Top 5 des risques de sécurité pour les PME en 2026

La réponse courte : les cinq risques qui touchent réellement les PME en 2026 sont le rançongiciel, l'hameçonnage et le piratage de compte qu'il alimente, les failles non corrigées, les accès distants mal protégés et les erreurs internes. Pour chacun, une protection précise existe et elle est à la portée d'une PME. Article mis à jour le 9 octobre 2026 avec les chiffres 2025.

1. Le rançongiciel : la menace numéro un

Le rançongiciel chiffre vos données et exige une rançon pour les récupérer, souvent après les avoir volées pour une seconde extorsion. En 2025, l'ANSSI a recensé 128 compromissions par rançongiciel en France, les PME, TPE et ETI restant la catégorie la plus touchée, devant les collectivités (11 %) et les établissements de santé (8 %). Le rapport Verizon 2025 relève un rançongiciel dans 44 % de toutes les violations, et dans 88 % de celles subies par les PME. Conséquences : arrêt de l'activité pendant la reconstruction, perte définitive des données s'il n'existe pas de copie hors ligne, rançon médiane de 115 000 dollars pour ceux qui paient.

Protection : sauvegardes 3-2-1 dont une copie hors ligne, testées chaque trimestre ; EDR sur chaque poste et serveur ; plan de reprise écrit. 64 % des victimes refusent désormais de payer selon Verizon : c'est possible quand on peut restaurer.

2. L'hameçonnage et le piratage de compte

Un courriel, un SMS ou un appel imitant une banque, un fournisseur ou un service public, pour voler des identifiants ou faire exécuter un virement. Selon le bilan 2025 de Cybermalveillance.gouv.fr, l'hameçonnage est la première menace tous publics confondus, en hausse de 70 %, nourri par les fuites de données massives de l'année ; chez les professionnels, le piratage de compte est en tête (+45 %) et les fraudes au virement progressent de 170 %, jusque dans la facturation électronique et la paie.

Protection : double authentification partout (Microsoft estime qu'elle bloque plus de 99,9 % des attaques de compromission de compte), filtrage de la messagerie, exercices de faux courriels, et une règle d'or : tout changement de coordonnées bancaires se vérifie par téléphone au numéro déjà connu.

3. Les failles de sécurité non corrigées

Les logiciels et équipements non mis à jour contiennent des vulnérabilités connues, exploitées en masse dès leur publication. Verizon attribue 20 % des violations de 2025 à l'exploitation de vulnérabilités, en hausse de 34 %, surtout sur les équipements de bordure (pare-feu, VPN, routeurs). Les alertes du CERT-FR en donnent l'historique : Microsoft Exchange (2021), Log4j (2021), MOVEit Transfer (2023). Depuis le 14 octobre 2025, Windows 10 ne reçoit plus de correctifs : chaque poste qui y reste est une faille ouverte.

Protection : mises à jour automatiques et vérifiées sur les postes, les serveurs, les pare-feu, les bornes Wi-Fi et les logiciels métier ; remplacement des équipements en fin de support ; supervision des vulnérabilités, comprise dans le forfait infogérance.

4. Les accès distants non sécurisés

Avec le télétravail et les sites multiples, les accès à distance sont partout, et ils sont la première porte d'entrée : les identifiants volés représentent 22 % des violations dans le rapport Verizon 2025. Les erreurs classiques : un bureau à distance (RDP) exposé sur internet, des mots de passe réutilisés, pas de VPN, l'ordinateur personnel d'un salarié connecté au réseau de l'entreprise.

Protection : VPN d'entreprise obligatoire, double authentification sur le VPN et la messagerie, postes gérés par l'entreprise uniquement, gestionnaire de mots de passe, journalisation des connexions. Le détail est dans notre guide pour sécuriser le réseau de son entreprise.

5. Les erreurs et menaces internes

Toutes les violations ne viennent pas d'un pirate. Dans son rapport annuel 2025, la CNIL indique avoir reçu 6 167 notifications de violations de données, un record, et qu'une sur deux environ relève d'un piratage : l'autre moitié a d'autres causes, envoi à un mauvais destinataire, perte de matériel, erreur de manipulation, suppression accidentelle, ou salarié qui emporte des fichiers en partant.

Protection : principe du moindre privilège (chacun n'accède qu'à ce dont il a besoin), revue trimestrielle des comptes et suppression le jour du départ, chiffrement des ordinateurs portables, sauvegardes avec historique pour annuler une suppression, sensibilisation régulière. Et une procédure écrite pour notifier la CNIL dans les 72 heures si des données personnelles sont touchées.

Conclusion : agir maintenant, dans l'ordre

Le baromètre 2025 de Cybermalveillance.gouv.fr résume le paradoxe : 58 % des TPE-PME pensent être bien protégées, 16 % ont subi un incident dans l'année et 80 % ne sont pas préparées ou l'ignorent. La question n'est pas « si » mais « quand ». Un audit informatique mesure où vous en êtes sur ces cinq risques ; notre checklist en 12 mesures donne l'ordre de déploiement ; les protections techniques sont détaillées sur la page cybersécurité.