3 mins de lecture
En 2025, le baromètre se durcit : 57 % des TPE-PME françaises déclarent au moins une cyberattaque sur 12 mois. Or ces entreprises représentent 99 % du tissu économique et plus de 35 % du chiffre d’affaires national : leur protection n’est plus un sujet IT, c’est un enjeu macro-économique. Le Rapport Hiscox 2025 dresse un constat clair : face à des menaces accélérées par l’IA, les petites structures sont devenues des cibles rentables… mais elles passent enfin à l’action.
Ce que disent les chiffres (et pourquoi ça doit vous alerter)
- Plus l’entreprise est grande, plus elle est visée : au-dessus de 10 M$ de CA, on compte en moyenne 6 attaques/an (contre 4 en dessous de 1 M$).
- 1 sur 3 (33 %) a subi une perte financière menaçant l’activité.
- Les ransomwares frappent 26 % des TPE-PME ; parmi celles qui paient, seules 55 % récupèrent tout ou partie des données.
- Payer n’éteint pas le feu : 31 % reçoivent une demande supplémentaire et 27 % subissent une nouvelle attaque.
Paradoxalement, les contrôles existent : 76 % réalisent des tests de vulnérabilité au moins mensuels (94 % trimestriels). Pourquoi l’hémorragie continue-t-elle ? D’abord un sous-équipement technique (sécurité endpoint, sauvegardes immuables, EDR/XDR), ensuite un contrôle insuffisant des prestataires, véritables passerelles vers les SI. La France se distingue aussi par son taux de paiement élevé : seules 12 % des entreprises refusent de payer pour récupérer leurs données, sans meilleure récupération que chez nos voisins (sauf exception portugaise). Autrement dit : la rançon entretient le risque.
Au-delà de la rançon : l’onde de choc
- 36 % ont subi une amende impactant leur santé financière.
- 32 % voient grimper les coûts de notification clients.
- 31 % constatent une baisse des indicateurs commerciaux.
Pas étonnant que 73 % des répondants jugent souhaitable de rendre obligatoire la divulgation des montants de rançon : la transparence décourage l’économie du chantage.
IA : menace et accélérateur de défense
Pour 65 % des TPE-PME, l’IA est un atout, même si 29 % y voient une vulnérabilité. Les craintes principales : 61 % redoutent l’ingénierie sociale « augmentée », 61 % le malware/phishing, 59 % la prise de contrôle des données. Le message : sans expertise dédiée, l’IA des attaquants vous surpasse.
Le passage à l’action : une to-do list pragmatique
- Backups 3-2-1 + immutabilité : tests de restauration réguliers et hors-ligne.
- MFA partout, durcissement des accès, bastion pour les comptes à privilèges.
- EDR/XDR + journalisation avec détection comportementale et réponse automatisée.
- Gestion des tiers : clauses de sécurité, audits, least privilege et segmentation.
- Formation continue (72 % l’ont renforcée) et exercices de crise (table-top).
- Assurance cyber : encore 39 % sans police dédiée ; viser une couverture modulaire alignée aux risques.
La bonne nouvelle ? 85 % des TPE-PME ont amélioré leur cyber-résilience en 12 mois, 63 % recrutent des profils dédiés, 80 % forment les télétravailleurs, et 98 % prévoient d’augmenter leurs investissements. En 2025, l’objectif n’est plus zéro incident, mais anticipation, limitation d’impact et reprise rapide.
Consulter le Rapport Hiscox 2025 — et transformez ces chiffres en plan d’action concret dès aujourd’hui.
Auteur : Inforisque.
Damien BART pour Inforisque
Partager :
Inscrivez-vous dès aujourd'hui pour bénéficier de tous les avantages du Club Inforisque. Le club, c'est un réseau social pour les préventeurs et QHSE, un espace d'échange, d'inspiration, de partge, d'entraide et d'opportunité.
La newsletter hebdomadaire d'Inforisque. Vous souhaitez rester informé sur l'actualité des risques en entreprise ?
S'abonner
