48 % des cyberattaques en France visent les TPE et PME. Pas Apple. Pas la SNCF. Vous.
Le 11 mars 2026, l'ANSSI publie son Panorama de la cybermenace 2025. Le verdict est net : les TPE, PME et ETI représentent 48 % des cibles traitées par l'agence nationale, devant les collectivités locales (11 %) et les établissements de santé (8 %) (ANSSI, Panorama de la cybermenace 2025, mars 2026).
Pendant ce temps, Cybermalveillance.gouv.fr franchit pour la première fois la barre des 500 000 victimes assistées sur l'année 2025, en hausse de 20 %. Les demandes d'entreprises, principalement des TPE et PME, augmentent de 73 % en un an (Cybermalveillance.gouv.fr, rapport d'activité 2025).
Les pirates ne cherchent pas les marques connues. Ils cherchent les portes ouvertes.
Que vous gériez une boulangerie, une boutique en ligne qui vend dans deux pays, un cabinet de consulting ou un atelier de couture, votre taille n'est pas une protection. C'est un avantage compétitif pour vos attaquants.
Ce que disent les chiffres officiels 2025
48 %
des cibles ANSSI sont des TPE, PME et ETI (2025)
Sur les 3 586 événements de sécurité traités par l'ANSSI en 2025, près d'une cible sur deux est une petite ou moyenne structure. La majorité des attaques ne sont pas ciblées : ce sont des campagnes opportunistes, automatisées, qui ratissent large (ANSSI, Panorama de la cybermenace 2025).
D'autres chiffres complètent le tableau :
- L'ANSSI a comptabilisé 144 compromissions par rançongiciel signalées en 2024, un niveau stable mais élevé (ANSSI, 2024).
- Selon le baromètre Cybermalveillance 2025, 8 TPE-PME sur 10 reconnaissent ne pas être préparées à une cyberattaque (Cybermalveillance.gouv.fr, octobre 2025).
- 77 % des TPE-PME consacrent moins de 2 000 € par an à leur sécurité informatique (Cybermalveillance.gouv.fr, 2025).
Pourquoi les petites structures sont une cible privilégiée
L'idée que les pirates ne s'intéressent qu'aux grandes entreprises repose sur une mauvaise lecture du métier des cybercriminels. Un attaquant qui vise un grand groupe doit développer un exploit sur mesure, contourner des équipes de sécurité, gérer la médiatisation. Un attaquant qui vise mille TPE en parallèle envoie le même mail de phishing à tout le monde et regarde qui clique.
Les raisons qui font des TPE-PME une cible de choix sont opérationnelles :
- Budget sécurité quasi inexistant. 77 % des TPE-PME ont moins de 2 000 € par an pour la cybersécurité (Cybermalveillance, 2025).
- Pas de RSSI, pas de DPO interne. L'informatique est gérée le mercredi soir par le gérant ou un prestataire à distance.
- Mots de passe partagés, pas de double authentification. Le compte admin du CRM est accessible à toute l'équipe avec le même identifiant.
- Sauvegardes mal isolées. Quand le ransomware frappe, il chiffre aussi les sauvegardes connectées au même réseau.
- Trésorerie tendue. Une PME en difficulté paye plus vite la rançon qu'un grand groupe avec un service juridique.
Attention
Les attaques sur les TPE-PME ne sont pas le fruit d'un complot ciblé. Ce sont des campagnes industrielles. Les groupes comme LockBit, BlackCat ou Cl0p disposent de kits automatisés qui scannent Internet en permanence à la recherche de la prochaine porte mal fermée.
Tous les types de PME sont concernés
La cyberattaque ne discrimine ni le secteur, ni le chiffre d'affaires, ni la zone géographique. Voici qui est attaqué en 2025, secteur par secteur :
| Profil de PME | Vecteur d'attaque le plus courant | Conséquence typique |
|---|---|---|
| Boutique e-commerce qui vend dans 2 ou 3 pays | Détournement du formulaire de paiement, vol de CB clients | Sanction CNIL, perte de la confiance plateforme, chute du CA |
| Cabinet de consulting, agence de com | Phishing ciblé sur le dirigeant, fraude au virement | Perte sèche de plusieurs dizaines de milliers d'euros |
| Atelier d'artisan, garage indépendant | Ransomware via mail piégé ouvert à l'accueil | Données clients chiffrées, devis perdus, activité à l'arrêt |
| Cabinet médical, kiné, ostéo | Vol de dossiers patients via accès distant non sécurisé | Notification CNIL obligatoire, plaintes patients possibles |
| Restaurant, hôtel indépendant | Compromission du logiciel de caisse ou de réservation | Vol massif de coordonnées clients, fuite revendue au darkweb |
L'idée que seules les marques mondiales de consommation sont visées est fausse. Les marques mondiales font la une parce qu'elles ont l'obligation de communiquer. Les milliers de PME piratées chaque année en France ne font la une de personne. Mais elles sont là, dans les dossiers de Cybermalveillance, dans les statistiques de l'ANSSI, dans les redressements judiciaires des tribunaux de commerce.
Ce qu'une cyberattaque fait vraiment vivre
En 2020, le groupe lyonnais Lise Charmel, leader français de la lingerie haut de gamme, est placé en redressement judiciaire à sa demande, plusieurs mois après une attaque par ransomware qui a chiffré l'ensemble de ses fichiers. L'entreprise refuse de payer la rançon, choisit de tout reconstruire, et perd plusieurs millions d'euros au passage (Tribunal de commerce de Lyon, février 2020).
Lise Charmel n'était pas une TPE. Mais le scénario est identique pour une boutique en ligne de 5 personnes, un cabinet de 12 collaborateurs, une boulangerie avec son site de précommandes. Données clients chiffrées. Devis perdus. Comptabilité illisible. Et chaque jour qui passe, des clients qui partent ailleurs.
Critique
Le coût réel d'une cyberattaque sur une PME ne se résume pas à la rançon. Il inclut l'arrêt d'activité, la perte de clients, les frais de remise en état, les éventuelles sanctions CNIL en cas de fuite de données personnelles, et la chute de réputation locale.
Le facteur humain reste la première porte
Selon le baromètre Cybermalveillance 2025, 43 % des attaques contre les TPE-PME passent par l'hameçonnage, contre 24 % en 2024. C'est presque le double en un an (Cybermalveillance.gouv.fr, octobre 2025).
Aucun antivirus ne bloque un mail ouvert volontairement. Aucun pare-feu ne corrige un mot de passe partagé sur un Post-it. Aucune mise à jour ne remplace une vraie hygiène collective.
Une PME ne se défend pas avec des outils. Elle se défend avec une équipe entraînée à reconnaître le piège avant de cliquer.
Ce que vous pouvez faire ce mois-ci
Cinq actions concrètes, applicables sans budget conséquent :
- Activer la double authentification sur les comptes critiques (mail, banque, CRM, cloud). Le geste qui bloque la majorité des intrusions automatisées.
- Isoler vos sauvegardes du réseau principal. Un ransomware qui chiffre aussi la sauvegarde, c'est la fin.
- Supprimer les comptes inactifs (anciens salariés, prestataires partis, stagiaires). Chaque compte oublié est une porte d'entrée.
- Mettre à jour OS, logiciels et plugins. Le délai moyen entre la découverte d'une faille et son exploitation est tombé à 5 jours (Google Threat Intelligence, 2024).
- Entraîner votre équipe à reconnaître phishing, fraude au virement, fuite par mail. Pas par diaporama. Par mise en situation réelle.
La cybersécurité d'une PME ne se décrète pas en réunion. Elle se construit dans les gestes quotidiens d'une équipe qui sait reconnaître le piège.
ROOMCA permet d'y répondre, en plaçant vos collaborateurs dans des situations réelles de phishing, de fraude et d'usurpation, pour qu'ils apprennent à reconnaître l'attaque avant qu'elle ne touche votre PME.
Questions fréquentes
Combien de cyberattaques visent les TPE et PME en France en 2025 ?
Selon l'ANSSI, 48 % des 3 586 événements de sécurité traités en 2025 concernaient des TPE, PME et ETI. Cybermalveillance.gouv.fr a assisté plus de 500 000 victimes en 2025, dont une majorité de petites entreprises, avec une augmentation de 73 % des demandes émanant d'entreprises par rapport à 2024 (ANSSI, Panorama 2025 ; Cybermalveillance, rapport d'activité 2025).
Pourquoi mon entreprise de moins de 20 personnes serait-elle ciblée ?
Parce que la majorité des cyberattaques ne sont pas ciblées au sens classique. Elles sont automatisées et opportunistes. Les groupes criminels scannent Internet en permanence à la recherche de portes mal fermées (mots de passe faibles, logiciels non mis à jour, formulaires vulnérables). Une TPE avec un budget sécurité réduit est une cible plus rentable qu'un grand groupe difficilement pénétrable.
Quel type d'attaque touche le plus les PME en 2025 ?
L'hameçonnage (phishing). Selon le baromètre Cybermalveillance 2025, 43 % des cyberattaques contre les TPE-PME passent par un mail ou un SMS frauduleux, contre 24 % en 2024. Suivent les failles de sécurité (18 %) et la consultation de sites Internet vérolés (11 %) (Cybermalveillance.gouv.fr, octobre 2025).
Combien coûte une cyberattaque à une PME française ?
Le coût varie selon la nature de l'attaque, mais inclut systématiquement plusieurs postes : arrêt d'activité, frais de remise en état, perte de clients, éventuelles sanctions CNIL en cas de fuite de données personnelles. Pour une PME à quelques centaines de milliers d'euros de chiffre d'affaires, l'addition peut représenter plusieurs mois de marge nette, voire compromettre la continuité de l'activité.
Sources :
- Panorama de la cybermenace 2025, ANSSI, 11 mars 2026.
- Rapport d'activité 2025, Cybermalveillance.gouv.fr.
- 2ème édition du baromètre national de la maturité cyber des TPE-PME, Cybermalveillance.gouv.fr / OpinionWay, octobre 2025.
- Cyberattaque par ransomware contre Lise Charmel, redressement judiciaire prononcé en février 2020, Tribunal de commerce de Lyon.
- Combien de PME mettent la clé sous la porte après une cyberattaque ?, LeMagIT (Valéry Marchive), enquête mise à jour janvier 2026.
- One Year Of Zero-Click Exploits, Cryptika, décembre 2025.
