Cybermenace 2026 : les chiffres utiles aux PME françaises

Les quatre chiffres à retenir — avec leur vrai périmètre

PME et ETI : 48 % des victimes de rançongiciel connues de l’ANSSI

Le chiffre le plus directement utile pour une PME est la part des organisations touchées par rançongiciel dans les cas connus de l’ANSSI : les PME et ETI représentent 48 % des victimes en 2025. Cela ne veut pas dire qu’une PME a « 48 % de chances » d’être attaquée. Cela montre surtout que les structures intermédiaires et plus petites restent très présentes parmi les victimes remontées à l’Agence.

La priorité pratique reste donc la même : accès distants, comptes à privilèges, MFA, sauvegardes restaurables et capacité à isoler rapidement un environnement compromis.

Les violations de données explosent, mais le chiffre brut peut tromper

La CNIL a reçu 17 802 notifications de violations de données personnelles en 2025, contre 5 630 en 2024. Le rapport annuel précise toutefois que deux incidents chez des éditeurs ont à eux seuls généré 11 635 notifications de leurs entreprises clientes. Le phénomène est donc bien sérieux, mais il faut éviter de transformer ce chiffre administratif en nombre d’attaques distinctes.

Pour une PME, cela rappelle un autre risque : un incident chez un fournisseur SaaS ou un prestataire peut déclencher des conséquences réglementaires et opérationnelles chez de nombreux clients.

Plus de 500 000 demandes d’assistance : la cyber devient un risque quotidien

Cybermalveillance.gouv.fr a comptabilisé 504 810 demandes d’assistance en ligne en 2025, soit +20 % sur un an. Cet indicateur couvre différents publics et 51 types de menaces. Il ne mesure pas uniquement les entreprises ni uniquement des incidents confirmés, mais il montre l’ampleur des besoins d’aide et de prévention.

Ce qu’une PME peut faire de ces chiffres

1. Vérifier ce qui est exposé sur Internet : domaines, VPN, accès d’administration, services oubliés.
2. Protéger les identités : MFA, comptes administrateurs séparés, anciens comptes supprimés.
3. Durcir la messagerie : SPF, DKIM, DMARC et procédure de validation des changements de RIB.
4. Tester une restauration : posséder une sauvegarde ne prouve pas qu’elle permettra de reprendre l’activité.
5. Préparer les prestataires et contacts de crise : savoir qui appeler avant l’incident réduit le temps perdu.

Ce que ces statistiques ne permettent pas d’affirmer

• Elles ne donnent pas la probabilité individuelle qu’une entreprise soit attaquée.
• Les périmètres ANSSI, CNIL et Cybermalveillance sont différents et ne doivent pas être additionnés.
• Une hausse de notifications ne signifie pas nécessairement le même pourcentage de hausse du nombre d’attaques distinctes.
• Les chiffres connus des organismes publics ne couvrent pas tous les incidents non signalés.

Elvia Secure utilise donc ces données comme contexte, jamais comme argument pour inventer un niveau de risque propre à une entreprise avant de l’avoir évalué.

Pour aller plus loin