Un cabinet comptable de douze salariés dans l’Essonne, un serveur de fichiers chiffré un lundi matin, une rançon de plusieurs dizaines de milliers d’euros réclamée en cryptomonnaie. Ce scénario, on le croise de plus en plus souvent sur le terrain. Les ransomwares ciblent les petites entreprises françaises avec une régularité qui ne laisse plus de place au doute : la menace n’est pas réservée aux grands groupes.
Selon une enquête OpinionWay, 49 % des PME françaises interrogées déclarent avoir déjà été victimes d’une cyberattaque. Pour 29 % d’entre elles, ces attaques ont provoqué une perturbation ou un arrêt de leurs services. L’ANSSI a traité 4 386 cyberattaques en France en 2024, soit une hausse de 15 % par rapport à 2023.
A voir aussi : Réseau interne intranoo : la clé de la communication en entreprise
Compromission d’identités : le vecteur d’attaque principal contre les PME
On parle souvent de failles logicielles ou de pièces jointes piégées. Le dernier rapport annuel de Sophos montre un autre schéma : 79 % des attaques ransomware démarrent par une compromission d’identités, c’est-à-dire des comptes volés, des mots de passe réutilisés, des accès VPN ou RDP sans authentification multifacteur.
Ce chiffre change la donne pour les petites structures. Dans une entreprise de cinq à vingt personnes, il n’y a généralement pas de politique de gestion des mots de passe centralisée, pas de rotation des accès, pas de surveillance des connexions inhabituelles. Un identifiant de messagerie récupéré sur une base de données piratée suffit.
A lire aussi : Des failles dans les objets connectés exposent les entreprises à de nouveaux dangers
Sophos relève un autre déséquilibre : seules 34 % des petites organisations parviennent à stopper une attaque avant qu’elle ne cause des dommages, contre 46 % pour les structures de taille intermédiaire. L’écart s’explique par l’absence d’outils de détection et par le manque de personnel dédié à la sécurité informatique.
MFA et hygiène des accès : une heure de configuration contre des semaines de crise
Activer l’authentification multifacteur sur les accès distants et la messagerie bloque la majorité de ces attaques par identité. On parle d’une configuration qui prend moins d’une heure sur la plupart des solutions cloud. Mais sur le terrain, les retours varient sur ce point : beaucoup de dirigeants de TPE considèrent encore le MFA comme une contrainte inutile, ou ne savent tout simplement pas qu’il existe.
Budget cybersécurité des PME françaises : un décalage structurel
D’après le rapport Hiscox 2025, 59 % des PME françaises consacrent moins de 2 000 euros par an à leur cybersécurité. En face, le coût médian d’une attaque par ransomware dépasse les 15 000 euros pour une petite structure, sans compter l’interruption d’activité.
On est face à un déséquilibre qui se reproduit d’un secteur à l’autre. Le problème n’est pas que les dirigeants refusent d’investir. La plupart n’ont pas de visibilité sur ce qu’il faudrait protéger en priorité, ni sur les solutions accessibles à leur échelle de budget.
NIS 2 et effet de ruissellement sur les sous-traitants
La directive européenne NIS 2 introduit une obligation de sécurité élargie. Les grandes entreprises soumises au texte vont exiger des garanties cyber minimales de la part de leurs fournisseurs et sous-traitants. Pauline Ducoin, avocate associée au cabinet Cornet Vincent Ségurel, souligne qu’il y a une grande méconnaissance de ces obligations chez les petits entrepreneurs.
Concrètement, une PME qui travaille en sous-traitance pour un donneur d’ordre soumis à NIS 2 risque de perdre son contrat si elle ne peut pas démontrer un niveau de protection acceptable. La cybersécurité devient un critère commercial, pas seulement technique.
Ransomware et phishing ciblé : la combinaison qui touche les TPE
Le phishing reste la première porte d’entrée vers un ransomware dans les petites structures. Un courriel imitant un fournisseur, une fausse facture, un lien vers une page de connexion clonée. Le salarié clique, entre ses identifiants, et l’attaquant dispose d’un accès légitime au système d’information.
Dans une TPE, il n’y a souvent qu’un seul niveau de droits d’accès. Le compte compromis donne accès à tout : fichiers partagés, logiciel de facturation, messagerie. Le chiffrement des données peut intervenir en quelques heures.
- Vérifier l’adresse d’expédition réelle (pas seulement le nom affiché) avant de cliquer sur un lien dans un courriel professionnel
- Segmenter les droits d’accès pour que chaque salarié n’accède qu’aux dossiers nécessaires à son poste
- Maintenir des sauvegardes hors ligne ou immuables, testées au moins une fois par trimestre
- Former les équipes avec des exercices concrets de simulation de phishing, pas uniquement une charte informatique signée à l’embauche
Réagir dans les 72 premières heures après un ransomware
Quand l’attaque a eu lieu, le réflexe terrain qui compte le plus est la vitesse d’isolement. Déconnecter la machine infectée du réseau, couper le Wi-Fi, débrancher le câble Ethernet. Chaque minute de propagation augmente le volume de données chiffrées.
L’obligation légale est claire : en cas de violation de données personnelles, la CNIL impose une notification dans un délai de 72 heures. Ce délai court dès la découverte de l’incident, pas dès la résolution. Beaucoup de dirigeants de PME l’ignorent et se retrouvent en infraction sans le savoir.
Porter plainte et ne pas payer la rançon
Cybermalveillance.gouv.fr recommande systématiquement de ne pas payer. Le paiement ne garantit pas la récupération des données et finance directement les groupes criminels. Le dépôt de plainte auprès de la police ou de la gendarmerie est une étape à ne pas sauter, même si l’entreprise est de petite taille.
La question de l’assurance cyber mérite aussi d’être posée en amont, pas après l’attaque. Les contrats spécifiques couvrent généralement les frais de remédiation, la perte d’exploitation et l’accompagnement juridique. Mais les assureurs exigent de plus en plus un socle de sécurité minimal (MFA, sauvegardes, antivirus à jour) pour accepter de couvrir le risque.
Pour une PME française, le ransomware n’est plus un risque théorique mais un événement à anticiper au même titre qu’un dégât des eaux ou un contrôle fiscal. Les entreprises qui survivent à une attaque sont celles qui avaient préparé deux choses : des sauvegardes exploitables et un plan de réaction testé. Sans ces deux socles, la remédiation repart de zéro et les délais d’indisponibilité s’allongent considérablement.
