Ransomwares : les PME françaises face à un sous-investissement mortel

L’Agence nationale de la sécurité des systèmes d’information a enregistré 128 compromissions par rançongiciel en 2025 - contre 141 l’année précédente. La stabilité du chiffre masque une redistribution des cibles: les TPE, PME et ETI représentent désormais 48 % des victimes. Le secteur industriel absorbe une hausse brutale des attaques ransomware sur le manufacturing mondial en 2025.

LES ENJEUX

Sous-investissement chronique des PME

27 000 € de budget annuel moyen face à 466 000 € de coût d'attaque. 68% des TPE/PME allouent moins de 2 000 € par an.

Concentration sur les cibles fragiles

Les PME représentent désormais 48% des victimes. Le secteur industriel subit une hausse brutale des attaques.

Paiement massif des rançons malgré les interdictions

92% des victimes françaises paient une rançon moyenne de 653 000 €, mais seule la moitié l'admet. Un tabou persistant malgré les consignes officielles.

Écart entre perception et réalité

78% des entreprises se disent confiantes, 74% restent sous le seuil de sécurité « Essentiel » de l'ANSSI.

Mortalité post-attaque

60% des PME victimes d'une attaque sérieuse ferment dans les six mois. Causes: absence de backup, coût de reconstruction, perte de clients.

Le coût moyen d’une cyberattaque pour une PME française s’établit à 466 000 euros. Cette moyenne, issue d’une étude Hiscox sur les PME, contraste avec les coûts moyens toutes entreprises confondues: les TPE, moins ciblées mais très vulnérables, tirent la moyenne vers le bas. Une entreprise sur huit rapporte des coûts dépassant 230 000 euros. Face à cette menace, les PME françaises allouent en moyenne 27 000 euros par an à leur protection numérique. Le ratio ne tient pas: 5,6 % du budget informatique va à la cybersécurité - quand les praticiens recommandent entre 5 % et 15 %. Selon une étude Cyber Impact, 68 % des TPE et PME allouent moins de 2 000 euros annuels.

Qilin domine, les petites structures paient

La souche Qilin représente 21 % des ransomwares observés par l’ANSSI en 2025 - devant Akira (9 %) et LockBit 3.0 (5 %). Au premier trimestre 2026, la France a enregistré 58 incidents de ransomware - soit une hausse de 29 %. Le pays occupe le cinquième rang mondial des cibles. Vincent Strubel, directeur général de l’ANSSI, alerte sur un scénario d’attaques hybrides massives d’ici 2030 visant les infrastructures critiques, dont l’industrie. Il a également prévenu les sénateurs du « mur du patch » lié aux vulnérabilités découvertes par l’intelligence artificielle.

Les attaques récentes illustrent la vulnérabilité du tissu industriel français. En juin 2026, SDEZ (services textiles), FAC Logistique (externalisation achats et logistique) et OSP HOLDING FRANCE (équipements de contrôle de processus industriels) ont été revendiquées par des gangs ransomware. En mars 2026, le prestataire de billetterie Vivaticket a été paralysé par RansomHouse, bloquant des milliers d’établissements dont le Louvre et le Musée d’Orsay. En juillet 2025, Wibaie a vu son usine à l’arrêt, 600 salariés immobilisés. En janvier 2024, la société DMS (radiologie numérique) a été touchée par le rançongiciel Cactus. Plus récemment, en janvier 2026, le groupe HAFA (fournitures industrielles) a subi une attaque paralysante: son directeur général, Adrien Oberthur, témoigne d’une « paralysie totale des systèmes », sans backup fonctionnel, qui a interrompu toute activité pendant près de trois semaines.

La majorité des victimes paient la rançon, un tabou persistant

François-Christophe Jean, directeur technique France chez Cohesity, a révélé qu’une grande majorité (92 %) des entreprises françaises cybermenacées fin 2024 ont payé des rançons, pour un montant moyen de 653 000 euros. Pourtant, seules la moitié des victimes de ransomware admettent avoir versé la rançon. Cette différence illustre la pression du tabou: les autorités (ANSSI, ministère de l’Intérieur) déconseillent formellement de payer, car cela alimente le modèle criminel. Mais face à l’arrêt total de l’activité et à l’absence de sauvegardes, le calcul est souvent fait en silence.

Le vol de données accompagne désormais 42 % des attaques en 2025 - en hausse de 11 points par rapport à 2024. Clément Domingo, chercheur en cybersécurité - indique que les données de huit Français sur dix circulent sur les marchés noirs. Au premier trimestre 2026, la France était le deuxième pays le plus impacté mondialement par les fuites de données.

L’impasse du « paradoxe de confiance »

Selon un baromètre ESET de début 2026, 44 % des entreprises françaises subissent encore des incidents évitables. Pourtant, 78 % des entreprises françaises se disent confiantes dans leur capacité à résister aux cyberattaques - alors que 47 % ont subi au moins une cyberattaque majeure en 2024.

Ce décalage s’explique: 74 % des PME françaises restent en dessous du niveau de sécurité « Essentiel » recommandé par l’ANSSI. Une majorité de dirigeants (58 %) perçoivent encore la cybersécurité comme une question purement technique, reléguée aux équipes informatiques. Seules 18 % des entreprises considèrent la continuité d’activité et la reprise rapide comme l’objectif principal de leur stratégie cyber.

La mortalité post-attaque: des conséquences dramatiques

Les conséquences opérationnelles sont brutales. Plus de 65 % des entreprises touchées en 2024 ont subi des perturbations significatives de leur activité - et 23 % ont rapporté une baisse ou un arrêt de la production. Mais le chiffre le plus alarmant concerne la survie même des PME: 60 % des PME victimes d’une attaque sérieuse mettent la clé sous la porte dans les six mois suivant l’incident.

Ce taux de mortalité record s’explique par une conjonction de facteurs: absence de sauvegarde externalisée, dépendance critique au système d’information, coût de la rançon ou de la reconstruction, perte de clients et dégradation de la réputation. Les PME qui n’ont pas investi dans un plan de continuité d’activité, c’est le cas de la majorité, se retrouvent souvent dans l’incapacité de redémarrer. « Quand votre fichier clients, votre comptabilité et votre production sont cryptés, et que vous n’avez pas de backup, le retour à la normale est quasi impossible en l’absence de moyens financiers », confirme un expert du Clusif. Le budget cyber annuel moyen des PME ne couvre même pas le coût d’un audit post-incident.

En 2021, la France avait déjà connu un pic de 260 attaques recensées - un niveau qui avait alors alerté sur la vulnérabilité des PME. Depuis, les souches et les montants des rançons ont augmenté, mais les budgets de protection, eux, n’ont pas suivi. La répétition des drames économiques n’a pas encore provoqué de sursaut budgétaire à la hauteur.

Ce que les chiffres ne disent pas

La prise de conscience progresse: 73 % des entreprises s’inquiètent d’une cyberattaque dans l’année à venir. La formation à la cybersécurité est jugée importante ou critique par 87 % des décideurs et constitue le principal poste d’investissement prévu pour 41 % des organisations au cours des douze prochains mois.

Mais les investissements dans la sécurisation de l’intelligence artificielle restent faibles, ne représentant que 16 % des investissements liés à l’IA - contre 23 % pour la productivité. Xavier Poinsignon, expert en cybersécurité chez SFR Business - observe que les cyberattaques en 2026 se professionnalisent et s’industrialisent, s’appuyant désormais sur l’intelligence artificielle pour gagner en précision et en vitesse.

Michal Jankech, vice-président chargé des grandes entreprises, des PME et des MSP chez ESET - et Benoit Grunemwald, directeur des affaires publiques d’ESET France - notent que si la formation à la cybersécurité progresse et que le déni n’est plus de mise, l’exécution des mesures reste un défi pour les PME françaises.

La directive NIS2, transposée en France en 2024-2025 - étend le périmètre des obligations de cybersécurité aux entités essentielles et importantes, notamment dans la manufacture critique, la chimie, l’agroalimentaire et la pharmacie. Elle impose des obligations de gouvernance, de gestion des risques et de notification d’incidents. L’écart entre la norme et la réalité du terrain reste béant.