Rançongiciel en PME : ce que révèle le panorama ANSSI 2025

Le rançongiciel reste la menace la plus concrète pour une PME : en quelques heures, les fichiers sont chiffrés, l’activité s’arrête et une demande de rançon s’affiche. Le Panorama de la cybermenace 2025 de l’ANSSI, publié en mars 2026, montre que les petites et moyennes entreprises sont désormais la première catégorie de victimes parmi les attaques portées à sa connaissance.

Cet article résume ce que dit le panorama sur les rançongiciels en PME, les portes d’entrée que l’agence a observées, et ce qu’une entreprise de 5 à 250 personnes peut faire concrètement. Vous y trouverez un autodiagnostic en douze questions, les réflexes des premières heures et un plan d’action sur 90 jours.

Rançongiciel et PME : ce que disent les chiffres de l’ANSSI

Moins d’attaques recensées, mais davantage de PME touchées

Le nombre total de rançongiciels traités par l’agence baisse légèrement entre 2024 et 2025. Pourtant, la part des TPE, PME et ETI parmi les victimes progresse nettement, de 37 % à 48 %. Le panorama précise que cette catégorie reste la plus affectée par ce type d’attaque.

Les attaquants ne choisissent pas forcément leurs cibles. L’ANSSI décrit des attaques opportunistes, qui visent indistinctement la plupart des secteurs et des régions. Une PME n’est pas attaquée parce qu’elle est intéressante, mais parce qu’elle présente une faille exploitable.

Une lecture prudente des pourcentages

Ces chiffres reflètent les incidents signalés à l’ANSSI, pas l’ensemble des attaques en France. Beaucoup de petites entreprises ne déclarent rien à l’agence, et s’adressent plutôt à leur prestataire, à leur assureur ou au dispositif Cybermalveillance.gouv.fr. La tendance compte davantage que le chiffre exact.

Les groupes les plus actifs

Selon le panorama, les souches les plus représentées en 2025 sont Qilin (21 %), Akira (9 %) et LockBit 3.0 (5 %). Plus d’une dizaine de nouvelles souches ont été observées pour la première fois. Ces groupes fonctionnent souvent sur le modèle du rançongiciel en tant que service : un opérateur fournit l’outil, des affiliés mènent les attaques et partagent la rançon.

Les portes d’entrée relevées par l’ANSSI

Le panorama ne se contente pas de compter les victimes : il décrit comment les attaquants entrent. Plusieurs de ces vecteurs concernent directement les petites structures.

Les accès VPN sans double authentification

L’ANSSI indique que dans de nombreux incidents traités en 2025, les attaquants ont utilisé des comptes VPN dépourvus d’authentification forte pour entrer dans le réseau interne. L’agence est intervenue sur de nombreux cas de rançongiciel où cette faiblesse était exploitée, qu’il s’agisse d’un simple compte utilisateur ou du compte d’un prestataire.

Les équipements exposés sur Internet

Pare-feu, passerelles VPN, serveurs de messagerie : les équipements de bordure restent des cibles privilégiées. Le panorama cite une estimation selon laquelle, en 2025, environ 29 % des vulnérabilités exploitées l’ont été le jour même de leur publication ou avant. Un équipement mis à jour une fois par trimestre laisse donc une large fenêtre aux attaquants.

Les voleurs d’identifiants

L’ANSSI relève un recours récurrent aux infostealers, des logiciels malveillants qui collectent les mots de passe enregistrés dans les navigateurs. Dans un cas décrit, ils ont été installés avec un logiciel gratuit présenté comme un navigateur. L’agence souligne que l’absence de séparation entre usages professionnels et personnels complique la réaction.

Les prestataires et les environnements cloud

Le panorama observe aussi des compromissions passant par un prestataire, et davantage d’attaques sur des environnements cloud, pouvant aller jusqu’au chiffrement des ressources. Confier son informatique à un tiers ne supprime pas le risque : cela le déplace vers la qualité de ses accès et de ses pratiques.

Pourquoi les PME sont particulièrement exposées

Une grande entreprise dispose d’une équipe de sécurité. Une PME de vingt personnes a souvent un prestataire qui passe une fois par mois et un dirigeant qui gère les accès entre deux rendez-vous. Ce n’est pas une question de compétence, mais de temps et de priorités.

• Les mots de passe sont réutilisés, et la double authentification n’est pas activée partout.
• Les sauvegardes sont branchées en permanence au réseau, et seront chiffrées avec le reste.
• Les comptes des anciens salariés et des anciens prestataires restent actifs.
• Les mises à jour des équipements exposés dépendent d’une seule personne.
• Les ordinateurs servent aussi à des usages personnels.
• Personne n’a jamais testé une restauration complète.

Le double chantage : chiffrer et menacer de publier

Le panorama décrit des attaques pratiquant la double, voire la triple extorsion. Les données sont chiffrées, mais aussi copiées, et l’attaquant menace de les publier si la rançon n’est pas payée. Certains groupes renoncent même au chiffrement et se contentent de voler les données.

Pour une PME, la conséquence est importante : une bonne sauvegarde permet de redémarrer, mais elle n’empêche pas la fuite. La prévention des intrusions et la limitation des accès comptent autant que la capacité à restaurer.

Autodiagnostic : douze questions pour votre entreprise

Répondez par oui ou par non. Chaque non est un chantier à ouvrir, en commençant par les premières questions.

1. 1La double authentification est-elle activée sur la messagerie et sur tous les accès à distance ?
2. 2Le VPN, s’il existe, exige-t-il un second facteur pour chaque compte, y compris ceux des prestataires ?
3. 3Les équipements exposés sur Internet sont-ils mis à jour dès la publication d’un correctif critique ?
4. 4Existe-t-il une copie des données déconnectée du réseau ou hors d’atteinte des comptes habituels ?
5. 5Une restauration complète a-t-elle été testée au cours des six derniers mois ?
6. 6Les comptes des personnes parties sont-ils désactivés le jour de leur départ ?
7. 7Les droits d’administration sont-ils réservés à quelques comptes dédiés ?
8. 8Les mots de passe de l’équipe sont-ils stockés dans un coffre-fort, et non dans un tableur ?
9. 9Les postes ont-ils un antivirus ou un outil de détection à jour ?
10. 10Les collaborateurs savent-ils à qui signaler un e-mail suspect ?
11. 11Une procédure écrite indique-t-elle qui appeler en cas d’attaque ?
12. 12Votre contrat d’assurance précise-t-il s’il couvre le risque cyber ?

Exemple fictif : un bureau d’études de vingt-cinq personnes

Un lundi matin, les ingénieurs d’un bureau d’études ne peuvent plus ouvrir leurs plans. Un message de rançon s’affiche sur le serveur de fichiers. L’enquête montre que l’attaquant est entré trois semaines plus tôt, avec le compte VPN d’un ancien stagiaire, sans double authentification.

La sauvegarde, sur un disque branché au serveur, est chiffrée elle aussi. Une copie hors site existe, mais personne n’a jamais vérifié qu’elle se restaure. Il faut plusieurs jours pour reconstruire les postes, et des données de la dernière semaine sont perdues.

Trois mesures auraient changé l’issue : désactiver le compte du stagiaire à son départ, imposer la double authentification sur le VPN, et tester une restauration complète chaque semestre. Aucune ne demande un budget important.

Si l’attaque arrive : les premières heures

Cybermalveillance.gouv.fr publie une fiche réflexe dédiée aux rançongiciels. En voici les points principaux, à imprimer et à garder à portée de main.

1. 1Couper la connexion Internet du réseau touché et déconnecter les machines atteintes, ainsi que les sauvegardes encore branchées.
2. 2Ne pas éteindre les machines touchées, pour conserver les traces utiles à l’enquête.
3. 3Alerter votre prestataire informatique, ou faire un parcours sur 17cyber.gouv.fr.
4. 4Ne pas payer la rançon : rien ne garantit la récupération des données.
5. 5Conserver les preuves : message de rançon, fichiers chiffrés, journaux.
6. 6Porter plainte avant de réinstaller les appareils.
7. 7Prévenir votre assureur si vous avez une garantie cyber.
8. 8Notifier la CNIL dans les 72 heures si des données personnelles sont concernées.

Plan d’action sur 90 jours

Inutile de tout faire en même temps. Voici un ordre de priorité réaliste pour une PME sans équipe de sécurité.

Semaine 1 : fermer les portes les plus larges

• Activer la double authentification sur la messagerie, le VPN et les outils d’administration.
• Désactiver les comptes inutilisés, y compris ceux des anciens prestataires.
• Vérifier que les équipements exposés sur Internet sont à jour.

Mois 1 : rendre les données récupérables

• Mettre en place une copie des données hors site, chiffrée, que les comptes du quotidien ne peuvent pas supprimer.
• Tester une restauration complète d’un dossier important, et noter le temps nécessaire.
• Rédiger une page de procédure : qui appeler, où sont les sauvegardes, comment couper le réseau.

Mois 3 : installer les bonnes habitudes

• Déployer un coffre-fort de mots de passe pour l’équipe.
• Séparer les usages personnels et professionnels sur les postes.
• Former les collaborateurs à reconnaître un e-mail d’hameçonnage.
• Programmer un test de restauration chaque semestre.

En résumé

• Selon le panorama 2025 de l’ANSSI, 48 % des victimes de rançongiciel sont des TPE, PME ou ETI, contre 37 % en 2024.
• Les accès sans double authentification et les équipements non mis à jour restent des portes d’entrée majeures.
• Les attaquants volent aussi les données : la sauvegarde ne suffit pas, il faut limiter les accès.
• En cas d’attaque : couper le réseau, ne pas payer, porter plainte dans les 72 heures, notifier la CNIL si besoin.

Le Pack complet de Mon Cloud Français inclut un coffre-fort de mots de passe pour l’équipe, et l’option Sauvegarde chiffrée ajoute une copie hors site de vos données, à 11 € HT par tranche de 100 Go et par mois. Pour en savoir plus, consultez la page Sauvegarder mes données et la page Tarifs.