Pourquoi les PME sont les cibles préférées des hackers: chiffres et étude 2026

« Notre entreprise est trop petite pour intéresser un hacker. » C’est sans doute la phrase la plus dangereuse qu’un dirigeant de PME puisse prononcer. Les chiffres publiés en 2025 et 2026 par l’ANSSI, Cybermalveillance.gouv.fr, le CESIN et plusieurs assureurs internationaux racontent exactement l’inverse : les petites et moyennes entreprises ne sont pas épargnées par la cybercriminalité, elles en sont devenues la cible privilégiée. Près de la moitié des victimes de rançongiciels recensées en France par l’ANSSI sont des PME, TPE ou ETI, et cette proportion augmente d’année en année.

Cet article rassemble les chiffres les plus récents et les plus fiables sur le sujet, en croisant plusieurs sources institutionnelles et privées reconnues (ANSSI, Cybermalveillance.gouv.fr, CESIN, Verizon, Hiscox, ENISA), pour comprendre pourquoi les hackers privilégient les petites structures et comment inverser cette tendance.

Le mythe : « nous sommes trop petits pour intéresser un hacker »

Cette croyance repose sur une intuition compréhensible mais fausse : un hacker choisirait ses cibles une par une, en visant en priorité les grandes entreprises aux données les plus précieuses. En réalité, la grande majorité des cyberattaques modernes ne sont pas menées manuellement contre une cible choisie. Elles sont automatisées, industrialisées et déployées à grande échelle grâce à des kits d’attaque et des offres de rançongiciel en mode service (Ransomware-as-a-Service, RaaS), qui ont considérablement abaissé la barrière technique à l’entrée pour les cybercriminels, comme le souligne l’ENISA dans son rapport annuel sur le paysage des menaces 2025.

Dans ce modèle économique, une PME mal protégée est une cible plus rentable qu’une grande entreprise fortement défendue : moins d’effort pour l’attaquant, taux de réussite plus élevé, et un volume de cibles disponibles considérablement plus important puisque les PME représentent l’écrasante majorité du tissu économique français et européen.

Combien de PME sont réellement touchées ? Les chiffres clés

Voici une synthèse des données les plus récentes et les plus solides disponibles, issues de sources institutionnelles françaises et européennes ainsi que d’études sectorielles internationales reconnues.

Notre article sur le ransomware et les PME françaises détaille les mécanismes de cette menace spécifique. Ces chiffres confirment une tendance de fond documentée depuis plusieurs années : les petites structures ne sont plus un angle mort de la cybercriminalité, elles en sont un terrain de chasse privilégié.

Pourquoi les hackers ciblent les PME en priorité : 5 raisons

Plusieurs facteurs structurels expliquent cette préférence, au-delà du simple hasard.

1. Une maturité en cybersécurité nettement plus faible. Seule une PME sur quatre dispose d’une authentification multifacteur et à peine 16 % disposent d’une détection active des intrusions selon l’ANSSI, contre des taux d’équipement bien plus élevés dans les grandes entreprises qui disposent de budgets et d’équipes IT dédiées.
2. L’automatisation rend le volume plus rentable que la précision. Avec des outils de rançongiciel en mode service, un attaquant peut lancer des milliers de tentatives automatisées ; il n’a pas besoin de cibler une entreprise précise, il lui suffit qu’une fraction des cibles touchées soit mal protégée.
3. Les PME servent de porte d’entrée vers de plus gros comptes. De nombreuses PME sont des sous-traitants ou fournisseurs de grandes entreprises mieux protégées ; compromettre le maillon faible de la chaîne d’approvisionnement permet d’atteindre indirectement une cible plus intéressante.
4. Moins de personnel dédié à la sécurité informatique. Dans une PME, la sécurité informatique repose souvent sur une seule personne cumulant plusieurs fonctions, voire sur un prestataire externe intervenant ponctuellement, ce qui limite la capacité de détection et de réaction rapide.
5. Une capacité de réponse judiciaire et de négociation plus faible. Les PME ont statistiquement moins de moyens pour investiguer, négocier ou engager des poursuites après une attaque, ce qui réduit le risque perçu par les cybercriminels par rapport à une cible dotée d’équipes juridiques et de cyber-assureurs expérimentés.

Le ransomware, l’arme de prédilection contre les PME

Selon le Data Breach Investigations Report de Verizon, qui a analysé plus de 22 000 incidents de sécurité dans le monde, un rançongiciel ou un logiciel d’extorsion est impliqué dans 88 % des brèches touchant les petites et moyennes entreprises, contre seulement 39 % dans les grandes organisations. Le montant médian des rançons versées atteignait 115 000 dollars sur la période étudiée, une somme qui peut mettre en péril la trésorerie d’une petite structure du jour au lendemain.

Ce déséquilibre s’explique en partie par la nature même du rançongiciel : contrairement au vol de données qui nécessite de trouver un acheteur, le chiffrement suivi d’une demande de rançon fonctionne directement contre la victime elle-même, sans intermédiaire. Une PME qui dépend de son système d’information pour facturer, produire ou livrer n’a souvent d’autre choix que de négocier rapidement, ce qui en fait une cible particulièrement rentable pour ce type d’attaque.

PME sous-traitantes : la porte d’entrée vers les grands comptes

Selon le 11e baromètre annuel de la cybersécurité des entreprises du CESIN, les attaques via des tiers (fournisseurs, prestataires, sous-traitants) représentent 35 % des vecteurs d’attaque recensés. Le rapport Verizon confirme cette tendance à l’échelle mondiale : l’implication de tiers dans les brèches de sécurité a doublé, passant à 30 % des incidents analysés.

Ce mécanisme explique une partie du ciblage des PME : une petite entreprise qui héberge, développe ou maintient un système pour un donneur d’ordre plus important devient une cible stratégique, même si ses propres données n’ont, en apparence, qu’une valeur limitée. Notre article sur les attaques par supply chain détaille ce mécanisme, et notre guide sur la gestion des risques tiers explique comment évaluer et exiger un niveau de sécurité minimal de la part de vos propres prestataires, dans les deux sens de la relation commerciale.

Le mythe des « 60 % de PME qui ferment après une cyberattaque »

Ce chiffre circule depuis des années dans de très nombreux articles et présentations sur la cybersécurité des PME. Il mérite pourtant d’être traité avec beaucoup de prudence : il n’existe à ce jour aucune statistique fiable et vérifiable, en France comme à l’échelle européenne, permettant d’affirmer qu’une PME sur deux ou six sur dix ferment réellement leurs portes dans les mois suivant une cyberattaque. Ce chiffre proviendrait en réalité d’une déformation d’un sondage plus ancien, dans lequel une majorité de dirigeants de PME déclaraient craindre un risque de faillite en cas d’attaque majeure, ce qui correspond à une perception du risque et non à une mesure du nombre réel de fermetures d’entreprises.

Cela ne signifie pas que les conséquences d’une cyberattaque sont anodines, bien au contraire : selon le 11e baromètre du CESIN, 81 % des entreprises victimes d’une attaque significative déclarent un impact réel sur leur activité. Mais il est préférable de s’appuyer sur ce type de donnée vérifiable plutôt que de répéter un chiffre de fermeture d’entreprise qu’aucune étude sérieuse n’a jamais démontré à ce jour.

Où en sont vraiment les défenses des PME françaises ?

Le 2e baromètre national de la maturité cyber des TPE-PME, publié par Cybermalveillance.gouv.fr, dresse un état des lieux précis de l’équipement de sécurité des petites structures françaises. Les résultats montrent une prise de conscience réelle sur les mesures de base, mais des lacunes persistantes sur les protections les plus efficaces contre les menaces actuelles :

• 84 % des TPE-PME disposent d’un antivirus
• 78 % effectuent des sauvegardes régulières
• 69 % disposent d’un pare-feu
• 51 % appliquent une politique de mots de passe
• Seulement 26 % ont déployé une solution d’authentification à deux facteurs

Ce dernier chiffre est particulièrement préoccupant : l’authentification multifacteur est pourtant la mesure la plus efficace et la moins coûteuse pour bloquer la majorité des attaques par vol d’identifiants, qui restent le vecteur d’entrée le plus fréquent selon l’ENISA (60 % des intrusions initiales analysées à l’échelle européenne) comme selon Cybermalveillance.gouv.fr (43 % des incidents rattachés à l’hameçonnage pour les seules TPE-PME françaises).

Un mot de passe volé ou réutilisé sur plusieurs services professionnels reste l’un des points d’entrée les plus exploités, en particulier lorsqu’il n’est pas complété par une authentification multifacteur.

Comment inverser la tendance : les leviers qui fonctionnent

Face à ces chiffres, la bonne nouvelle est que les mesures les plus efficaces ne sont pas nécessairement les plus coûteuses. Voici les leviers prioritaires identifiés par les différentes études citées dans cet article :

• Déployer l’authentification multifacteur sur l’ensemble des comptes professionnels, en priorité les accès administrateurs ; voir notre guide MFA pour PME
• Mettre en place une détection active des intrusions, même à budget limité, pour sortir des 84 % de PME qui n’ont aucune visibilité sur une compromission en cours ; notre article sur le SOC IA pour PME présente des options accessibles
• Corriger les vulnérabilités connues rapidement, l’ANSSI notant que près de 29 % des failles exploitées l’ont été le jour même de leur publication ; voir notre guide du patch management
• Former les équipes à repérer l’hameçonnage, premier vecteur d’intrusion selon toutes les sources citées ; voir notre guide de formation des employés
• Évaluer la sécurité de vos prestataires et sous-traitants pour limiter le risque de compromission par un tiers
• Réaliser un audit de sécurité régulier pour objectiver votre niveau réel de préparation plutôt que de se fier à une impression

Notre modèle d’audit cybersécurité PME permet de faire ce point de façon structurée. Pour un diagnostic guidé, l’outil d’audit cyber PME de SIAC Media offre une première évaluation en quelques minutes. Ces mesures, combinées à une bonne compréhension des obligations réglementaires, notamment celles de la directive NIS2 qui concerne désormais 74 % des entreprises selon le CESIN, permettent de sortir du statut de cible facile. Enfin, la question assurantielle mérite d’être anticipée : notre guide complet de l’assurance cyber pour PME et notre article sur la responsabilité du dirigeant en cas de cyberattaque détaillent les dimensions juridiques et financières à ne pas négliger.

Ces sujets s’inscrivent dans une démarche de sécurité globale, détaillée dans notre panorama complet des technologies IA de cybersécurité 2026 et notre guide complet de la cybersécurité PME, ainsi que dans notre article sur la cyber-résilience des PME, qui va plus loin que la seule prévention pour aborder la capacité à encaisser et rebondir après un incident.

Conclusion

Les chiffres sont sans ambiguïté : près d’une victime de rançongiciel sur deux en France est une PME, TPE ou ETI, et huit brèches sur dix subies par les petites entreprises impliquent un rançongiciel. Ce n’est pas le fruit du hasard mais la conséquence directe d’une industrialisation des attaques qui privilégie le volume et la faible maturité de sécurité plutôt que la valeur perçue de la cible. La bonne nouvelle, documentée par les mêmes études, est que les mesures les plus efficaces (authentification multifacteur, détection active, correction rapide des vulnérabilités, formation aux emails d’hameçonnage) restent accessibles à des budgets de PME. Sortir de la catégorie des cibles faciles ne nécessite pas de tout réinventer, mais de cesser de croire que la taille de l’entreprise constitue une protection en soi.