On lit souvent qu'une poignée de mesures éviterait 80 % des incidents. Aucune source officielle française ne publie ce chiffre, et nous ne l'emploierons pas. Ce que les données permettent en revanche d'affirmer, c'est qu'un très petit nombre de portes d'entrée concentre l'essentiel des compromissions — et que les mesures qui les ferment sont précisément celles que les PME françaises déploient le moins.
Où sont réellement les portes d'entrée
Deux jeux de données, méthodologies différentes, même enseignement.
L'ENISA, qui a analysé 4 875 incidents dans l'Union européenne entre juillet 2024 et juin 2025, place l'hameçonnage au sens large (y compris vishing, malspam et publicité malveillante) à environ 60 % des vecteurs d'accès initial observés, et l'exploitation de vulnérabilités à 21,3 %. Deux familles de vecteurs couvrent donc l'essentiel des intrusions recensées.
Le DBIR 2026 de Verizon, construit sur plus de 22 000 compromissions confirmées dans 145 pays, répartit différemment : exploitation de vulnérabilités 31 %, hameçonnage 16 %, abus d'identifiants 13 %. Là encore, trois mécanismes concentrent la majorité des accès initiaux. Le rapport ajoute un chiffre décisif pour les PME : la moitié des victimes de rançongiciel avaient connu, dans les 95 jours précédents, un événement de vol d'identifiants ou d'infostealer.
Côté français, le baromètre TPE-PME réalisé par OpinionWay pour Cybermalveillance.gouv.fr auprès de 588 entreprises de moins de 250 salariés, du 2 juin au 7 juillet 2025, aboutit au même constat vu de l'intérieur : 16 % des entreprises déclarent avoir été victimes d'un incident de sécurité au cours des douze derniers mois (41 % pour celles de 50 salariés et plus), et parmi elles 43 % attribuent l'attaque à de l'hameçonnage, 18 % à une faille de sécurité non corrigée. La part de l'hameçonnage a nettement progressé : elle était de 24 % lors de la vague précédente.
La conclusion est monotone, ce qui est plutôt une bonne nouvelle : le risque n'est pas exotique. Il passe par des identifiants et par des correctifs manquants.
L'état de l'équipement des PME françaises
Le même baromètre mesure ce qui est déployé. Près de neuf entreprises sur dix déclarent disposer d'au moins un dispositif de sécurité, mais la répartition est révélatrice : antivirus 84 %, sauvegardes 78 %, pare-feu 69 %, politique de mots de passe 51 %, gestionnaire de mots de passe 46 %, double authentification pour se connecter au réseau depuis l'extérieur 26 %, solution de détection de type EDR 16 %, supervision de type SOC 12 %.
Autrement dit, les PME françaises sont bien équipées sur les technologies des années 2000 — antivirus, pare-feu — et très peu sur celles qui répondent aux vecteurs dominants d'aujourd'hui. Le taux de 26 % pour la double authentification des accès distants est, à lui seul, l'écart le plus coûteux du tableau.
La perception, elle, a progressé : 44 % des entreprises s'estiment fortement exposées, contre 38 % en 2024. Le dispositif national a par ailleurs dépassé les 500 000 victimes assistées en 2025, en hausse de 20 %, avec l'hameçonnage en première position toutes populations confondues, en progression de 70 %.
Les cinq mesures
1. Des sauvegardes déconnectées et testées. Pas seulement présentes : isolées du réseau, et restaurées pour de vrai au moins une fois par an. Une sauvegarde accessible depuis le système d'information est chiffrée en même temps que le reste. C'est la seule mesure qui protège contre l'irréversible, et c'est celle dont l'absence transforme un incident en cessation d'activité.
2. Une authentification forte sur la messagerie et les accès distants. C'est le principal levier sur les deux vecteurs dominants. Privilégier des méthodes résistantes à l'hameçonnage — clés de sécurité, passkeys — plutôt que le SMS, contournable par SIM swapping. Périmètre minimal à couvrir : messagerie, VPN et accès d'administration, comptes de direction et de comptabilité.
3. Les correctifs sur ce qui est exposé à Internet. Inutile de viser un parc à jour à 100 % : la priorité absolue porte sur les équipements de bordure — pare-feu, VPN, routeurs, serveurs publiés. L'ANSSI souligne dans son Panorama 2025 que les équipements de bordure restent largement exploités du fait de leurs nombreuses vulnérabilités, et qu'ils mobilisent une part substantielle des ressources de réponse à incident.
4. Un gestionnaire de mots de passe et la fin de la réutilisation. Moins de la moitié des PME en disposent. C'est pourtant la mesure la plus directement reliée au chiffre du DBIR sur les identifiants volés : un mot de passe unique par service transforme une fuite chez un tiers en incident isolé plutôt qu'en accès à votre messagerie.
5. Un réflexe de signalement et une règle de paiement. Deux choses très simples, sans budget. D'abord, une adresse ou un bouton pour signaler un message douteux, connu de tous, sans jugement en cas de fausse alerte. Ensuite, une règle écrite : aucun virement vers un nouveau bénéficiaire ni aucune modification de coordonnées bancaires sans rappel du contact sur un numéro issu de l'annuaire interne — jamais sur celui figurant dans la demande.
Récapitulatif : effort contre couverture
| Mesure | Vecteur couvert | Équipement PME (2025) | Effort |
|---|---|---|---|
| Sauvegardes déconnectées et testées | Rançongiciel, destruction | 78 % déclarent des sauvegardes | Faible à moyen |
| Authentification forte (messagerie, accès distants) | Hameçonnage, identifiants volés | 26 % pour les accès externes | Moyen |
| Correctifs sur les équipements exposés | Exploitation de vulnérabilités | Non mesuré dans le baromètre | Moyen, récurrent |
| Gestionnaire de mots de passe | Réutilisation, credential stuffing | 46 % | Faible |
| Signalement et règle de paiement | Fraude au virement, détection précoce | Non mesuré | Très faible |
Dans quel ordre s'y prendre
Pour une entreprise de moins de cinquante salariés sans ressource informatique interne, l'ordre qui produit le plus de réduction de risque par euro engagé est généralement le suivant : d'abord la règle de paiement et le canal de signalement, qui ne coûtent qu'une décision ; ensuite l'authentification forte sur la messagerie, qui se déploie en quelques jours ; puis la vérification effective des sauvegardes, par un test de restauration ; enfin l'inventaire de ce qui est exposé à Internet et la mise à jour de ces seuls équipements.
Deux écueils méritent d'être signalés. Le premier consiste à acheter une solution de détection avancée avant d'avoir déployé l'authentification forte : on investit dans la détection d'une intrusion que l'on aurait pu empêcher. Le second consiste à confondre « informatique externalisée » et « sécurité prise en charge » : 60 % des répondants au baromètre déclarent une informatique externalisée, ce qui ne signifie pas que leur prestataire a un mandat, ni un budget, pour la sécurité. Cette question doit être posée explicitement et tranchée par écrit.
Phishia accompagne ce type de trajectoire sans surdimensionner : un état des lieux court, les mesures ci-dessus mises en œuvre dans l'ordre, puis une campagne de simulation pour vérifier que le réflexe de signalement existe réellement. Les outils avancés viennent après, s'ils se justifient.
Questions fréquentes
Ces cinq mesures suffisent-elles à être conforme ?
Non. Elles réduisent le risque opérationnel, ce qui n'est pas la même chose que satisfaire aux exigences du RGPD, de NIS2 ou d'un donneur d'ordre. Elles constituent en revanche un socle sur lequel une démarche de conformité s'appuie ensuite sans repartir de zéro.
Faut-il un EDR dans une PME de trente personnes ?
Seulement 16 % des TPE-PME en déclarent un. Un EDR apporte une vraie valeur, mais il suppose que quelqu'un traite les alertes. Sans ce quelqu'un, interne ou infogéré, l'investissement produit surtout des notifications non lues.
Que couvre réellement une assurance cyber ?
Les contrats varient fortement et comportent généralement des exigences de sécurité minimales — sauvegardes, authentification forte — dont le non-respect peut être opposé lors d'un sinistre. Les mesures décrites ici sont souvent les conditions d'accès à la couverture, pas une alternative à celle-ci.
Sources
- Cybermalveillance.gouv.fr et OpinionWay, « Mesure de notoriété et de maturité en matière de cybersécurité auprès des TPE-PME 2025 » (588 entreprises, terrain du 2 juin au 7 juillet 2025)
- Cybermalveillance.gouv.fr, rapport d'activité et état de la menace 2025
- ENISA, « Threat Landscape 2025 », 1er octobre 2025
- Verizon, « 2026 Data Breach Investigations Report »
- ANSSI, « Panorama de la cybermenace 2025 », 11 mars 2026
Liens consultés le 23 septembre 2026.