Vous pensez être trop petit pour intéresser un hacker ? L'ANSSI vient de vous contredire.
C'est le chiffre qui devrait figurer en tête de toutes les réunions de direction en 2026 : 48 %. C'est la part des victimes de ransomware en France qui sont des TPE, PME et ETI, d'après le Panorama de la cybermenace 2025 publié par l'ANSSI le 11 mars 2026. Première catégorie touchée, devant les collectivités territoriales (11 %) et les établissements de santé (8 %).
La réalité est sans appel : votre entreprise est devenue une cible prioritaire. Non pas par malchance, mais par calcul. Et comprendre ce calcul est la première étape pour s'en protéger.
Ce que dit vraiment le rapport ANSSI 2025
L'ANSSI a traité 3 586 événements de sécurité en 2025, dont 1 366 incidents confirmés. 128 attaques par ransomware ont été recensées sur l'année — un niveau élevé, malgré une légère baisse par rapport aux 141 cas de 2024.
Mais les chiffres bruts ne racontent qu'une partie de l'histoire. Ce que l'ANSSI souligne avec force, c'est l'évolution qualitative de la menace :
- Les exfiltrations de données explosent. 196 incidents en 2025, contre 130 en 2024. Les attaquants volent les fichiers avant de les chiffrer, puis menacent de les publier : la double extorsion.
- Les frontières crime organisé / États s'effacent. Souches les plus actives : Qilin (21 %), Akira (9 %), LockBit 3.0 (5 %).
- Les équipements de périmètre restent la porte d'entrée. 29 % des vulnérabilités exploitées en 2025 l'ont été le jour même de leur publication.
- Les prestataires IT sont ciblés. Le ciblage des sous-traitants comme vecteur de compromission progresse.
Pourquoi les PME sont-elles la cible n°1 ?
La réponse tient en un mot : rentabilité. Les cybercriminels optimisent leur retour sur investissement. Une PME de 20 à 200 salariés représente le compromis idéal : assez de données et de CA pour justifier une rançon, rarement les défenses d'un grand groupe.
Le coût moyen d'une attaque pour une PME française se situe entre 130 000 et 250 000 €, interruption comprise. La rançon n'est que 10 à 15 % de la facture. Le reste :
- arrêt de production et perte de CA pendant 2 à 6 semaines ;
- reconstruction complète du système d'information ;
- coûts juridiques et de communication de crise ;
- sanctions CNIL en cas de fuite de données personnelles ;
- perte de clients et atteinte durable à la réputation.
Et l'assurance ? Depuis 2025, les assureurs refusent les sinistres si les mesures de base (MFA, sauvegardes déconnectées) n'étaient pas en place. La question n'est plus de s'assurer, mais de prouver qu'on était prêt.
Les 5 erreurs qui ouvrent la porte aux ransomwares
1. Des mots de passe partagés et jamais changés
Le phishing reste le vecteur n°1 : 91 % des cyberattaques commencent par un email.
Ce qu'il faut faire : MFA obligatoire sur messagerie, VPN et applications cloud ; gestionnaire de mots de passe d'entreprise (nous déployons LockSelf, certifié ANSSI CSPN).
2. Des sauvegardes connectées en permanence au réseau
Une sauvegarde accessible depuis le réseau local sera chiffrée avec le reste.
Ce qu'il faut faire : stratégie 3-2-1 (3 copies, 2 supports, 1 hors site/immuable). Testez vos restaurations chaque trimestre.
3. Des correctifs appliqués « quand on a le temps »
En 2025, 29 % des failles exploitées l'ont été dans les heures suivant leur publication.
Ce qu'il faut faire : patch management automatisé et supervisé, parc inventorié et mis à jour selon un calendrier défini.
4. Aucune segmentation réseau
Sur un réseau à plat, un poste compromis donne accès aux serveurs, sauvegardes et données clients — la propagation latérale.
Ce qu'il faut faire : séparer au minimum le réseau bureautique des serveurs critiques. Pour les cabinets d'avocats et études notariales, c'est une exigence absolue (secret professionnel).
5. Zéro formation des équipes
Le maillon le plus faible, c'est l'humain — par manque de formation, pas d'incompétence.
Ce qu'il faut faire : sensibilisation régulière, exercices de simulation de phishing. Une équipe formée détecte et signale avant de cliquer.
Ce que la réglementation vous impose désormais
La directive NIS 2, en cours de transposition, étend les obligations à ~15 000 entités. Si vous avez plus de 50 salariés ou 10 M€ de CA dans un secteur couvert, vous êtes potentiellement concerné : amendes jusqu'à 2 % du CA mondial, responsabilité personnelle du dirigeant engageable.
Le Cyber Resilience Act (CRA) européen, première phase en 2026, impose un signalement sous 24 heures aux fabricants et éditeurs de logiciels.
Bonne nouvelle : l'ANSSI a publié en mars 2026 le Référentiel Cyber France (ReCyF) — 152 mesures concrètes sur 20 objectifs, accessible même sans équipe IT dédiée.
Pourquoi externaliser sa cybersécurité à un MSP local change tout
La cybersécurité n'est pas un projet, c'est une supervision continue. Un MSP comme IMACS SERVICES prend en charge cette vigilance :
- Surveillance 24/7 de votre infrastructure ;
- Patch management systématique ;
- Sauvegardes immuables supervisées, testées et documentées ;
- Intervention rapide sur site — basés à Évreux, sur toute la Normandie et l'Île-de-France sous 4 heures ;
- Confidentialité contractuelle — NDA dès le premier échange, aucun logo client publié.
Nous ne faisons pas de la sécurité marketing : nous appliquons des référentiels concrets (ANSSI, RGPD, RGAA) à des infrastructures réelles que nous supervisons au quotidien.
Par où commencer ? Le pré-audit gratuit IMACS
Vous ne savez pas ce que votre entreprise expose, ni si vos sauvegardes fonctionnent. C'est exactement ce que notre pré-audit gratuit identifie. En 48 heures, vous obtenez :
- un état des lieux de votre posture de sécurité ;
- les failles critiques à traiter en priorité ;
- un plan d'action chiffré et priorisé — vous choisissez le rythme.
Aucun engagement, aucun jargon, aucune facture surprise.
« Nous avons les moyens de contrer, décourager ou au moins complexifier grandement la vie des attaquants. »
— Vincent Strubel, Directeur général de l'ANSSI, Panorama de la cybermenace 2025
La menace est réelle. Les outils pour s'en protéger aussi. Il reste à faire le premier pas.
Demander mon pré-audit gratuit · Contacter l'équipe IMACS SERVICES
Sources : Panorama de la cybermenace 2025 — ANSSI/CERT-FR (mars 2026) · Verizon DBIR 2025 · IBM Cost of a Data Breach 2025 · CESIN Baromètre 2025.
Mots-clés
- ransomware PME France
- ANSSI
- NIS 2
- sauvegarde 3-2-1
- MFA
