Un matin, un cabinet comptable de huit salariés découvre que tous ses fichiers clients sont chiffrés. Un message s’affiche à l’écran : payez une rançon en cryptomonnaie ou perdez tout. Ce scénario, encore marginal il y a quelques années pour les structures de cette taille, est devenu le quotidien d’un nombre croissant de TPE et PME.
Les ransomwares ne visent plus seulement les grands groupes. Selon le Verizon Data Breach Investigations Report 2025, ce type d’attaque est présent dans 88 % des violations touchant les petites et moyennes entreprises.
A voir aussi : ODT en DOCX en toute sécurité : protéger vos documents sensibles
Ransomware et petites entreprises : pourquoi ce ciblage massif
Pourquoi un cybercriminel s’attaquerait-il à une TPE plutôt qu’à une multinationale ? La réponse tient en un mot : rentabilité. Les grandes entreprises ont renforcé leurs défenses. Elles paient moins souvent les rançons. D’après le Crypto Crime Report 2026 de Chainalysis, la proportion de victimes qui acceptent de payer est tombée à un plus bas historique, autour de 28 à 31 % en 2025.
Pour compenser, les groupes criminels changent de stratégie. Ils multiplient les attaques contre des cibles plus petites, moins protégées, et qui n’ont souvent pas d’autre choix que de payer pour reprendre leur activité. Le volume d’incidents recensés a augmenté d’environ 50 % en 2025. Et en 2026, 96 % des victimes de ransomware ne sont pas des entreprises du Fortune 500 mais des PME et des structures de taille moyenne.
Lire également : Les failles dans les objets connectés menacent la vie privée
Le raisonnement est simple. Une PME dispose rarement d’une équipe dédiée à la cybersécurité. Ses sauvegardes sont parfois approximatives. Ses employés ne sont pas formés au phishing, la porte d’entrée la plus fréquente. Pour un attaquant, compromettre dix petites entreprises rapporte davantage qu’une tentative échouée contre un grand groupe.
Phishing et accès initial : comment les cybercriminels entrent dans vos systèmes
Le ransomware ne s’installe pas tout seul. Il a besoin d’un point d’entrée. Dans la grande majorité des cas, ce point d’entrée est un e-mail de phishing. Un employé reçoit un message qui ressemble à une facture, une relance de fournisseur ou une notification de livraison. Il clique sur un lien ou ouvre une pièce jointe. C’est terminé.
Vous avez déjà remarqué que ces messages imitent parfaitement les communications de services courants ? Les cybercriminels utilisent désormais des outils d’intelligence artificielle pour rédiger des e-mails sans fautes, personnalisés, avec le logo de votre banque ou de votre prestataire. Un e-mail de phishing bien conçu piège même des utilisateurs avertis.
D’autres vecteurs existent. Les accès à distance mal configurés (VPN sans double authentification, bureaux à distance exposés) sont une aubaine. Les logiciels non mis à jour offrent des failles connues que les attaquants exploitent de manière automatisée, sans même savoir qui se trouve derrière l’adresse IP.
Le modèle ransomware-as-a-service
Le terme peut surprendre. Concrètement, des développeurs créent le logiciel malveillant et le mettent à disposition d’autres criminels, moyennant une commission sur les rançons collectées. Ce système, appelé ransomware-as-a-service, abaisse la barrière technique. N’importe quel escroc peut louer un ransomware clé en main et lancer des campagnes d’attaques contre des PME, sans compétence informatique poussée.
Ce modèle explique en partie l’explosion du nombre d’incidents. Les opérateurs de ces plateformes encouragent leurs affiliés à viser des structures modestes, plus faciles à compromettre et plus rapides à monétiser.
Conséquences d’une cyberattaque sur une TPE ou PME
Le premier impact est l’arrêt d’activité. Quand les fichiers comptables, les bases clients et les outils métiers sont chiffrés, l’entreprise est paralysée. Pour une PME, chaque jour d’arrêt représente une perte directe de chiffre d’affaires, des commandes non honorées, des clients qui se tournent vers un concurrent.
Le coût ne s’arrête pas à la rançon elle-même. Il faut ajouter la restauration des systèmes, l’intervention de spécialistes, les éventuelles sanctions réglementaires si des données personnelles ont fuité, et la perte de confiance des partenaires. Une part significative des petites entreprises ne se relèvent pas après une attaque.
- Perte de données clients et comptables, parfois définitive si les sauvegardes sont elles aussi chiffrées.
- Interruption d’activité de plusieurs jours à plusieurs semaines, selon la capacité de restauration.
- Obligation de notification à la CNIL en cas de fuite de données personnelles, avec un risque de sanction financière.
- Atteinte durable à la réputation : un client informé d’une fuite de ses données hésite à renouveler sa confiance.
Protection des données : les mesures concrètes qui changent la donne
La bonne nouvelle, c’est que les attaques les plus courantes exploitent des failles connues et corrigeables. Pas besoin d’un budget de multinationale pour réduire drastiquement le risque.
Sauvegardes hors ligne et testées
Le réflexe le plus protecteur est aussi le plus ancien. Maintenir des sauvegardes déconnectées du réseau empêche le ransomware de les chiffrer. La règle classique consiste à conserver au moins trois copies des données, sur deux supports différents, dont un hors site. Mais une sauvegarde jamais testée ne vaut rien. Programmez un test de restauration au moins une fois par trimestre.
Authentification et mises à jour
L’activation de l’authentification à deux facteurs sur tous les accès (messagerie, VPN, outils cloud) bloque la majorité des tentatives d’intrusion via des identifiants volés. Les mises à jour de sécurité, appliquées dès leur publication, ferment les portes que les attaquants cherchent à exploiter.
- Activer la double authentification sur chaque compte professionnel, sans exception.
- Appliquer les correctifs de sécurité dans les 48 heures suivant leur publication.
- Former les équipes au repérage des e-mails de phishing, avec des exercices pratiques réguliers.
Plan de réponse à incident
Beaucoup de PME n’ont aucun plan défini en cas d’attaque. Savoir qui appeler, quels systèmes isoler en priorité, où se trouvent les sauvegardes : ces réflexes se préparent à froid. Un plan de réponse testé réduit le temps d’arrêt de plusieurs jours à quelques heures.
L’enjeu pour les petites entreprises n’est pas de devenir des expertes en cybersécurité. C’est d’appliquer un socle de mesures simples, régulièrement vérifiées, qui rendent l’attaque trop coûteuse pour le cybercriminel. Face à un ransomware, la cible la mieux préparée est celle que l’attaquant préfère contourner.
