En 2025, le baromètre se durcit : 57 % des TPE-PME françaises déclarent au moins une cyberattaque sur 12 mois. Or ces entreprises représentent 99 % du tissu économique et plus de 35 % du chiffre d’affaires national : leur protection n’est plus un sujet IT, c’est un enjeu macro-économique. Le Rapport Hiscox 2025 dresse un constat clair : face à des menaces accélérées par l’IA, les petites structures sont devenues des cibles rentables… mais elles passent enfin à l’action.
Ce que disent les chiffres (et pourquoi ça doit vous alerter)
- Plus l’entreprise est grande, plus elle est visée : au-dessus de 10 M$ de CA, on compte en moyenne 6 attaques/an (contre 4 en dessous de 1 M$).
- 1 sur 3 (33 %) a subi une perte financière menaçant l’activité.
- Les ransomwares frappent 26 % des TPE-PME ; parmi celles qui paient, seules 55 % récupèrent tout ou partie des données.
- Payer n’éteint pas le feu : 31 % reçoivent une demande supplémentaire et 27 % subissent une nouvelle attaque.
Paradoxalement, les contrôles existent : 76 % réalisent des tests de vulnérabilité au moins mensuels (94 % trimestriels). Pourquoi l’hémorragie continue-t-elle ? D’abord un sous-équipement technique (sécurité endpoint, sauvegardes immuables, EDR/XDR), ensuite un contrôle insuffisant des prestataires, véritables passerelles vers les SI. La France se distingue aussi par son taux de paiement élevé : seules 12 % des entreprises refusent de payer pour récupérer leurs données, sans meilleure récupération que chez nos voisins (sauf exception portugaise). Autrement dit : la rançon entretient le risque.
Au-delà de la rançon : l’onde de choc
- 36 % ont subi une amende impactant leur santé financière.
- 32 % voient grimper les coûts de notification clients.
- 31 % constatent une baisse des indicateurs commerciaux.
Pas étonnant que 73 % des répondants jugent souhaitable de rendre obligatoire la divulgation des montants de rançon : la transparence décourage l’économie du chantage.
IA : menace et accélérateur de défense
Pour 65 % des TPE-PME, l’IA est un atout, même si 29 % y voient une vulnérabilité. Les craintes principales : 61 % redoutent l’ingénierie sociale « augmentée », 61 % le malware/phishing, 59 % la prise de contrôle des données. Le message : sans expertise dédiée, l’IA des attaquants vous surpasse.
Le passage à l’action : une to-do list pragmatique
- Backups 3-2-1 + immutabilité : tests de restauration réguliers et hors-ligne.
- MFA partout, durcissement des accès, bastion pour les comptes à privilèges.
- EDR/XDR + journalisation avec détection comportementale et réponse automatisée.
- Gestion des tiers : clauses de sécurité, audits, least privilege et segmentation.
- Formation continue (72 % l’ont renforcée) et exercices de crise (table-top).
- Assurance cyber : encore 39 % sans police dédiée ; viser une couverture modulaire alignée aux risques.
La bonne nouvelle ? 85 % des TPE-PME ont amélioré leur cyber-résilience en 12 mois, 63 % recrutent des profils dédiés, 80 % forment les télétravailleurs, et 98 % prévoient d’augmenter leurs investissements. En 2025, l’objectif n’est plus zéro incident, mais anticipation, limitation d’impact et reprise rapide.
Consulter le Rapport Hiscox 2025 — et transformez ces chiffres en plan d’action concret dès aujourd’hui.
Auteur : Inforisque.
Continuer avec Linkedin