Cybermenaces 2025 : l’ANSSI alerte, la santé devient cible de choix

Vincent Strubel ^[1], directeur général de l’ANSSI ^[2], a présenté fin janvier 2026 ^[3] le Panorama de la cybermenace 2025 ^[4]. Le constat est sans détour: les vols de données bancaires et de santé, les rançongiciels et les escroqueries numériques ne reculent pas. Ils se banalisent.

LES ENJEUX

Santé, 3e cible nationale

Avec 10 % des incidents traités, le secteur hospitalier rejoint le podium des cibles privilégiées du cybercrime organisé.

60 % de bluff, mais coût massif

Plus de 60 % des revendications de vols de données sont infondées, mais leur vérification mobilise des équipes pendant des mois.

Scénario polonais en filigrane

Les attaques contre les infrastructures électriques polonaises fin 2025 servent de matrice au scénario redouté pour la France.

NIS 2 en transposition

Plusieurs milliers d'entités françaises bientôt assujetties, notification d'incident sous 24h, sanctions jusqu'à 10 M€ ou 2 % du CA.

IA générative démocratise l'attaque

Phishing hyper-personnalisé, génération de codes malveillants, deepfakes vocaux: l'IA générative met l'arme cyber à portée de novices.

L’agence a traité 3 586 événements de sécurité ^[5] en 2025, en baisse de 18 % ^[6] par rapport à 2024 - un repli mécanique lié à la fin des Jeux Olympiques, qui avaient à eux seuls généré 465 signalements et 83 incidents ^[7] l’année précédente. Mais sur les incidents confirmés - ceux où un acteur malveillant a conduit avec succès des actions sur le système d’information d’une victime ^[8] - le compteur s’établit à 1 366 ^[9], soit cinq de plus qu’en 2024 ^[10]. Une stabilisation à un niveau historiquement haut, après 831 incidents en 2022 et 1 112 en 2023 ^[11].

Une précision méthodologique s’impose: le rapport de 60 pages ^[12] mentionne 2 209 signalements reçus par l’agence en 2025 ^[13] - un périmètre plus étroit que les 3 586 événements de sécurité traités ^[5], qui agrègent à la fois les signalements externes et les détections proactives de l’ANSSI. Trois grandeurs distinctes, donc, qu’il ne faut pas confondre: signalements reçus, événements traités, incidents confirmés.

« Au global, on est sur une volumétrie qui ne change quasiment pas », résume Strubel ^[14]. Et d’ajouter: « les niveaux de menaces sont très significatifs mais on n’est pas sur une explosion ou un raz-de-marée en 2025 » ^[15]. Une stabilisation que les experts interrogés par Clubic qualifient de « presque le pire scénario »: la menace ne reflue pas, elle se normalise.

La santé sur le podium des cibles

La répartition sectorielle dessine une géographie inquiétante. L’éducation et la recherche concentrent 34 % des incidents ^[16], les ministères et collectivités territoriales 24 % ^[17], la santé 10 % ^[18] et les télécommunications 9 % ^[19]. À eux seuls, ces quatre secteurs absorbent 76 % des incidents ^[20].

Pour le secteur médical, la bascule est nette. « Le secteur de la santé n’est plus une cible secondaire, mais un objectif récurrent pour le cybercrime organisé », résume DSIH ^[21]. Les hôpitaux, les laboratoires, les établissements médico-sociaux: tous voient leurs systèmes d’information compromis, avec un risque direct sur la continuité des soins ^[22]. On se souvient de l’attaque par rançongiciel qui avait paralysé pendant plusieurs semaines l’hôpital de Corbeil-Essonnes à l’été 2022, contraignant l’établissement à dérouter ses patients vers les hôpitaux voisins, ou de celle qui avait frappé le CHU de Rouen en 2019. À l’échelle européenne, l’attaque contre le service de santé irlandais (HSE) en 2021 reste la référence absolue du scénario noir: un système de santé national bloqué pendant des semaines.

Le rapport recense 128 attaques par rançongiciel ^[23] et 196 cas d’exfiltration de données ^[24], souvent associés. Les vols de données représentent 15 % de l’ensemble des incidents traités ^[25].

60 % de bluff, mais des équipes mobilisées des mois durant

Le paradoxe le plus frappant du rapport est ailleurs. Sur les revendications de vols de données publiées par les cybercriminels, plus de 60 % s’avèrent infondées ou exagérées ^[26]. « Soit du bluff complet, soit du recyclage de données dans la nature ou déjà publiques », tranche Strubel ^[27]. À l’inverse, 40 % de vols de données sont avérés ^[28] - « 40 % de trop », commente le directeur de l’ANSSI ^[29].

Le problème: le tri entre bluff et menace réelle mobilise des équipes entières pendant des mois. Le vol et la revente de données rapportent au plus quelques milliers d’euros aux attaquants ^[30], mais le coût de la réponse à incident pour les victimes se chiffre en dizaines, voire centaines de milliers d’euros ^[31]. Une asymétrie économique qui profite mécaniquement aux cybercriminels.

Russie, Chine: la menace étatique persiste

Sur le plan géopolitique, l’ANSSI confirme que les modes opératoires observés contre les intérêts français restent largement liés à des acteurs étatiques réputés liés aux services de renseignement russes ou chinois ^[32]. Les frontières entre espionnage étatique et cybercrime s’estompent, avec une exploitation accrue des vulnérabilités sur les équipements de bordure - pare-feu, VPN ^[33]. Ces équipements, exposés sur Internet par construction, deviennent les portes d’entrée privilégiées d’attaquants qui n’ont plus besoin de compromettre un poste utilisateur pour atteindre le cœur du système.

IA générative: la démocratisation de l’attaque

L’autre rupture vient de l’intelligence artificielle générative. « Des hackers peu expérimentés sont désormais capables de mener des opérations plus sophistiquées qu’auparavant avec l’essor d’outils dotés d’intelligence artificielle générative », constate Strubel ^[34]. L’IA abaisse les barrières techniques pour les attaquants novices, amplifiant la pression globale ^[35].

Concrètement, trois usages malveillants ressortent. D’abord, le phishing hyper-personnalisé: les modèles de langage permettent de rédiger en français impeccable des courriels d’hameçonnage calibrés à partir des données publiques d’une cible (LinkedIn, organigrammes), ce qui rend caduque la vieille parade du « repérez les fautes d’orthographe ». Ensuite, la génération assistée de codes malveillants: un attaquant peu chevronné peut désormais demander à un modèle de produire des fragments de scripts d’exfiltration ou de contournement, là où il fallait auparavant une vraie expertise. Enfin, la voix et la vidéo synthétiques, qui dopent les escroqueries au président et les fraudes au virement.

Ce glissement éclaire en partie pourquoi l’éducation et la recherche concentrent 34 % des incidents ^[36]: universités, laboratoires et rectorats cumulent des surfaces d’attaque massives, des budgets cyber étroits et des populations étudiantes peu sensibilisées - un terrain idéal pour des attaques génériques industrialisées par l’IA. En réponse, l’ANSSI a co-signé en février 2025, lors du Sommet pour l’action sur l’IA, une analyse de risques de haut niveau ratifiée par 19 partenaires internationaux et 5 partenaires nationaux ^[37], et lancé en juin 2025 le projet PANAME ^[38] avec la CNIL, le PEReN et le PEFR Cybersécurité ^{[39] [40] [41]}, destiné à outiller les audits de confidentialité des modèles d’IA.

L’angle mort: la Pologne 2025, scénario redouté

Ce que les sources généralistes occultent, et que Strubel met au centre de son alerte: la fin de l’année 2025 a vu une série d’attaques informatiques coordonnées contre les infrastructures électriques polonaises ^[42]. Le directeur de l’ANSSI ne se contente pas de citer l’épisode, il en fait la matrice du scénario redouté pour la France: « un scénario central dans lequel nous ferions face à une augmentation massive d’ici 2030 des attaques dites hybrides, dont les cyberattaques constituent un pan majeur, avec des effets concrets voire destructeurs sur nos infrastructures » ^[43].

Le glissement est stratégique. On ne parle plus de fuites de données mais de sabotage. Pas de rançon mais de destruction. La cybermenace devient un instrument de guerre hybride - et la France se prépare à ce que le scénario polonais devienne la norme européenne.

NIS 2: ce que la directive impose concrètement

Sur le plan législatif, la directive NIS 2 ^[44] a franchi deux étapes en 2025: adoption en première lecture au Sénat le 12 mars ^[45] et en commission spéciale à l’Assemblée nationale le 10 septembre ^[46]. La commission spéciale est présidée par Philippe Latombe, député de la Vendée ^[47].

Au-delà du calendrier parlementaire, le texte change d’échelle. NIS 2 distingue deux statuts - les « entités essentielles » (énergie, transport, santé, banque, infrastructures numériques) et les « entités importantes » (postes, gestion des déchets, agroalimentaire, fabricants critiques, fournisseurs numériques) - et fait passer le périmètre français de quelques centaines d’opérateurs sous NIS 1 à plusieurs milliers d’entités assujetties. Les obligations clés tiennent en trois piliers: mesures techniques et organisationnelles de gestion des risques (politique de sécurité, gestion des incidents, sécurité de la chaîne d’approvisionnement, chiffrement), notification rapide à l’autorité nationale en cas d’incident - avec une première alerte sous 24 heures et un rapport circonstancié sous 72 heures - et responsabilisation directe des organes de direction, désormais personnellement redevables du suivi cyber. Les sanctions, calquées sur le RGPD, peuvent atteindre 10 millions d’euros ou 2 % du chiffre d’affaires mondial pour les entités essentielles.

Pour accompagner cette montée en charge, l’ANSSI a publié sa Stratégie Nationale de cybersécurité 2026-2030 ^[48], avec l’ambition affichée de faire de la France « une Nation cyber de premier rang ». Le secteur de la santé fait l’objet d’un dispositif spécifique: le programme CaRE (Cybersécurité accélération et Résilience des Établissements), qui coordonne ANSSI, ANS, GRADeS et centrales d’achat hospitalières autour d’un catalogue de plus de 400 offres cyber ^[49]. Une obligation réglementaire en cybersécurité pour les établissements de santé est applicable depuis le 1er janvier 2026 ^[50].

Ce que les sources ne disent pas

Plusieurs angles morts méritent d’être signalés. Aucune des sources consultées ne chiffre précisément le coût agrégé pour les finances publiques des attaques contre les hôpitaux et collectivités en 2025. Aucune ne détaille non plus le taux de paiement des rançons par les victimes françaises - une donnée pourtant centrale pour évaluer l’économie réelle du cybercrime. Enfin, le débat sur l’opportunité d’interdire le paiement des rançons, présent dans plusieurs pays européens, est absent de la communication officielle de l’ANSSI.

Pourquoi maintenant?

Le calendrier de cette alerte n’est pas neutre. La transposition de NIS 2 entre dans sa phase parlementaire décisive ^[44], le Cyber Resilience Act européen se met en place ^[51], et la commission spéciale présidée par Philippe Latombe examine le projet de loi relatif à la des infrastructures critiques et au renforcement de la cybersécurité ^[52]. L’ANSSI choisit ce moment pour publier un rapport de 60 pages ^[12] qui dramatise la menace sans la surjouer - une manière de soutenir, par les chiffres, le travail législatif en cours.

► Lire aussi: Le rapport d'activité 2025 complet de l'ANSSI