Les chiffres ne décrivent pas une vague passagère.
L’ANSSI indique avoir traité 3 586 événements de sécurité en 2025, dont 1 366 incidents. L’Éducation et la recherche représentaient 34 % des secteurs particulièrement visés parmi les événements portés à sa connaissance, devant les ministères et collectivités territoriales, la santé et les télécommunications.
Cette activité ne signifie pas que chaque entreprise française sera attaquée. Elle montre en revanche que la menace touche des organisations très différentes et qu’elle ne se limite ni aux banques ni aux grandes entreprises technologiques.
Du côté des utilisateurs, Cybermalveillance.gouv.fr constate également une accélération des violations de données. En 2025, les demandes d’assistance liées à ce type d’incident ont progressé de 107 %, après une hausse de 82 % l’année précédente.
Le sujet n’est donc plus théorique.
L’incident ANTS montre la valeur d’une simple donnée d’identité
En avril 2026, un incident de sécurité concernant le portail de l’Agence nationale des titres sécurisés a potentiellement affecté 11,7 millions de comptes particuliers.
Les données susceptibles d’avoir été exposées comprenaient notamment les noms, prénoms, adresses électroniques, dates de naissance et identifiants de comptes ainsi que, pour certains utilisateurs, l’adresse postale, le lieu de naissance ou le numéro de téléphone.
Le ministère de l’Intérieur précisait alors que les documents transmis lors des démarches et les données biométriques n’étaient pas concernés par l’incident.
Une nuance importante.
Une fuite de nom, d’adresse e-mail ou de date de naissance n’offre pas automatiquement l’accès à un compte bancaire.
Mais ces données ont une autre utilité : elles donnent du contexte à l’attaquant.
Imaginez deux messages.
« Votre compte rencontre un problème. Cliquez ici. »
Le second utilise votre nom, connaît le service que vous utilisez et reprend plusieurs informations exactes vous concernant.
Le deuxième paraît immédiatement plus crédible.
Les informations issues de violations de données peuvent ainsi être réutilisées dans des campagnes d’hameçonnage personnalisées, des tentatives d’usurpation d’identité ou des piratages de comptes.
La fuite n’est donc parfois que la première étape.
L’attaque de l’Insee rappelle que les données professionnelles comptent aussi
En juin 2026, l’Insee a détecté une attaque ayant conduit à une violation de données concernant environ 12 800 personnes travaillant ou ayant travaillé au sein de l’institut, ainsi que des personnes issues des corps de l’Insee.
Les informations concernées portaient sur l’identité et les coordonnées professionnelles. L’Insee précisait que les mots de passe, coordonnées personnelles, données bancaires, numéros de Sécurité sociale et informations de santé n’étaient pas concernés.
À première vue, une adresse professionnelle semble moins sensible qu’un numéro de carte bancaire.
Pourtant, elle peut révéler beaucoup de choses.
- Le domaine permet d’identifier l’organisation.
- L’intitulé du poste renseigne sur le rôle de la personne.
- LinkedIn peut permettre d’identifier sa hiérarchie ou son équipe.
- Le site de l’entreprise apporte d’autres informations sur son activité et son organisation.
À partir de données qui semblent banales lorsqu’elles sont prises séparément, un attaquant peut construire un scénario beaucoup plus précis.
C’est l’une des raisons pour lesquelles les attaques par ingénierie sociale restent efficaces.
Pour les entreprises, le piratage de compte est devenu un risque majeur
Les statistiques de Cybermalveillance.gouv.fr sont particulièrement parlantes pour les professionnels.
En 2025, le piratage de compte représentait 21 % des parcours d’assistance réalisés par les entreprises et associations, ce qui en faisait la première menace constatée dans ce dispositif. L’hameçonnage arrivait ensuite, tandis que la fraude au virement figurait également parmi les principales menaces.
Le scénario n’a rien de futuriste.
Une messagerie professionnelle est compromise.
L’attaquant observe les échanges. Il identifie un fournisseur ou une facture en attente. Puis il envoie une demande de modification de RIB depuis un compte qui semble parfaitement légitime.
Dans un autre cas, il peut récupérer :
- un compte Meta Business ;
- un compte Google ;
- un accès administrateur au site internet ;
- un profil LinkedIn ;
- un compte publicitaire ;
- un accès à un outil de stockage ou à un CRM.
La sécurité numérique d’une PME se joue donc souvent sur des outils utilisés tous les jours et auxquels personne ne pense spontanément comme à une infrastructure critique.
Le risque peut venir d’un prestataire
Une entreprise peut protéger correctement ses propres systèmes et malgré tout être exposée.
CRM, hébergeur, logiciel de facturation, agence, outil d’emailing, plateforme e-commerce, prestataire informatique : une partie croissante des données et des accès sort désormais du périmètre direct de l’entreprise.
La CNIL rappelle régulièrement le rôle que peuvent jouer les sous-traitants dans les incidents de cybersécurité.
Cela change la manière d’évaluer un nouvel outil.
Il ne suffit plus de demander :
« Est-ce que ce logiciel répond à notre besoin ? »
Il faut aussi savoir :
« Quelles données allons-nous y placer, qui y aura accès et que se passera-t-il si le fournisseur est compromis ? »
Une solution SaaS peut être excellente fonctionnellement tout en représentant une dépendance forte pour l’activité.
Les deux sujets doivent être regardés ensemble.
Toutes les attaques ne cherchent pas à voler de l’argent
Les cyberattaques observées en France rappellent également qu’il n’existe pas un profil unique d’attaquant.
Selon la cible, une attaque peut poursuivre plusieurs objectifs :
- obtenir de l’argent ;
- voler des données ;
- récupérer des identifiants ;
- prendre le contrôle d’un système ;
- perturber l’activité d’une organisation ;
- collecter du renseignement ;
- préparer une attaque ultérieure.
En juillet 2026, le CERT-FR a par exemple publié un rapport consacré au ciblage d’entités françaises par le mode opératoire Turla, attribué par les autorités françaises au 16e Centre du FSB russe.
Les cibles identifiées comprenaient notamment des ministères et des entités appartenant aux secteurs diplomatique, de la défense, de la justice et des technologies. Dans ce cas, l’objectif décrit relève principalement de la collecte de renseignement.
Pour la majorité des PME, la cybercriminalité opportuniste reste évidemment beaucoup plus proche du quotidien qu’une opération d’espionnage étatique.
Mais cette diversité permet de comprendre pourquoi la question « qu’est-ce qu’un pirate pourrait bien vouloir chez nous ? » est rarement la bonne.
Une petite entreprise n’est pas trop petite pour être ciblée
Une PME dispose peut-être de moins de données qu’un grand groupe.
Elle dispose aussi souvent de moins de moyens pour absorber un incident.
Quelques jours sans messagerie peuvent bloquer la relation client.
La perte d’un compte Instagram peut interrompre la communication d’une marque.
Un site e-commerce inaccessible peut arrêter les ventes.
Un compte Google compromis peut donner accès à la messagerie, aux documents partagés, aux outils analytics et parfois à beaucoup plus.
Une cyberattaque peut ainsi produire des conséquences :
- techniques ;
- financières ;
- commerciales ;
- juridiques ;
- réputationnelles ;
- organisationnelles.
Le risque ne dépend donc pas uniquement du nombre de données possédées.
Il dépend aussi du niveau de dépendance de l’entreprise à ses outils numériques.
Plus une entreprise se digitalise, plus les accès se multiplient
Prenons une PME relativement classique.
Elle utilise :
- un site WordPress ;
- Google Workspace ou Microsoft 365 ;
- Canva ;
- LinkedIn ;
- Meta Business Manager ;
- un CRM ;
- Brevo ou Mailchimp ;
- Google Analytics ;
- Google Tag Manager ;
- un logiciel de facturation ;
- un outil de stockage cloud ;
- plusieurs solutions d’intelligence artificielle.
À cela s’ajoutent les comptes du dirigeant, des salariés, de l’agence, du développeur et parfois de plusieurs anciens prestataires.
La surface d’exposition n’est plus un serveur installé dans une salle informatique.
Elle correspond à l’ensemble de cet écosystème.
Et les problèmes les plus simples sont parfois les plus difficiles à repérer.
- Un ancien freelance possède toujours un accès administrateur.
- Le même mot de passe est utilisé sur plusieurs plateformes.
- L’authentification multifacteur n’est pas activée.
- Une extension WordPress n’a pas été mise à jour.
- Personne ne sait exactement qui est propriétaire du compte Google Analytics.
Aucun de ces cas n’est spectaculaire.
Ils sont pourtant beaucoup plus proches de la réalité quotidienne d’une PME que l’image du pirate devant plusieurs écrans.
Huit mesures qui réduisent déjà fortement l’exposition
Il n’existe pas de configuration qui rende une entreprise impossible à attaquer.
L’objectif consiste plutôt à faire en sorte qu’une première erreur ne donne pas immédiatement accès à tout le reste.
1. Activer l’authentification multifacteur
La double authentification doit être activée en priorité sur les comptes les plus sensibles :
- messagerie professionnelle ;
- hébergement ;
- comptes administrateurs ;
- réseaux sociaux ;
- régies publicitaires ;
- CRM ;
- logiciels métiers.
La découverte d’un mot de passe ne suffit alors plus nécessairement à accéder au compte.
2. Utiliser des mots de passe uniques
Réutiliser un même mot de passe sur plusieurs plateformes crée un effet domino.
Lorsqu’un service est compromis, les identifiants récupérés peuvent être testés sur d’autres plateformes.
Un gestionnaire de mots de passe facilite l’utilisation de mots de passe différents et complexes sans avoir à tous les mémoriser.
3. Maintenir les logiciels et les sites à jour
Les mises à jour ne servent pas uniquement à ajouter de nouvelles fonctionnalités.
Elles permettent également de corriger des vulnérabilités connues.
Cela concerne notamment :
- les CMS ;
- les extensions ;
- les thèmes ;
- les logiciels professionnels ;
- les systèmes d’exploitation ;
- les serveurs ;
- les applications mobiles.
4. Mettre en place de vraies sauvegardes
Une sauvegarde utile ne doit pas dépendre uniquement du système que l’on cherche à protéger.
Si toutes les copies sont accessibles depuis le même environnement qu’un attaquant vient de compromettre, elles peuvent elles aussi être supprimées ou chiffrées.
Les données importantes doivent donc être sauvegardées régulièrement et, lorsque cela est possible, sur un environnement distinct.
5. Limiter les droits administrateurs
Tout le monde n’a pas besoin d’être administrateur.
Un collaborateur chargé de publier des contenus n’a par exemple pas forcément besoin de pouvoir installer de nouvelles extensions, modifier la configuration du serveur ou supprimer d’autres comptes.
Limiter les permissions permet de réduire les conséquences potentielles d’un compte compromis.
6. Supprimer les anciens accès
Lorsqu’un salarié, une agence ou un freelance termine sa mission, ses accès doivent être revus rapidement.
Il faut notamment vérifier :
- le CMS ;
- l’hébergement ;
- Meta Business ;
- les réseaux sociaux ;
- Google Analytics ;
- Google Tag Manager ;
- Google Ads ;
- les espaces de stockage ;
- le CRM ;
- les outils de création et de collaboration.
7. Tenir un inventaire des outils et prestataires sensibles
Une entreprise devrait pouvoir identifier rapidement les services numériques dont dépend son activité.
Pour chacun d’eux, quelques questions simples peuvent être posées :
- Quelles données y sont stockées ?
- Qui possède un accès ?
- Qui possède les droits administrateurs ?
- L’authentification multifacteur est-elle activée ?
- Comment récupérer les données ?
- Que se passe-t-il si le service devient indisponible ?
8. Préparer une procédure de réaction
Le pire moment pour décider comment réagir à une cyberattaque est précisément lorsque l’attaque vient de commencer.
Même une petite entreprise peut préparer quelques informations :
- qui doit être contacté ;
- qui possède les accès administrateurs ;
- où se trouvent les sauvegardes ;
- quel prestataire peut intervenir ;
- quels comptes doivent être sécurisés en priorité ;
- comment informer les collaborateurs et les clients si nécessaire.
Le site internet fait partie du dispositif de sécurité
Un site est souvent présenté comme une vitrine.
Techniquement, il peut contenir ou connecter beaucoup plus que quelques pages de présentation :
- formulaires ;
- base utilisateurs ;
- CRM ;
- paiement ;
- comptes administrateurs ;
- outils analytics ;
- API ;
- extensions provenant de fournisseurs externes.
Un site mal maintenu peut donc devenir un point d’entrée ou permettre la récupération d’informations intéressantes pour un attaquant.
Le CERT-FR publie régulièrement des avis concernant des vulnérabilités touchant des technologies très répandues, y compris des CMS et des logiciels utilisés par les entreprises.
La maintenance technique d’un site ne sert donc pas uniquement à éviter un affichage cassé après une mise à jour.
Elle fait partie de son cycle de sécurité.
Une cyberattaque n’est pas une simple panne informatique
Lorsqu’un incident survient, la réaction des premières heures compte.
Selon la situation, plusieurs actions peuvent être nécessaires :
- alerter rapidement le responsable ou le prestataire informatique ;
- isoler les systèmes compromis ;
- révoquer certains accès ;
- changer les identifiants concernés ;
- préserver les journaux et autres éléments utiles à l’analyse ;
- vérifier les sauvegardes ;
- identifier les données potentiellement concernées.
Supprimer immédiatement tous les fichiers, réinstaller les postes ou effacer les journaux peut compliquer l’analyse de ce qui s’est réellement passé.
La reprise doit également être progressive.
Il faut comprendre l’origine de l’attaque, corriger le point d’entrée et vérifier les autres accès avant de considérer l’incident comme terminé.
Et lorsqu’une fuite concerne des données personnelles ?
Une cyberattaque et une violation de données ne sont pas exactement la même chose.
Une attaque peut avoir lieu sans fuite de données personnelles.
Mais lorsqu’une violation de données personnelles est constatée, le RGPD prévoit des obligations spécifiques.
Le responsable du traitement doit documenter l’incident.
Si la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes, elle doit être notifiée à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance.
Lorsque toutes les informations ne sont pas encore disponibles, une notification initiale peut être réalisée puis complétée par la suite.
Il ne faut donc pas attendre d’avoir terminé l’intégralité de l’enquête technique avant de se poser la question réglementaire.
En 2026, la sécurité des données reste aussi un sujet de conformité
La cybersécurité n’est pas uniquement un sujet de prévention.
Elle concerne aussi les obligations des entreprises qui traitent des données personnelles.
Pour ces organisations, la sécurité n’est pas une fonctionnalité que l’on ajoute uniquement lorsque le budget le permet.
Elle fait partie des responsabilités associées à la collecte, au stockage et au traitement des données.
Cybersécurité et transformation digitale ne peuvent plus être traitées séparément
Une entreprise travaille souvent pendant plusieurs années pour développer son environnement numérique :
- Un nouveau site
- Un CRM
- De la publicité
- Un tunnel de conversion
- Des automatisations
- Une newsletter
- Des tableaux de bord
- Des outils d’intelligence artificielle
Chacun de ces projets peut améliorer l’efficacité ou la croissance de l’entreprise. Mais chaque nouveau service crée aussi des données, des comptes, des autorisations et des dépendances supplémentaires. Le sujet n’est donc pas de ralentir la digitalisation. Il est de la rendre maîtrisable.
Avant d’ajouter un outil, quelques questions devraient devenir aussi naturelles que celles concernant son prix ou ses fonctionnalités :
- Qui possède le compte ?
- Qui dispose des droits administrateurs ?
- Quelles données y sont stockées ?
- L’authentification multifacteur est-elle disponible ?
- Comment récupérer les données ?
- Que se passe-t-il si le service n’est plus accessible demain ?
Ce ne sont pas uniquement des questions réservées aux équipes techniques. Pour une PME, ce sont progressivement des questions de gestion.
La confiance numérique devient aussi un sujet de marque
Il existe enfin une dimension moins technique. Une marque demande quotidiennement à ses utilisateurs de lui faire confiance.
- Remplir un formulaire
- Créer un compte
- Commander
- Partager une adresse e-mail
- Transmettre un document
- Effectuer un paiement
Cette confiance peut être construite pendant plusieurs années et fragilisée très rapidement lorsqu’un incident est mal géré.
La cybersécurité touche donc également la communication, l’expérience client et la réputation.
Un site rapide et bien conçu est utile.
Une stratégie d’acquisition performante aussi.
Mais lorsque ces dispositifs manipulent des données, ils doivent être accompagnés d’un minimum de maîtrise technique et organisationnelle.
Le digital d’une entreprise ne se résume plus à ce qu’un client voit à l’écran. Il comprend aussi tout ce qui permet à cette expérience de rester fiable une fois les données collectées.
FAQ : cybersécurité et cyberattaques en entreprise
Les petites entreprises sont-elles vraiment ciblées par les cyberattaques ?
Oui. Les attaques contre les professionnels concernent notamment les comptes en ligne, l’hameçonnage, les fraudes au virement et l’exploitation de vulnérabilités. Une entreprise n’a pas besoin de détenir des millions de données pour présenter un intérêt pour un attaquant.
Quel compte faut-il sécuriser en premier ?
La messagerie professionnelle mérite généralement une attention prioritaire car elle permet souvent de réinitialiser les mots de passe d’autres services. L’authentification multifacteur doit ensuite être étendue aux comptes administrateurs, réseaux sociaux, hébergement, outils publicitaires et logiciels sensibles.
Une fuite d’adresse e-mail est-elle réellement dangereuse ?
Pas nécessairement à elle seule. Elle peut cependant être combinée avec d’autres informations pour personnaliser un hameçonnage, tenter une usurpation d’identité ou cibler d’autres comptes.
Une cyberattaque doit-elle toujours être déclarée à la CNIL ?
Non. La notification dépend notamment de l’existence d’une violation de données personnelles et du niveau de risque pour les personnes concernées. Toute violation de données personnelles doit toutefois être documentée par l’organisation.
Que faire immédiatement lorsqu’un compte professionnel est piraté ?
Il faut sécuriser le compte, révoquer les sessions et accès suspects, modifier les identifiants concernés et vérifier si d’autres services utilisent les mêmes mots de passe.
Lorsque l’incident dépasse un compte isolé, il est préférable de solliciter rapidement le responsable informatique ou un prestataire compétent et de préserver les éléments utiles à l’analyse de l’incident.
La maintenance d’un site internet améliore-t-elle sa sécurité ?
Oui. Les mises à jour du CMS, des extensions, du serveur et des différents composants permettent notamment de corriger des vulnérabilités connues. Une maintenance régulière permet également de supprimer les comptes, extensions et services qui ne sont plus utilisés.
