PME, ETI, collectivités : pourquoi les hackers les préfèrent

Ransomware, fuites de données, sabotage… face à une menace cyber en mutation, boostée par l’IA, qui n’épargne plus personne, les entreprises de petite et moyenne taille, ainsi que les collectivités territoriales sont en première ligne. Lors d’une Table Ronde des Experts organisée par Riskintel Media et modérée par Yasmine Douadi, des spécialistes du domaine ont discuté des risques auxquels les PME, ETI et collectivités territoriales font face dans le domaine cyber et des stratégies qu’elles peuvent adopter pour limiter l’ampleur de la menace. 

Contrairement aux idées reçues, les grandes entreprises ne sont pas les plus touchées par les cyberattaques. Une attaque contre un grand groupe est susceptible d’être plus médiatisée car elle peut impliquer des pertes financières colossales en termes de montant, mais lorsqu’on prend du recul, on se rend que les incidents ciblant des grandes entreprises ne représentent en réalité qu’une fraction des cyberattaques. Les premières cibles, ce sont des entités plus modestes en termes de taille et de chiffre d’affaires : les TPE (très petites entreprises) qui comptent moins de 10 salariés, les PME (petites et moyennes entreprises) qui en comptent entre 10 et 250 et les ETI (entreprises de taille intermédiaire) qui en comptent entre 250 et 5 000. En 2025, l’ANSSI estimait que 48% des attaques de type ransomware ciblaient ces trois types de sociétés.

À lire aussi : IA agentique : un risque sécuritaire majeur pour les entreprises ?

Pour une grande entreprise, une cyberattaque peut ralentir une stratégie d’expansion. Pour une PME ou une ETI en mauvaise santé financièrement, elle peut signer son arrêt de mort. Pour une collectivité territoriale, elle peut interrompre l’allocation de services publics pendant plus d’une semaine. Quel est l’état de la menace ? Quelle stratégie adopter face à des attaquants toujours plus performants et qui ciblent de plus en plus les organisations les plus modestes ? Comment faire évoluer les mentalités des dirigeants ? Comment se protéger des risques géopolitiques qui influent sur le risque cyber ? Un panel d’experts a cherché à répondre à ces questions.
‍

Pourquoi leskers préfèrent les « petites cibles » aux grands groupes ?
‍

Le ciblage des PME, ETI et collectivités territoriales ne va pas de soi. À première vue, il pourrait sembler plus logique de viser des entreprises disposant d’importantes ressources financières afin d’obtenir un maximum de gains. Un tel raisonnement ne prend cependant pas en compte les coûts associés à une attaque pour les hackers qui investissent eux-mêmes des moyens pour compromettre les systèmes qu’ils ciblent. Joachim Coqblin, DSI adjoint de la ville de Villejuif, explique que les investissements réalisés par les grands groupes et les organisations stratégiques au cours des dernières années ont un effet dissuasif sur les attaquants qui vont alors privilégier des cibles plus modestes. « Il y a encore 10 ans, raconte-t-il, l’argument que j’avais face à moi, c’est “on n’est pas la Banque de France.” Oui, on n’est pas la Banque de France. Mais en fait, aujourd’hui, je pense que la Banque de France a moins de risques à gérer que n’importe qui parce qu’elle est beaucoup mieux protégée et le coût pour attaquer la Banque de France est quand même beaucoup plus élevé ». 

C’est donc ce calcul coûts-bénéfices qui fait que les PME et les ETI représentent les entités les plus ciblées par les cyberattaquants, selon Miguel De Oliveira, PDG d’AISI, une société de services de cybersécurité française spécialisée dans la protection des PME, ETI et des collectivités territoriales : « les ETI sont plus armées que les PME pour se protéger, mais bien évidemment, moins armées que les grands groupes ou que les comptes du CAC 40 pour faire face à une menace qui, elle, est plutôt focus sur ce type d’entités parce qu’ils savent très bien qu’elles sont moins protégées que les grands groupes bancaires, de l’énergie ou autres, qui, eux, ont mis en place énormément d’éléments, énormément de budget, énormément de solutions techniques pour se protéger ».

À lire aussi : Cybersécurité : pourquoi l’identité devient la cible n°1 avec l’IA

Le fait qu’une attaque cible une entité « modeste » ne veut pas forcément dire que ses effets seront limités en comparaison avec une attaque contre une multinationale. Premièrement, parce que les grands groupes disposent de meilleurs moyens en matière de cybersécurité, notamment en ce qui concerne la restauration des serveurs et donc la reprise des activités. Deuxièmement, parce qu’une attaque contre une PME ou une ETI peut être la première étape d’une opération visant à terme une plus grande entreprise qu’elle fournit. Dans son Panorama de la cybermenace 2025, l’ANSSI identifiait le ciblage des sous-traitants, fournisseurs et partenaires comme un vecteur de compromission de plus en plus fréquent, surtout dans les secteurs sensibles comme celui de l’industrie de défense. Lorsqu’ils choisissent la « bonne cible », les attaquants peuvent aller jusqu’à compromettre un secteur d’activités tout entier en investissant des ressources limitées. Troisièmement, l’importance d’une entité pour le quotidien des individus peut être sous-estimée jusqu’à ce que son activité soit interrompue. En prenant l’exemple d’un département, Joachim Coqblin explique qu’une cyberattaque contre une collectivité territoriale peut avoir un impact majeur sur la vie des habitants, mais aussi sur l’économie. Un département est, par exemple, responsable du ramassage scolaire, ce qui fait que lorsque ses activités sont interrompues, les collégiens sont obligés de rester chez eux, ainsi que leurs parents qui ne peuvent pas aller travailler, ce qui affecte l’activité économique du territoire.
‍

Préparation, flexibilité et communication : les piliers de la cyberdéfense
‍

La préparation est une dimension capitale de la gestion des cyberattaques. Miguel De Oliveira le résume en une simple phrase : « quel que soit le domaine, quand on n’est pas prêts à une situation de crise et qu’on n’a pas l’expérience, forcément on prend de mauvaises décisions ». En compromettant un système d’information, les attaquants cherchent à exploiter les faiblesses émotionnelles de leurs cibles en les accablant de toute part afin de les pousser à suivre leur stratégie. Guillaume Sangay, DSI d’ITQ Group, confirme cette ambiance anxiogène et exténuante. « Le plus dur, selon lui, c’est de garder la tête froide, c’est de prendre les bonnes décisions. D’un côté, on a l’assurance qui nous dit “arrêtez tout, vous ne touchez à rien pendant un mois, on envoie nos experts.” On a la police qui nous dit “on va envoyer quelqu’un pour étudier, vous ne touchez à rien.” On a la direction générale qui nous demande quand est-ce qu’on reprend ». Pour remédier à cela, les dirigeants peuvent réaliser des simulations de crise et investir dans l’anticipation des risques afin d’aborder les crises potentielles de manière sereine. Ils peuvent aussi faire appel à des fournisseurs de services de sécurité managés (MSSP) comme AISI qui ont l’habitude de faire face à ce genre de situations et peuvent donc alléger la charge de travail des équipes. La préparation a donc son importance, mais pour être utile lors d’une crise, elle doit être associée à une certaine flexibilité afin de réagir avec aise à l’inattendu.

La communication est un autre aspect de la gestion de crise qui a tendance à être sous-estimé. On peut distinguer deux dimensions. D’abord, une communication horizontale entre les équipes en amont et en aval des attaques. En partageant des retours d’expérience sur leurs simulations et leurs performances, les équipes de différents départements peuvent enrichir leurs connaissances, contribuant à un écosystème de cybersécurité performant. Des échanges peuvent, par exemple, être particulièrement fructueux entre les pentesters, chargés de tester les défenses des systèmes, et les analystes SOC, chargés d’identifier les activités suspectes et y remédier, car ils permettent une confrontation des visions offensives et défensives et une meilleure anticipation des menaces.
‍

Un changement de mentalité qui commence à porter ses fruits
‍

La menace cyber est réelle et des moyens conséquents doivent être investis pour la contrer. C’est une évidence pour les DSI, mais pour les dirigeants, ces investissements peuvent ne pas avoir l’air nécessaires jusqu’à ce que leurs organisations soient victimes d’une attaque. Comme Guillaume Sangay le résume, « la DSI propose et la direction générale arbitre ». Avant de chercher à obtenir des budgets cohérents, il s’agit donc de changer la mentalité des dirigeants pour mieux les convaincre. 

À lire aussi : Ransomware : pourquoi restaurer trop vite est une erreur fatale

Le risque cyber a tendance à être traité comme un risque isolé des autres qui ne vaut pas la peine d’être priorisé face à des menaces qui peuvent sembler plus établies. Ce raisonnement occulte cependant les interactions qui existent entre les différents types de risques qui peuvent s’influencer et s’exacerber entre eux. « J’aime bien parler d’un risque cyber qui accélère les autres risques de l’entreprise, explique Miguel De Oliveira. Le risque cyber va accélérer le risque concurrentiel, le risque financier. Donc clairement, quand on explique à une direction générale que le fait de subir une attaque peut faciliter le travail d’un concurrent qui, lui, va pouvoir continuer à servir la clientèle, ou qu’il va aggraver une situation financière un peu compliquée parce qu’on va plus pouvoir émettre de factures ou autres. On a des directions qui sont de plus en plus à l’écoute de ce risque cyber à partir du moment où on l’aligne avec le business ».

Une idée bien ancrée dans les mentalités est qu’un changement de culture peut difficilement avoir lieu tant que les individus ne sont pas confrontés à la réalité d’une cyberattaque. Tout en reconnaissant l’effet d’accélérateur qu’un incident peut avoir sur la prise de conscience des dirigeants, Joachim Coqblin souligne le rôle bénéfique que joue de plus en plus la médiatisation des attaques. « Les fuites qu’il y a eu ces dernières semaines [visant l’ANTS, ainsi que les sites touristiques Pierre & Vacances, Belambra et Gîtes de France] dont on a beaucoup parlé dans la presse, on en a aussi parlé parce que ça concernait tout le monde. C’est son cousin, son voisin, soi-même… Les sites de vacances, c’est les réservations de 5 millions de Français qui sont dans la nature [...] Tout le monde comprend que tout le monde est concerné ».

Bien que les dirigeants soient souvent perçus comme une priorité car ils sont les seuls à pouvoir débloquer des budgets, Joachim Coqblin insiste sur le fait qu’une organisation robuste d’un point de vue cyber ne pourra être obtenue que lorsque l’ensemble des salariés auront non seulement conscience de la menace mais remettront aussi en question leurs pratiques qui facilitent souvent le travail des attaquants.