Un cabinet comptable de douze personnes dans le Rhône, un sous-traitant aéronautique en Occitanie, un réseau de pharmacies en Bretagne : les profils des victimes de ransomwares remontés par l’ANSSI dessinent un schéma clair. Les PME françaises ne sont plus des dommages collatéraux, elles sont devenues la cible principale. Selon le Panorama de la cybermenace 2025 publié par l’ANSSI, les TPE, PME et ETI représentent 48 % des victimes de rançongiciel traitées en 2025, contre 37 % en 2024.
Ransomware et PME : ce que l’effet supply chain change concrètement
On parle souvent du manque de budget ou de l’absence de RSSI pour expliquer pourquoi les PME sont visées. C’est vrai, mais incomplet. Le levier principal pour les attaquants aujourd’hui, c’est la position de la PME dans une chaîne de valeur.
Un sous-traitant qui stocke des plans industriels pour un donneur d’ordres du CAC 40 représente un point d’entrée bien plus discret qu’une attaque frontale contre le grand groupe. Les données exfiltrées (nomenclatures, fichiers clients, échanges contractuels) servent ensuite de levier de pression, parfois contre le donneur d’ordres lui-même.
Cette logique de rebond explique un changement de tactique documenté par l’ANSSI : les exfiltrations de données avant chiffrement se généralisent. Le ransomware ne se contente plus de bloquer l’accès aux fichiers. Il copie d’abord les données sensibles, puis menace de les publier si la rançon n’est pas versée. Pour une PME liée par des clauses de confidentialité avec ses clients, la pression est double.
Directive NIS 2 et assurance cyber : deux contraintes qui tombent en même temps
La transposition de la directive NIS 2 en droit français va directement concerner plusieurs milliers de PME classées comme entités importantes. Pour les autres, l’effet de ruissellement est déjà visible : leurs clients soumis à NIS 2 commencent à exiger des garanties de cybersécurité dans les appels d’offres et les contrats cadres.
Côté assurance, le marché se durcit. Les assureurs demandent désormais des preuves techniques avant d’accepter de couvrir le risque cyber. On nous demande si on a un EDR, si nos sauvegardes sont déconnectées du réseau, si on a un plan de reprise documenté. Sans ces éléments, la prime explose ou la couverture est refusée.
Concrètement, la cybersécurité devient un prérequis commercial, pas un centre de coût optionnel. Une PME qui ne peut pas prouver un minimum de maturité cyber risque de perdre des marchés avant même d’être attaquée.
Sauvegardes et plan de reprise : les failles terrain les plus fréquentes
Sur le papier, la plupart des PME ont des sauvegardes. En pratique, on constate trois problèmes récurrents qui rendent ces sauvegardes inutilisables le jour d’une attaque.
- Les sauvegardes sont connectées au même réseau que les postes de travail. Lors d’un chiffrement par ransomware, elles sont détruites en même temps que les données de production.
- Personne n’a jamais testé la restauration complète. On découvre le jour J que la sauvegarde est corrompue, incomplète ou que le temps de restauration dépasse plusieurs jours.
- Le plan de reprise d’activité (PRA) n’existe pas sous forme écrite. Les rôles ne sont pas attribués, les priorités de remise en service ne sont pas définies, et la communication de crise est improvisée.
La règle de sauvegarde 3-2-1 (trois copies, deux supports différents, une copie hors site) reste la base. Mais une sauvegarde non testée n’est pas une sauvegarde, c’est une promesse. Planifier un test de restauration complet au moins une fois par semestre change radicalement la donne.
L’erreur classique sur les droits d’administration
Un autre point que les retours terrain confirment systématiquement : trop de collaborateurs disposent de droits d’administration sur leur poste. Un ransomware exécuté avec des privilèges élevés chiffre non seulement le poste local mais aussi tous les partages réseau accessibles. Restreindre les droits au strict nécessaire limite mécaniquement la surface d’attaque.
Phishing et accès distants : les deux portes d’entrée à verrouiller en priorité
Le phishing reste le vecteur d’infection dominant dans les attaques contre les PME. Les campagnes sont de plus en plus ciblées : on reçoit un faux email du cabinet comptable, un bon de commande piégé d’un fournisseur habituel, une relance de facture avec un lien vers un site clone.
La sensibilisation des équipes est nécessaire, mais elle ne suffit pas seule. Les retours varient sur ce point, car certaines PME obtiennent de bons résultats avec des campagnes de simulation de phishing régulières, tandis que d’autres constatent peu d’amélioration. Ce qui fait la différence, c’est la combinaison avec des mesures techniques :
- Activer l’authentification multifacteur (MFA) sur tous les accès distants, messagerie comprise. Un mot de passe seul ne protège plus rien.
- Désactiver les protocoles d’accès à distance non utilisés (RDP exposé sur Internet reste un vecteur d’attaque majeur).
- Mettre à jour les équipements réseau (pare-feu, VPN) dès la publication des correctifs de sécurité. Les vulnérabilités sur ces équipements sont activement exploitées par les groupes de ransomware.
Réagir dans les premières heures
Quand l’attaque survient, la vitesse de réaction détermine l’étendue des dégâts. Isoler les machines infectées du réseau dans les premières minutes empêche la propagation latérale. Couper le Wi-Fi, débrancher les câbles réseau, désactiver les accès VPN : ces gestes simples doivent être connus de tous, pas seulement de la personne en charge de l’informatique.
Le signalement sur la plateforme Cybermalveillance.gouv.fr permet d’accéder à un diagnostic gratuit et au dispositif ExpertCyber. Déposer plainte auprès des autorités reste une étape souvent négligée par les PME, alors qu’elle conditionne parfois la prise en charge par l’assureur.
La volumétrie globale des incidents traités par l’ANSSI reste stable (1 366 incidents confirmés en 2025), mais le glissement vers les petites structures est net. Pour une PME, le coût d’une attaque va bien au-delà de la rançon : arrêt d’activité, perte de données clients, atteinte à la réputation, pénalités contractuelles.
Investir quelques milliers d’euros par an en cybersécurité coûte une fraction de ce que représente un sinistre. Le premier pas reste souvent le plus simple : faire auditer son exposition par un prestataire référencé, puis traiter les failles critiques avant de viser l’exhaustivité.
