Ransomware : la menace que 75 % des PME françaises sous-estiment encore

128 compromissions signalées à l'ANSSI en 2025. 48 % concernent des PME. Ce que révèle le panorama officiel — et comment se protéger vraiment avant qu'il soit trop tard.

📅 15 mars 2026 ⏱ 10 min de lecture ✍️ Rédaction Cybera Télécom

C'était un lundi matin de novembre, 8h43. Thomas M., directeur général d'une PME de transport régional basée à Lisieux, avait à peine posé son café quand son assistante a poussé la porte de son bureau, le visage blême. « Les ordinateurs ne répondent plus. Aucun. Et il y a un message bizarre sur tous les écrans. » Thomas M. connaissait vaguement le mot ransomware, comme on connaît vaguement le mot infarctus — quelque chose qui arrive aux autres. Ce matin-là, ça lui arrivait à lui. À ses 34 employés. À ses 18 camions dont la gestion informatisée venait de s'éteindre d'un coup.

En moins de six heures, la réalité avait pris une forme très concrète : 85 000 euros demandés en Bitcoin, tous les fichiers de gestion de flotte chiffrés, les bons de commande inaccessibles, les contrats clients verrouillés. La sauvegarde automatique ? Elle était connectée au même réseau. Elle avait été chiffrée en même temps. Cinq jours d'arrêt partiel d'activité. Un prestataire de remédiation à 18 000 euros. Une réputation ternie auprès de deux clients grands comptes qui n'ont jamais vraiment su pourquoi leurs livraisons avaient été retardées cette semaine-là. Total estimé : 130 000 euros, rançon non payée.

Ce cas — reconstruit à partir de situations documentées que rencontrent régulièrement les équipes de Cybera Télécom — n'est pas exceptionnel. Il est, hélas, banal.

Le panorama réel de la menace en 2025 : ce que l'ANSSI documente

Le 11 mars 2026, l'Agence nationale de la sécurité des systèmes d'information a publié son Panorama de la cybermenace 2025. Les chiffres sont sobres, précis, et ne laissent guère de place à l'optimisme. Sur les 128 compromissions par rançongiciel portées à la connaissance de l'Agence en 2025, 48 % concernaient des PME, TPE et ETI. Premier secteur touché. Devant les collectivités. Devant les hôpitaux.

Ces 128 cas ne représentent que la surface visible. L'ANSSI elle-même reconnaît que la majorité des attaques contre les petites structures ne sont jamais signalées — soit par méconnaissance des procédures, soit par crainte d'une atteinte à la réputation, soit tout simplement parce que l'entreprise ne sait pas à qui s'adresser. Le chiffre réel, selon les estimations du secteur, est entre cinq et dix fois supérieur.

Comment les attaquants choisissent leurs cibles

La représentation commune du cybercriminel — un hacker solitaire qui tape frénétiquement sur son clavier en cherchant une cible au hasard — est largement dépassée. Les groupes qui opèrent les principales souches de ransomware (Qilin, Akira, LockBit 3.0, qui dominent le classement ANSSI 2025) fonctionnent comme des entreprises. Avec des services commerciaux, des équipes techniques, des plannings de déploiement et des objectifs financiers trimestriels.

La sélection des cibles suit une logique économique simple : maximiser le rapport entre la facilité d'intrusion et la probabilité de paiement. Les PME cochent toutes les cases. Elles ont des données précieuses — carnets de clients, données financières, propriété intellectuelle — mais leurs défenses sont généralement bien inférieures à celles des grands groupes. Elles n'ont pas de RSSI. Elles n'ont pas de SOC. Elles ont souvent une box internet, un antivirus grand public et la bonne volonté de leur comptable qui fait office de responsable informatique.

Il est 3h17 du matin. Quelque part en Europe centrale, un script automatisé vient d'identifier une passerelle VPN non mise à jour dans les systèmes d'une PME normande du secteur agroalimentaire. La vulnérabilité est connue depuis huit mois. Le patch est disponible depuis sept. Personne ne l'a appliqué.

Le script envoie une alerte. Un opérateur humain prend le relais. Il passe les quatre heures suivantes à cartographier silencieusement le réseau interne. Serveurs. Sauvegardes. Droits administrateurs. Partages réseaux. À 7h30, quand les premiers employés arrivent au bureau, tout est en place. L'attaque se déclenchera le vendredi suivant, à 19h00, quand personne ne sera là pour réagir.

Le paradoxe de la perception : on se croit protégé, on ne l'est pas

C'est l'enseignement le plus troublant du baromètre national de maturité cyber des TPE-PME publié par Cybermalveillance.gouv.fr en décembre 2025. 74 % des dirigeants interrogés estiment fournir des efforts suffisants en matière de cybersécurité. Dans le même temps, 74 % d'entre eux se situent en dessous du niveau « Essentiel » défini par l'ANSSI — le niveau plancher, celui qui correspond aux mesures de base que tout le monde devrait avoir.

Cette double statistique à 74 % est presque brutale dans ce qu'elle révèle : la majorité des PME françaises pensent être protégées alors qu'elles ne le sont pas. La raison principale citée par les dirigeants eux-mêmes ? Le manque de connaissances et d'expertise, pour 63 % d'entre eux. Non pas le manque de budget, ni le manque de volonté — le manque de savoir quoi faire concrètement.

« On avait un antivirus sur tous les postes. On faisait des sauvegarde tous les soirs. On pensait que c'était suffisant. Quand l'attaque a eu lieu, on a découvert que la sauvegarde était sur le même serveur que les données. En dix minutes, tout était chiffré, y compris les sauvegardes. »

Laurent B., directeur général d'une PME de négoce industriel, Calvados — 28 collaborateurs

L'anatomie d'une attaque : les quatre phases que personne ne voit venir

Comprendre comment une attaque se déroule est la première étape pour comprendre comment s'en défendre. La cinématique d'un ransomware moderne suit un schéma en quatre actes qui peut s'étaler sur plusieurs semaines.

Phase 1 — L'accès initial (le point d'entrée)

Selon le DBIR 2025 de Verizon, qui analyse plus de 22 000 incidents dans le monde, trois vecteurs d'entrée dominent : les identifiants compromis (volés via du phishing ou achetés sur des forums criminels), l'exploitation de vulnérabilités connues sur les équipements exposés à internet, et le phishing par email. Dans les PME françaises, l'ANSSI note une forte prévalence des attaques via des équipements de bordure non mis à jour — pare-feux, VPN, passerelles d'accès distant.

Phase 2 — La latence (le séjour silencieux)

Une fois l'accès obtenu, l'attaquant ne déclenche pas immédiatement le ransomware. Il cartographie. Il identifie où sont les données, où sont les sauvegardes, quels comptes ont des droits administrateurs. Cette phase peut durer de quelques jours à plusieurs semaines. C'est la phase que les outils de détection avancés peuvent identifier — un EDR qui surveille les comportements anormaux peut voir qu'un compte utilisateur est en train d'accéder à des répertoires auxquels il n'accède jamais habituellement.

Phase 3 — Le déploiement (l'exfiltration et le chiffrement)

Les ransomwares modernes fonctionnent désormais en double extorsion : avant de chiffrer les données, ils les exfiltrent. Cela donne aux attaquants un second levier de pression : « Payez, ou vos données clients et financières seront publiées sur notre site ». L'ANSSI note une hausse de 51 % des exfiltrations de données en 2025 par rapport à 2024. Le chiffrement lui-même peut toucher l'ensemble d'un réseau en moins d'une heure.

Phase 4 — La négociation (le moment de vérité)

La demande de rançon arrive. L'entreprise doit alors prendre des décisions sous une pression extrême : payer ou ne pas payer, prévenir les clients ou non, déposer plainte ou non. Selon l'étude Cohesity/Vanson Bourne de septembre 2025, 75 % des organisations françaises choisissent de payer, versant en moyenne 1,07 million d'euros. Pour une PME, les montants sont plus modestes — mais la pression est identique.

Jean-Luc M., responsable technique

Cybera Télécom — Pôle cybersécurité

« Ce qu'on voit systématiquement quand on intervient après une attaque, c'est que les signaux d'alerte étaient là bien avant. Des connexions à des heures inhabituelles. Des transferts de fichiers inhabituels. Un compte qui accède à des répertoires auxquels il n'avait jamais accédé. Tout ça, un EDR correctement configuré l'aurait détecté. La plupart du temps, les PME n'ont tout simplement pas l'outil pour voir. »

Les cinq mesures qui changent vraiment la donne

La cybersécurité complète est un domaine vaste et coûteux. Mais il existe un principe de Pareto qui s'applique remarquablement bien : 20 % des mesures réduisent 80 % du risque. Voici les cinq mesures qui constituent ce 20 % pour une PME normande.

1. Les sauvegardes hors ligne, testées régulièrement — la mesure la plus importante

Une sauvegarde connectée à votre réseau sera chiffrée en même temps que vos données. C'est aussi simple que ça. Vos sauvegardes doivent obéir à la règle des 3-2-1 : trois copies de vos données, sur deux supports différents (par exemple un NAS local et un cloud), dont une complètement déconnectée du réseau. Et surtout : testez la restauration. Pas tous les ans — tous les mois. Une sauvegarde jamais testée n'est pas une sauvegarde, c'est une fausse sécurité.

2. Un EDR sur tous les postes de travail

L'antivirus traditionnel fonctionne par signature : il compare chaque fichier à une base de données de malwares connus. Les ransomwares modernes sont conçus pour être inconnus — les groupes criminels modifient leur code régulièrement pour éviter la détection par signature. Un EDR (Endpoint Detection and Response) analyse les comportements : si un processus commence à chiffrer des fichiers en masse, l'EDR le stoppe, isole le poste et alerte — même si ce ransomware n'a jamais été vu auparavant.

3. L'authentification à double facteur sur tous les accès distants

Les identifiants volés représentent l'un des principaux vecteurs d'intrusion. Si un attaquant obtient le mot de passe de votre VPN ou de votre messagerie, l'authentification à double facteur (2FA) l'empêche d'aller plus loin. C'est une mesure qui prend dix minutes à déployer et qui bloque une catégorie entière d'attaques.

4. La mise à jour régulière des équipements de bordure

L'ANSSI a documenté en 2025 des campagnes massives exploitant des vulnérabilités connues sur des pare-feux et passerelles VPN — parfois des mois après la publication du patch. Mettre à jour votre pare-feu, votre VPN et vos routeurs dès qu'un correctif est disponible ferme ces portes d'entrée.

5. La sensibilisation des collaborateurs au phishing

Selon le DBIR Verizon 2025, le facteur humain est impliqué dans 60 % des brèches. Former vos équipes à identifier un email suspect, organiser des simulations de phishing, établir une procédure claire pour signaler un email douteux : ces mesures non techniques sont souvent les plus rentables en termes de réduction du risque.

« Après notre incident, on a fait un audit avec Cybera Télécom. Leur premier constat a été qu'on n'avait pas de pare-feu professionnel — juste notre box Orange. Le deuxième, c'est que notre sauvegarde était sur le même réseau. En six semaines, tout a été reconfiguré. Aujourd'hui je dors mieux. »

Sophie T., directrice administrative, cabinet d'expertise comptable, Rouen — 15 collaborateurs

Que faire si vous êtes attaqué : les bons réflexes dans les premières heures

Si malgré toutes les précautions une attaque survient, les décisions prises dans les premières heures déterminent souvent l'ampleur des dégâts. Voici ce que préconisent l'ANSSI et Cybermalveillance.gouv.fr.

• Ne pas éteindre les machines compromises — contrairement à l'instinct, cela peut effacer des preuves en mémoire vive et déclencher certains mécanismes de destruction de données
• Déconnecter immédiatement du réseau — coupez physiquement le câble Ethernet ou désactivez le WiFi pour stopper la propagation vers d'autres machines
• Ne rien décider seul sur la rançon — contactez votre assureur cyber s'il y en a un, un prestataire de remédiation, et signalez l'incident à Cybermalveillance.gouv.fr (0 800 200 000, numéro gratuit)
• Préserver les preuves — photographiez les écrans, notez l'heure exacte de découverte, conservez les logs si accessible
• Déposer plainte — c'est une condition souvent nécessaire pour déclencher les garanties de votre assurance cyber

Ressources d'urgence en cas d'attaque

Cybermalveillance.gouv.fr — 0 800 200 000 (numéro vert gratuit) — mise en relation avec des prestataires certifiés ANSSI

ANSSI — cert-fr@ssi.gouv.fr — pour les incidents majeurs touchant des infrastructures critiques

Cybera Télécom — 02 31 88 70 54 — intervention sur site en Normandie sous 4h pour les clients sous contrat

Le coût réel d'une attaque : au-delà de la rançon

La rançon n'est que la partie visible de l'iceberg. Le rapport Sophos State of Ransomware 2025, basé sur une enquête auprès de 3 400 responsables IT dans 17 pays, établit que le coût moyen de remédiation — hors rançon — s'élève à 1,84 million de dollars pour les grandes structures. Pour une PME française, l'étude ZenConnect de 2025 établit un coût moyen global à 280 000 euros.

Ce chiffre agrège des postes souvent négligés dans les calculs initiaux : les heures de travail des équipes mobilisées en urgence, la perte de chiffre d'affaires pendant l'interruption d'activité, les coûts de reconstruction des systèmes, les éventuelles sanctions RGPD si des données personnelles ont été compromises (la CNIL impose une notification dans les 72 heures), et l'impact durable sur la réputation et la confiance des clients.

Selon Infolegale, 60 % des PME qui subissent une cyberattaque majeure ferment dans les 18 mois. Non pas nécessairement à cause du coût direct de l'attaque, mais parce que la perte de confiance des clients, la fuite de données sensibles et les ressources mobilisées pour la remédiation fragilisent durablement une structure déjà sous pression.

« Le vrai coût d'un ransomware, ce n'est pas la rançon. C'est la semaine où vous ne pouvez pas facturer, le client qui ne vous rappelle plus, et les nuits sans sommeil pendant six mois. »

Sources & références

1. ANSSI, Panorama de la cybermenace 2025, 11 mars 2026 — cyber.gouv.fr
2. Cybermalveillance.gouv.fr, Baromètre national de la maturité cyber des TPE-PME 2025, décembre 2025
3. Sophos, State of Ransomware 2025, enquête 3 400 responsables IT, 17 pays
4. Vanson Bourne pour Cohesity, Risk-Ready or Risk-Exposed: The Cyber Resilience Divide, septembre 2025
5. Verizon, Data Breach Investigations Report (DBIR) 2025
6. ZenConnect, Ransomware PME : coût moyen d'une attaque en France, octobre 2025
7. Infolegale, Étude impact cyberattaques PME, 2024
8. Docaposte / Cyblex Consulting, Baromètre cybersécurité PME 2025, mars 2026

Les témoignages et cas présentés dans cet article sont des reconstructions basées sur des situations réelles rencontrées par Cybera Télécom ou documentées dans la presse spécialisée. Les noms, fonctions et détails identifiants ont été modifiés pour préserver l'anonymat.