En 2025, l’ANSSI a recensé 196 incidents d’exfiltration de données contre 130 en 2024, alors que les compromissions par rançongiciel ont légèrement reculé (128 contre 141). Ce basculement modifie la nature du risque pour les entreprises : la menace ne se limite plus au blocage des systèmes, elle cible directement la confidentialité des informations. Comprendre où se situent les écarts de protection permet de prioriser les investissements en cybersécurité plutôt que d’appliquer une liste de bonnes pratiques génériques.
Messagerie compromise : les premières heures décident de l’impact
Le piratage de compte de messagerie arrive en tête des menaces signalées par les entreprises de moins de 250 salariés, selon le baromètre 2025 de Cybermalveillance.gouv.fr. L’incident peut déboucher sur une fuite de données, une fraude au virement ou le déploiement d’un rançongiciel. Dans les premières heures, le diagnostic exact importe moins que la séquence de réaction.
La priorité est de couper l’accès compromis. Réinitialiser le mot de passe du compte touché, révoquer les sessions actives et vérifier les règles de transfert automatique (les attaquants en créent souvent pour copier les messages entrants vers une adresse externe). Si l’entreprise utilise un service cloud, la console d’administration permet de forcer la déconnexion sur tous les appareils.
L’étape suivante concerne les paiements. Toute demande de virement reçue ou envoyée depuis le compte compromis dans les jours précédents doit être vérifiée par un appel téléphonique au destinataire réel. Une ressource utile pour structurer cette veille opérationnelle : https://cyberbusiness.fr. Les fraudes au virement exploitent la fenêtre entre la compromission et sa détection, parfois quelques heures seulement.
Enfin, déclarer l’incident à Cybermalveillance.gouv.fr et, si des données personnelles sont concernées, notifier la CNIL dans les 72 heures. Cette obligation s’applique quelle que soit la taille de l’entreprise.
Écart entre antivirus et double authentification : le point faible mesurable des PME
Le baromètre 2025 de Cybermalveillance.gouv.fr révèle un décalage net dans les protections déployées par les petites structures. Le tableau ci-dessous résume les deux extrêmes.
| Mesure de protection | Taux d’adoption (entreprises de moins de 250 salariés) |
|---|---|
| Antivirus | 84 % |
| Authentification multifacteur (MFA) | 26 % |
L’antivirus protège contre les fichiers malveillants connus. Il ne bloque pas un attaquant qui se connecte avec un identifiant et un mot de passe volés. La double authentification, elle, ajoute une vérification (code SMS, application, clé physique) qui rend le vol de mot de passe insuffisant pour accéder au compte.
Quand le piratage de compte est la première menace déclarée, un taux d’adoption de 26 % pour la MFA signale un désalignement entre le risque réel et les mesures en place. Activer la MFA sur la messagerie professionnelle et les outils de gestion (comptabilité, CRM, accès bancaire) réduit la surface d’attaque la plus exploitée, sans investissement matériel lourd.
Exfiltration de données et rançongiciel : deux menaces, deux logiques de protection
Les concurrents traitent souvent la cybersécurité des entreprises comme un bloc uniforme. Les chiffres de l’ANSSI pour 2025 montrent une réalité plus contrastée.
| Type d’incident | 2024 | 2025 | Évolution |
|---|---|---|---|
| Compromissions par rançongiciel | 141 | 128 | – 9 % |
| Incidents d’exfiltration de données | 130 | 196 | + 51 % |
Le rançongiciel vise la disponibilité : il chiffre les fichiers pour forcer un paiement. La parade repose sur les sauvegardes hors ligne, testées régulièrement, et la segmentation du réseau pour limiter la propagation.
L’exfiltration vise la confidentialité : l’attaquant copie les données (fichiers clients, contrats, données bancaires) avant de menacer de les publier ou de les revendre. Les sauvegardes ne servent à rien contre ce scénario. La protection passe par le chiffrement des données sensibles au repos, le contrôle strict des droits d’accès et la surveillance des flux sortants anormaux.
Une PME qui investit uniquement dans la sauvegarde et l’antivirus couvre le risque rançongiciel mais reste exposée à l’exfiltration. Protéger la confidentialité des données exige des mesures distinctes de celles qui garantissent leur disponibilité.
Chaîne d’approvisionnement et directive NIS2 : la cybersécurité au-delà du périmètre interne
La directive européenne NIS2, en cours de transposition en droit français via le projet de loi Résilience, élargit les obligations de cybersécurité à un périmètre estimé entre 15 000 et 20 000 entités, bien au-delà des seuls opérateurs d’importance vitale couverts par le régime précédent. Les textes d’application n’étant pas encore finalisés, les obligations exactes restent à confirmer.
Un point structurant du texte concerne la sécurité de la chaîne d’approvisionnement. Les entités concernées devront intégrer leurs fournisseurs et prestataires dans leur gestion des risques. En pratique, cela implique plusieurs actions concrètes :
- Recenser les prestataires ayant accès au système d’information ou à des données sensibles, et vérifier les niveaux de sécurité qu’ils appliquent
- Restreindre les accès distants aux seuls périmètres nécessaires, avec des comptes nominatifs et une authentification renforcée
- Intégrer dans les contrats des clauses sur la notification d’incidents, la sauvegarde et la restitution des données en cas de rupture de service
Pour une PME sous-traitante d’un donneur d’ordres couvert par NIS2, la conformité cybersécurité devient un critère de maintien de la relation commerciale. L’enjeu dépasse la protection technique : c’est un sujet de continuité d’activité et de positionnement concurrentiel.
Les données 2025 montrent que la menace se déplace vers l’exfiltration de données et le piratage de comptes, alors que les protections les plus répandues restent calibrées pour des risques plus anciens. L’écart entre un antivirus déployé à 84 % et une MFA adoptée à 26 % résume le décalage à combler en priorité.
Corriger ce point, structurer une réponse opérationnelle dès les premières heures d’un incident et anticiper les exigences de NIS2 sur la chaîne d’approvisionnement constituent les trois leviers dont le retour sur investissement est le plus direct.
