Les entreprises françaises déclarent un niveau de menace cyber stable, mais la nature des attaques se transforme. L’ANSSI a recensé 1 366 incidents de sécurité en 2025, un chiffre quasi identique à celui de 2024. Derrière cette stabilité apparente, les risques liés aux données prennent une place croissante, avec une progression marquée des exfiltrations sans chiffrement ni demande de rançon. Mesurer l’exposition réelle d’une entreprise impose de distinguer ces catégories de risque et d’évaluer leur impact financier, opérationnel et réglementaire.
Exfiltration de données vs rançongiciel : deux risques cyber aux impacts distincts
La plupart des guides de cybersécurité regroupent rançongiciel et vol de données sous la même bannière. Les données récentes montrent que ces deux menaces divergent sur presque tous les plans.
| Critère | Rançongiciel | Exfiltration de données (sans chiffrement) |
|---|---|---|
| Mode opératoire | Chiffrement des systèmes, demande de rançon | Copie silencieuse de fichiers, revente ou publication |
| Détection | Rapide (blocage visible) | Souvent tardive (semaines ou mois) |
| Impact immédiat | Arrêt d’activité, perte de chiffre d’affaires | Aucun blocage apparent, continuité opérationnelle |
| Impact différé | Coût de restauration, prime d’assurance | Sanctions RGPD, atteinte à la réputation, perte de clients |
| Cibles privilégiées | PME/ETI (48 % des cas en 2025 selon l’ANSSI) | Organisations détenant des bases clients ou des données de santé |
| Tendance 2025-2026 | Volume stable | Forte progression signalée par l’ANSSI |
Le rançongiciel reste le risque le plus médiatisé parce qu’il paralyse l’activité du jour au lendemain. L’exfiltration silencieuse de données devient le risque le plus sous-estimé, car l’entreprise continue de fonctionner normalement pendant que ses fichiers circulent sur des forums spécialisés.
En revanche, le coût total d’une exfiltration peut dépasser celui d’un rançongiciel. Une notification RGPD obligatoire, un audit forensic, une communication de crise et d’éventuelles sanctions de la CNIL s’additionnent sans que l’entreprise ait jamais perdu l’accès à ses propres systèmes.
Phishing augmenté par l’IA : un vecteur d’attaque repensé en 2026
Le phishing classique reposait sur des emails génériques truffés de fautes. L’IA générative a changé la donne. Les campagnes de phishing ultra-personnalisées exploitent des données publiques (LinkedIn, registres du commerce, organigrammes) pour produire des messages crédibles, rédigés dans un français correct et adaptés au contexte de la cible.
La fraude par manipulation a progressé de 37 % au premier semestre 2025. La fraude au président, variante du spear phishing, utilise désormais des deepfakes audio et vidéo pour imiter la voix d’un dirigeant et ordonner un virement.
Mesures concrètes face au phishing augmenté
- Authentification multi-facteurs (MFA) sur tous les accès critiques : messagerie, ERP, VPN. Le mot de passe seul ne résiste plus à une attaque par credential stuffing.
- Double validation interne avec contre-appel téléphonique pour toute modification de RIB fournisseur. Le système européen Verification of Payee (VoP) permet de vérifier la concordance entre le nom du bénéficiaire et l’IBAN avant exécution.
- Sensibilisation trimestrielle des équipes avec des simulations de phishing adaptées aux dernières techniques observées, pas un simple rappel annuel.
Le phishing n’est plus un risque isolé. Il constitue le point d’entrée de la majorité des exfiltrations et des rançongiciels. Bloquer le phishing réduit mécaniquement l’exposition à tous les autres types de risque cyber.
Transposition NIS 2 en France : un flou réglementaire qui pèse sur les entreprises
Beaucoup de contenus présentent la directive NIS 2 comme un cadre déjà opérationnel. La réalité est plus nuancée. La transposition nationale de NIS 2 n’était toujours pas finalisée début août 2026, malgré une activité parlementaire avancée. La Commission européenne a d’ailleurs engagé une procédure contre la France pour ce retard.
L’ANSSI a anticipé en publiant un référentiel de travail et en ouvrant un portail de préinscription pour les entités qui se savent concernées. Cette zone intermédiaire crée une situation paradoxale : les entreprises sont incitées à se conformer à un texte dont les modalités d’application ne sont pas encore arrêtées en droit français.
Risque data lié au décalage réglementaire
Pour les entreprises qui traitent des volumes importants de données personnelles, le chevauchement entre RGPD et NIS 2 complique la cartographie des obligations. Le RGPD impose la notification d’une violation de données dans les 72 heures. NIS 2 prévoit ses propres délais et périmètres de signalement.
Attendre la transposition complète pour agir expose à un double risque : être en retard sur les exigences techniques le jour où le texte entre en vigueur, et subir une sanction RGPD entre-temps en cas d’incident non traité selon les bonnes pratiques sectorielles.
Sauvegarde et résilience des données : la règle 3-2-1 comme socle
La stratégie de sauvegarde détermine la capacité d’une entreprise à survivre à un incident, quel qu’en soit le type. La règle 3-2-1 reste le standard : trois copies des données, sur deux supports différents, dont une hors site.
Cette règle paraît simple. Elle est rarement appliquée correctement. Beaucoup d’entreprises stockent leurs sauvegardes sur le même réseau que les données de production. Un rançongiciel qui chiffre le serveur principal atteint aussi les sauvegardes si elles ne sont pas isolées.
- Tester la restauration au moins une fois par trimestre. Une sauvegarde qui n’a jamais été testée n’est pas une sauvegarde, c’est une hypothèse.
- Isoler physiquement ou logiquement la copie hors site (air gap, stockage cloud chiffré avec clés détenues par l’entreprise).
- Documenter la procédure de reprise d’activité avec des temps cibles : combien d’heures pour remettre en service la messagerie, l’ERP, la base clients.
40 % des entreprises déclarent avoir subi au moins une cyberattaque en 2025 selon le CESIN. Le plan de sauvegarde n’empêche pas l’attaque, mais il détermine si l’entreprise rouvre le lundi suivant ou ferme dans les six mois.
La hiérarchie des risques cyber évolue. Le blocage visible par rançongiciel cède du terrain à des menaces plus discrètes, comme l’exfiltration de données ou la fraude par manipulation dopée à l’IA. Les entreprises qui concentrent leur budget sur la seule protection périmétrique laissent un angle mort sur la détection, la sauvegarde et la conformité réglementaire.
Cartographier ses vulnérabilités par type de risque, plutôt que de traiter la cybersécurité comme un bloc monolithique, reste le levier le plus direct pour allouer ses ressources là où l’exposition est réelle.
