement du réseau les machines infectées (câble Ethernet débranché, Wi-Fi coupé) pour empêcher la propagation, sans éteindre les postes ni redémarrer quoi que ce soit — cela peut détruire des preuves utiles à l'enquête. Ne payez pas la rançon dans l'urgence. Contactez votre assureur cyber si vous en avez un, sinon un prestataire de réponse à incident, et signalez l'attaque sur la plateforme cybermalveillance.gouv.fr, qui oriente vers des professionnels qualifiés près de chez vous.
Faut-il payer la rançon si on n'a pas de sauvegarde ?
L'ANSSI et la gendarmerie déconseillent formellement de payer : rien ne garantit que la clé de déchiffrement fonctionnera, et payer alimente un modèle économique qui vous désignera comme cible payante pour une prochaine attaque. Dans les faits, une partie des entreprises sans sauvegarde finissent par négocier malgré tout faute d'alternative — ce qui souligne surtout l'urgence de mettre en place une sauvegarde hors ligne avant, pas après, l'incident.
Une assurance professionnelle classique couvre-t-elle déjà le risque cyber ?
Rarement de façon satisfaisante. La plupart des contrats de RC Pro ou multirisque professionnelle excluent explicitement les sinistres informatiques ou ne couvrent qu'une fraction très limitée des frais engagés. Une cyberattaque entraîne des coûts spécifiques — expertise informatique, notification RGPD, gestion de crise, perte d'exploitation — qui nécessitent une police cyber dédiée pour être réellement pris en charge.
La directive NIS2 concerne-t-elle vraiment les petites entreprises ?
Directement, NIS2 vise d'abord les entreprises de plus de 50 salariés dans des secteurs jugés critiques (énergie, santé, numérique, transport, industrie). Mais l'effet indirect touche beaucoup plus large : les grands groupes soumis à la directive répercutent des exigences de sécurité contractuelles sur leurs sous-traitants et fournisseurs, quelle que soit leur taille. Une PME qui travaille avec un donneur d'ordre concerné par NIS2 doit s'attendre à des clauses de sécurité renforcées dans ses futurs contrats.