Un e-mail qui ressemble à une facture fournisseur, un clic distrait, et en quelques minutes tous les fichiers de l’entreprise deviennent inaccessibles. Ce scénario frappe désormais les petites structures bien plus souvent que les grands groupes. Selon le Verizon DBIR 2025, les ransomwares sont impliqués dans 88 % des brèches touchant les PME, contre 39 % dans les grandes entreprises. Comprendre pourquoi cette bascule s’opère, et par quels chemins concrets l’attaque arrive, permet d’agir avant qu’il ne soit trop tard.
Attaque via le prestataire IT : le vecteur ransomware que les PME ignorent
Vous confiez la maintenance de vos postes et serveurs à un prestataire externe ? Ce lien de confiance est précisément ce que les cybercriminels exploitent. Le rapport Huntress 2025 indique que dans 65 % des incidents étudiés en environnement PME, les attaquants détournent les outils de supervision et de gestion à distance (appelés outils RMM) fournis par ces prestataires, aussi nommés MSP.
Un outil RMM, c’est le logiciel qui permet à votre prestataire de se connecter à vos machines, installer des mises à jour ou résoudre un problème sans se déplacer. Quand un attaquant prend le contrôle de cet outil, il accède d’un coup à toutes les entreprises clientes du prestataire.
Des campagnes récentes documentées par RansomwareWire (cas Kaseya, vulnérabilités ConnectWise ScreenConnect exploitées en 2024, campagnes du groupe Akira en 2025-2026) montrent qu’un seul MSP compromis peut entraîner le chiffrement de dizaines, voire de centaines de PME en même temps. Le secteur manufacturier est particulièrement touché.
Pour une petite entreprise, la leçon est directe : la sécurité de votre prestataire IT conditionne la vôtre. Demander à votre MSP comment il protège ses propres accès n’est pas un luxe, c’est un prérequis.
Phishing et accès volés : comment le ransomware entre dans une petite entreprise
L’attaque en cascade via un prestataire reste un vecteur majeur, mais la porte d’entrée la plus courante demeure le phishing. Un e-mail imitant un fournisseur, un lien vers une fausse page de connexion, un fichier joint piégé : les techniques sont connues, et pourtant elles fonctionnent toujours.
Pourquoi les petites entreprises mordent-elles plus facilement ? Trois raisons reviennent systématiquement :
- Elles disposent rarement d’un filtrage e-mail avancé capable de bloquer les messages frauduleux avant qu’ils n’atteignent la boîte de réception.
- La sensibilisation des salariés au phishing est souvent ponctuelle ou inexistante, faute de temps et de budget dédié.
- Les mots de passe sont fréquemment réutilisés entre comptes personnels et professionnels, ce qui permet aux attaquants d’acheter des identifiants volés sur le dark web et de se connecter directement.
Le rapport At-Bay 2025 souligne que les PME disposant de moins de ressources de sécurité subissent des demandes de rançon proportionnellement plus élevées. Les cybercriminels savent que ces structures n’ont ni équipe dédiée, ni plan de réponse rodé. Elles sont donc plus susceptibles de payer pour récupérer leurs données rapidement.
Coût réel d’un ransomware pour une PME : au-delà de la rançon
Payer ou ne pas payer la rançon, c’est souvent la première question qui vient à l’esprit. En réalité, la rançon elle-même ne représente qu’une partie du coût total. Le rapport Hiscox 2025 révèle que la médiane des demandes de rançon visant les petites entreprises a bondi, passant de 100 000 dollars à 200 000 dollars en un an.
Le vrai poids financier se cache ailleurs. L’arrêt d’activité pendant plusieurs jours, parfois plusieurs semaines, génère des pertes de chiffre d’affaires difficiles à rattraper. La reconstruction du système informatique mobilise des ressources imprévues. La notification des clients dont les données ont été exposées entraîne des frais juridiques et un dommage de réputation durable.
Une PME sur cinq ne survit pas à une cyberattaque majeure selon les données compilées par plusieurs assureurs cyber. Ce chiffre illustre un point souvent sous-estimé : pour une structure de dix ou vingt salariés, l’impact d’un ransomware n’est pas un incident technique, c’est une menace existentielle.
Cyber-assurance et obligations légales : ce qui change pour les petites entreprises
Vous pensez qu’une assurance cyber réglera le problème ? Les conditions d’accès se durcissent. Les assureurs exigent désormais des preuves concrètes de protection : authentification multifacteur activée, sauvegardes régulières testées, politique de mots de passe formalisée. Sans ces mesures, le renouvellement d’une police cyber peut être refusé ou assorti de franchises très élevées.
Côté réglementaire, la transposition de la directive NIS 2 en droit français via la loi Résilience élargit les obligations de cybersécurité et de notification d’incidents à un périmètre bien plus large d’entreprises. Des PME qui n’étaient jusqu’ici soumises à aucune contrainte spécifique devront mettre en place des mesures de protection et signaler les incidents sous des délais stricts.
Concrètement, cela signifie que même une petite structure de services peut se retrouver dans le champ d’application si elle intervient dans une chaîne critique (santé, énergie, transport, alimentation). L’ignorer expose à des sanctions, en plus du risque d’attaque lui-même.
Mesures de protection ransomware adaptées aux petites structures
La bonne nouvelle, c’est que les mesures les plus efficaces ne nécessitent pas un budget démesuré. Elles reposent sur des principes simples appliqués avec rigueur :
- Activer l’authentification multifacteur (MFA) sur tous les accès critiques : messagerie, accès à distance, outils cloud. C’est le frein le plus efficace contre le vol d’identifiants.
- Maintenir des sauvegardes hors ligne ou sur un cloud isolé, testées régulièrement. Une sauvegarde connectée en permanence au réseau sera chiffrée en même temps que le reste.
- Mettre à jour les logiciels sans délai, en particulier les outils d’accès à distance et les systèmes exposés sur Internet.
- Former les salariés au repérage du phishing, même avec des sessions courtes et répétées, plutôt qu’une formation annuelle vite oubliée.
- Exiger de votre prestataire IT qu’il documente ses propres mesures de sécurité et qu’il segmente ses accès entre ses différents clients.
La protection passe d’abord par la chaîne humaine et organisationnelle, avant tout investissement technologique. Un pare-feu dernier cri ne sert à rien si un salarié utilise le même mot de passe partout.
Les ransomwares ne ciblent plus les petites entreprises par hasard. Elles représentent un volume considérable de victimes potentielles, moins protégées et plus pressées de payer. Cartographier ses accès, vérifier ses sauvegardes et interroger son prestataire sur ses propres pratiques de sécurité : ces trois actions, réalisables cette semaine, réduisent déjà significativement le risque.
