Messagerie inaccessible, logiciels métiers bloqués, fichiers chiffrés, production interrompue : une attaque par rançongiciel peut paralyser une entreprise en quelques heures.
Longtemps associées aux grandes organisations, ces attaques touchent aujourd’hui très largement les petites et moyennes entreprises. Le rapport mondial Data Breach Investigations Report 2026 de Verizon constate que les rançongiciels interviennent désormais dans 48 % des violations de données analysées, contre 44 % dans l’édition précédente. Le rapport souligne également que les petites structures sont touchées de manière disproportionnée.
Cette exposition ne s’explique pas nécessairement par la valeur individuelle d’une PME. Elle tient surtout à la capacité des cybercriminels à attaquer simultanément un très grand nombre d’organisations, puis à concentrer leurs efforts sur celles qui présentent les défenses les plus accessibles.
Qu’est-ce qu’un ransomware ?
Un ransomware, ou rançongiciel, est un programme malveillant conçu pour empêcher une organisation d’accéder à ses données ou à son système informatique.
Dans le scénario historique, l’attaquant chiffre les fichiers et réclame une rançon en échange d’une clé permettant théoriquement de les récupérer. Ce mode opératoire a cependant évolué.
Les groupes criminels peuvent désormais :
- copier les données avant de les chiffrer ;
- menacer de publier les informations dérobées ;
- contacter directement les clients, fournisseurs ou salariés ;
- perturber les services en ligne de l’entreprise ;
- revendre les données ou les accès informatiques obtenus ;
- réclamer plusieurs paiements successifs.
Cette stratégie est parfois appelée double extorsion : l’entreprise subit simultanément une interruption d’activité et une menace de divulgation de ses données.
Même lorsqu’une organisation dispose de sauvegardes fonctionnelles et parvient à redémarrer ses équipements, elle peut donc rester exposée au chantage lié aux informations volées.
Les PME demeurent les principales victimes françaises
Dans son Panorama de la cybermenace 2025, publié en mars 2026, l’ANSSI indique avoir traité 3 586 événements de sécurité, dont 1 366 incidents confirmés, au cours de l’année 2025. L’Agence constate également une progression de la cybercriminalité et des exfiltrations de données.
Parmi les compromissions par rançongiciel portées à sa connaissance, les TPE, PME et ETI restent la catégorie d’organisations la plus touchée. Ce constat doit néanmoins être interprété avec prudence : les chiffres de l’ANSSI ne représentent pas l’ensemble des attaques commises en France, mais uniquement les événements signalés ou traités par l’Agence.
De nombreuses victimes ne déposent pas plainte, ne déclarent pas publiquement l’incident ou le gèrent directement avec leur prestataire informatique. Le nombre réel d’attaques est donc vraisemblablement supérieur aux statistiques officielles.
Pourquoi les cybercriminels s’attaquent-ils aux PME ?
- Elles possèdent des données qui peuvent être monétisées
Une PME conserve rarement des millions de dossiers, mais elle détient presque toujours des données exploitables :
- coordonnées de clients et de prospects ;
- données bancaires et informations de facturation ;
- contrats et conditions commerciales ;
- fichiers de paie ;
- documents comptables ;
- informations relatives aux salariés ;
- données techniques ou industrielles ;
- identifiants d’accès ;
- échanges confidentiels avec ses partenaires.
Ces informations peuvent être revendues, utilisées pour préparer des campagnes d’hameçonnage ou exploitées pour commettre des fraudes.
Cybermalveillance.gouv.fr a enregistré en 2025 une augmentation de 107 % des demandes d’assistance relatives aux violations de données. Le dispositif observe parallèlement une structuration du marché clandestin de la donnée, avec des plateformes spécialisées, des kits frauduleux et des profils de victimes prêts à l’emploi.
Une attaque contre une PME peut ainsi alimenter plusieurs activités criminelles, même lorsque la victime ne paie aucune rançon.
- Leurs moyens de sécurité restent limités
Les petites entreprises doivent arbitrer entre de nombreuses priorités : activité commerciale, recrutement, production, réglementation et gestion quotidienne. La cybersécurité peut alors être perçue comme un sujet technique à traiter ultérieurement.
Le baromètre national 2025 de Cybermalveillance.gouv.fr montre que 80 % des TPE-PME interrogées ne se considèrent toujours pas préparées aux cyberattaques ou ignorent si elles le sont réellement.
Près de six entreprises sur dix déclarent également ne pas savoir évaluer les conséquences d’une attaque. Les principaux freins identifiés sont le manque de connaissances et d’expertise, cité par 63 % des répondants, les contraintes budgétaires par 61 % et le manque de temps par 59 %.
Ces difficultés peuvent se traduire par des mesures incomplètes : absence d’authentification multifacteur, équipements anciens, droits d’accès trop larges, mises à jour tardives ou sauvegardes insuffisamment protégées.
- Les attaques sont largement automatisées
Les cybercriminels ne sélectionnent pas toujours leurs victimes une par une. Ils utilisent des outils capables de rechercher automatiquement des serveurs exposés, des logiciels vulnérables ou des accès mal configurés.
Le DBIR 2026 indique que 31 % des violations étudiées commencent désormais par l’exploitation d’une vulnérabilité logicielle, devant l’utilisation d’identifiants volés.
Un attaquant peut donc scanner des milliers d’adresses Internet, repérer une faille connue sur un pare-feu ou une solution d’accès à distance, puis tenter automatiquement de pénétrer dans les systèmes concernés.
Dans cette logique, une entreprise n’est pas ciblée parce qu’elle serait célèbre ou particulièrement stratégique. Elle peut simplement être atteinte parce qu’un équipement vulnérable était visible depuis Internet.
- Les PME constituent une porte d’entrée vers leurs partenaires
Les entreprises travaillent au sein d’un écosystème : clients, fournisseurs, experts-comptables, sous-traitants, groupes industriels et collectivités.
Une PME compromise peut permettre à l’attaquant de récupérer des échanges légitimes, des factures, des contacts ou des accès vers une organisation plus importante. Sa messagerie peut ensuite être utilisée pour diffuser une pièce jointe malveillante à des interlocuteurs qui lui font confiance.
La sécurité d’une entreprise devient donc progressivement un critère de sélection pour ses partenaires. Une organisation peut demander à ses fournisseurs des garanties sur les sauvegardes, la gestion des accès, les correctifs de sécurité ou les procédures de réaction aux incidents.
Comment un ransomware entre-t-il dans l’entreprise ?
Une attaque peut commencer plusieurs jours, voire plusieurs semaines, avant l’affichage de la demande de rançon.
Parmi les portes d’entrée les plus fréquentes figurent :
- un courriel d’hameçonnage ;
- un mot de passe compromis ;
- une faille de sécurité non corrigée ;
- un accès VPN insuffisamment protégé ;
- un outil de télémaintenance exposé ;
- une pièce jointe ou un logiciel malveillant ;
- un ordinateur personnel utilisé pour accéder au réseau ;
- un prestataire ou un fournisseur compromis.
L’hameçonnage reste un facteur important. En 2025, 43 % des TPE-PME ayant identifié l’origine d’un incident de sécurité l’attribuaient au phishing, tandis que 18 % citaient une faille de sécurité.
Une fois entré, l’attaquant cherche généralement à obtenir davantage de privilèges, désactiver les protections, repérer les sauvegardes, accéder aux serveurs et copier les données. Le chiffrement constitue souvent la dernière étape visible d’une compromission déjà avancée.
Le paiement de la rançon ne garantit rien
Face à l’arrêt de son activité, une entreprise peut être tentée de payer rapidement pour récupérer ses données. Ce choix ne garantit pourtant ni la remise d’une clé fonctionnelle, ni la restauration complète des fichiers, ni la suppression des informations volées.
L’attaquant peut :
- fournir un outil de déchiffrement incomplet ou très lent ;
- conserver une copie des données ;
- réclamer une somme supplémentaire ;
- revendre les accès à un autre groupe ;
- attaquer une nouvelle fois l’entreprise quelques mois plus tard.
Le paiement contribue également au financement du modèle économique des groupes criminels. Les autorités recommandent donc de ne pas payer la rançon et de solliciter rapidement des professionnels de la réponse à incident ainsi que les services compétents.
La décision doit être prise avec la direction, les experts techniques, le conseil juridique et, le cas échéant, l’assureur cyber. Elle ne doit jamais être laissée à une personne isolée sous la pression de l’attaquant.
Les conséquences dépassent le coût de la rançon
Le montant réclamé ne constitue qu’une partie du préjudice. Une attaque peut également entraîner :
- plusieurs jours ou semaines d’interruption ;
- une perte de chiffre d’affaires ;
- une baisse de productivité ;
- la reconstruction des serveurs et des postes ;
- le recours à des experts techniques et juridiques ;
- des heures supplémentaires pour les équipes ;
- une notification à la CNIL ;
- l’information des clients ou partenaires ;
- une dégradation de la réputation ;
- des litiges contractuels ;
- la perte définitive de certaines données.
Dans le baromètre 2025 de Cybermalveillance.gouv.fr, les entreprises interrogées identifient principalement la perte ou le vol de données, les répercussions financières, l’interruption d’activité et l’atteinte à la réputation comme les conséquences les plus préoccupantes.
Pour une PME, quelques jours d’arrêt au mauvais moment peuvent désorganiser la production, empêcher la facturation, retarder les livraisons et fragiliser durablement la relation client.
Sept mesures pour réduire le risque
Une PME ne pourra jamais supprimer totalement le risque de ransomware. Elle peut cependant compliquer fortement le travail des attaquants et limiter les conséquences d’une compromission.
- Sécuriser les comptes sensibles
L’authentification multifacteur doit être activée sur les messageries, les comptes administrateurs, les accès distants et les applications critiques.
Un mot de passe différent et robuste doit être utilisé pour chaque service, idéalement avec un gestionnaire de mots de passe.
- Corriger rapidement les vulnérabilités
Les systèmes d’exploitation, logiciels métiers, pare-feu, VPN et équipements réseau doivent être régulièrement inventoriés et mis à jour.
L’ANSSI souligne en particulier que les équipements de bordure restent très recherchés par les attaquants en raison des vulnérabilités qui les affectent.
- Appliquer le principe du moindre privilège
Chaque salarié doit uniquement disposer des accès nécessaires à son activité. Les comptes administrateurs ne doivent pas être utilisés pour les tâches courantes.
Cette segmentation réduit la capacité de l’attaquant à se déplacer dans l’ensemble du système d’information.
- Protéger réellement les sauvegardes
Les sauvegardes doivent être régulières, automatisées et conservées sur plusieurs supports. Au moins une copie doit rester isolée du réseau ou protégée contre la modification.
Des tests de restauration doivent être réalisés. La présence d’une sauvegarde ne suffit pas : l’entreprise doit savoir combien de temps serait nécessaire pour redémarrer ses applications prioritaires.
- Superviser les événements de sécurité
Une connexion inhabituelle, la création soudaine d’un compte administrateur ou la désactivation d’un antivirus peuvent constituer les premiers signes d’une attaque.
La centralisation des journaux et la supervision permettent d’identifier ces comportements avant le chiffrement général des données.
- Sensibiliser régulièrement les collaborateurs
Les salariés doivent apprendre à reconnaître un courriel frauduleux, une demande urgente inhabituelle, une fausse page de connexion ou une pièce jointe suspecte.
Ils doivent surtout savoir à qui signaler rapidement une erreur. Un clic ne devient pas forcément une catastrophe lorsque l’incident est détecté et traité immédiatement.
- Préparer un plan de réaction
L’entreprise doit disposer d’une procédure simple précisant :
- les personnes à contacter ;
- les équipements à isoler ;
- les prestataires à mobiliser ;
- les applications à restaurer en priorité ;
- les moyens de communication de secours ;
- les obligations de déclaration ;
- les coordonnées de l’assureur et des autorités.
Une crise cyber ne doit pas être le moment où l’organisation découvre pour la première fois l’emplacement de ses sauvegardes ou les coordonnées de son prestataire.
Se préparer avant que l’activité ne s’arrête
Les PME demeurent une cible majeure en 2026 parce qu’elles réunissent trois caractéristiques attractives pour les cybercriminels : des données exploitables, des systèmes souvent interconnectés et des ressources de sécurité plus limitées que celles des grandes organisations.
Pour autant, une petite entreprise n’est pas condamnée à subir. Les mesures les plus efficaces reposent souvent sur des fondamentaux accessibles : authentification multifacteur, mises à jour, sauvegardes isolées, limitation des droits, supervision et préparation à la crise.
MB2I accompagne les entreprises dans l’audit, la sécurisation et la supervision de leur système d’information. L’objectif n’est pas uniquement d’empêcher l’attaque : il est aussi de la détecter rapidement, de limiter sa propagation et de permettre à l’activité de redémarrer dans les meilleures conditions.
Sources :
- Panorama de la cybermenace 2025, ANSSI, publié le 11 mars 2026.
- Data Breach Investigations Report 2026, Verizon.
- Rapport d’activité et état de la menace 2025, Cybermalveillance.gouv.fr, publié en mars 2026.
- Baromètre national de la maturité cyber des TPE-PME 2025, Cybermalveillance.gouv.fr.
- Internet Organised Crime Threat Assessment 2026, Europol.