En 2025, une PME ou une ETI sur deux a été touchée par un rançongiciel. La tendance ne faiblit pas, au contraire, elle s’installe et progresse. Un an plus tôt la proportion était nettement inférieure.
Tribune par Pascal Le Digol, country manager France de WatchGuard Technologies – C’est pourtant bien du cœur de l’économie française dont il est question. Les PME et les ETI génèrent près de 50% de la valeur ajoutée du pays, soit environ 900 milliards d’euros. En y ajoutant les microentreprises, cela représente 71,9% des emplois en équivalent temps plein (ETP). On parle donc bel et bien du socle de l’activité économique française.
C’est donc précisément ce socle qui est aussi en première ligne face aux cybermenaces, et encore souvent inconscient du danger et des conséquences. Quand une entreprise est touchée les effets sont concrets et immédiats. L’activité ralentit, l’organisation se déséquilibre et certaines opérations s’arrêtent, avec des répercussions immédiates sur l’entreprise.
Pourtant, ces mêmes entreprises peinent à prendre conscience du risque. Beaucoup d’entre elles continuent de penser qu’elles sont trop petites, ou pas assez visibles, pour intéresser des attaquants. Or cette grille de lecture ne correspond plus à la réalité et l’on voit se dessiner une fracture nette. D’un côté, celles qui ont été confrontées au risque et qui renforcent progressivement leur niveau de sécurité. De l’autre, celles qui restent dans l’attentisme avec un niveau de protection limité. Les investissements augmentent, mais concernent surtout les entreprises déjà sensibilisées. Le sujet change donc de nature : la vulnérabilité des PME et des ETI devient un enjeu économique à part entière.
Une cybersécurité à deux vitesses : le vrai point de rupture
Un simple firewall et un antivirus constituent l’arsenal cyber d’une PME ou ETI sur deux en France. Et encore faut-il qu’ils soient à jour et correctement déployés. Difficile à croire, et pourtant c’est une réalité terrain qui en dit long sur le niveau réel de préparation face à la menace.
Autrement dit, le problème n’est pas seulement technique. Beaucoup d’entreprises continuent d’aborder la cybersécurité comme un sujet marginal, alors même que le risque ne cesse de s’intensifier. Les chiffres parlent d’eux-mêmes : d’après une étude que nous avons réalisée avec Opinon Way, 49% des PME de 100 à 249 salariés ont déjà subi une cyberattaque, et 29% évoquent un impact direct sur leur activité, avec des perturbations ou des arrêts d’exploitation.
C’est malheureusement quand elles ont subi une attaque que les PME et ETI se réveillent. Au moment où la menace n’est plus théorique. Et cela crée logiquement un modèle à deux vitesses entre celles qui agissent et celles qui laissent venir. Le décalage est d’autant plus problématique qu’il s’auto-entretient. Les investissements progressent, mais ils concernent surtout les entreprises déjà sensibilisées. Les autres restent exposées, parfois sans en avoir pleinement conscience.
Une menace opportuniste devenue industrielle
Une PME n’est presque jamais ciblée : elle est touchée. Les attaquants ne cherchent pas une entreprise en particulier. En bons opportunistes, ils exploitent ce qui est à leur portée, immédiatement accessible, avec une méthodologie froide : test, pénétration, rançon. Le processus est industrialisé et fonctionne d’autant mieux que certaines organisations restent insuffisamment protégées.
Évidemment ce modèle s’accélère avec la démocratisation de l’IA en permettant de créer des attaques plus crédibles, mieux ciblées et à grande échelle. On passe du phishing basique au spear phishing de plus en plus avancé. Un message frauduleux s’adapte désormais à son destinataire et devient beaucoup plus difficile à détecter. Et pour les entreprises les moins préparées, l’impact est souvent douloureux. Sur ces 3 dernières années, elles sont même en retard par rapport à la menace.
Toutefois, on observe un réveil et des changements importants en cours. La disponibilité d’outils et de technologies autrefois réservés aux grands comptes répond à la problématique structurelle du manque de ressources dans les PME-ETI. Les solutions managées de type MDR notamment trouvent un écho favorable et permettent de commencer à construire « le mur de protection » dont elles ont tant besoin. Un élément salvateur, qui se combine même avec une prise de conscience de la surface à protéger : la sécurisation du nomadisme redevient un sujet, alors que les collaborateurs n’ont jamais été aussi connectés en situation de mobilité. Autre élément intéressant : l’approche Zero Trust, qui consiste à ne jamais faire confiance à un utilisateur, une application ou un périphérique, se distille au moment où la majorité des entreprises posent justement les bases de leur protection.
Ce réveil, même tardif, ne pourra d’ailleurs se faire sans les partenaires et gestionnaires MSP (Managed Service Provider) qui continuent de jouer un rôle central, mais doivent eux aussi monter en compétence sur cette partie cyber. Avec un taux de confiance de 97% (d’après notre étude menée par Opinion Way) ils accompagnent les entreprises, traduisent les enjeux techniques et participent directement à l’élévation du niveau de sécurité. Autant dire un rôle déterminant, à l ‘heure où le cadre réglementaire évolue lui aussi et tend à devenir plus strict à l’image de NIS2 aujourd’hui… et d’autres demain. Dans son rôle, l’ANSSI alerte et apporte des repères concrets pour structurer les pratiques. Les entreprises commencent à s’en saisir, parfois contraintes, souvent progressivement.
La dynamique est enclenchée, mais elle reste insuffisante au regard de la vitesse à laquelle la menace progresse. L’enjeu dépasse désormais celui de la seule cybersécurité. Car lorsqu’une PME est touchée, c’est une activité qui vacille mais c’est aussi l’économie tout entière qui est fragilisée.
