Les 5 principales menaces de cybersécurité pour les PME en 2025

En 2025, les PME européennes seront confrontées à des cybermenaces croissantes, qu'il s'agisse de phishing, de ransomware ou de risques internes. Découvrez les cinq principales menaces de cybersécurité pour les PME et comment les atténuer grâce à des solutions pratiques et évolutives.

Les 5 principales menaces de cybersécurité pour les PME en 2025 et les moyens de s'en prémunir

Le paysage des menaces de cybersécurité auxquelles sont confrontées les petites et moyennes entreprises (PME) en Europe s'est intensifié au cours de l'année écoulée. Les attaquants étant de plus en plus organisés et opportunistes, les PME sont de plus en plus ciblées en raison de leur manque apparent de défenses solides. Les premières conclusions de 2024 indiquent que les cybercriminels se détournent des grandes entreprises pour se concentrer sur les organisations de taille moyenne qui manquent souvent de ressources pour réagir efficacement.

Rien qu'en Allemagne, 73 % des PME auront subi au moins une cyberattaque en 2023, selon Bitkom. Ce chiffre met en évidence l'ampleur croissante du problème et souligne la nécessité urgente de renforcer les mesures de cybersécurité dans le secteur des PME. Les PME sont particulièrement vulnérables parce qu'elles disposent souvent de budgets informatiques limités, qu'elles utilisent des systèmes obsolètes et qu'elles n'ont pas de personnel dédié à la sécurité. Beaucoup d'entre elles sous-estiment également leur attrait pour les cybercriminels, ce qui en fait des cibles plus faciles.

Les 5 principales menaces de cybersécurité pour les PME en 2025

1. Phishing et ingénierie sociale

Le phishing reste le point d'entrée le plus courant pour les cyberattaques contre les PME, en particulier dans la région DACH, où les attaquants se font de plus en plus souvent passer pour des cadres, des fournisseurs ou des agences gouvernementales. Ces escroqueries s'appuient sur des tactiques d'ingénierie sociale pour inciter les employés à partager leurs identifiants de connexion, à effectuer des paiements ou à ouvrir des pièces jointes malveillantes.

Les PME sont particulièrement exposées en raison d'une formation limitée et de défenses moins sophistiquées contre les courriels. Nombre d'entre elles ne disposent pas de protocoles clairs pour vérifier les demandes inhabituelles, ce qui les rend plus vulnérables à ce que l'on appelle la "fraude au PDG" et aux escroqueries à la facture. Au Royaume-Uni, 84 % des entreprises ayant subi des atteintes à la cybersécurité ou des attaques ont été confrontées à des tentatives d'hameçonnage en 2024.

Pour y remédier, les PME devraient investir dans des programmes structurés de sensibilisation des employés. La formation à la sécurité devrait être obligatoire et continue, et non pas ponctuelle. Les campagnes de simulation d'hameçonnage sont un moyen efficace d'aider le personnel à reconnaître les signaux d'alerte dans des scénarios réels. Sur le plan technique, des outils avancés de filtrage du courrier électronique peuvent détecter et bloquer les contenus malveillants avant qu'ils n'atteignent les boîtes de réception. Ces outils devraient être associés à des protections au niveau du domaine telles que DMARC, SPF et DKIM afin d'éviter les courriels usurpés.

2. Ransomware

Les rançongiciels restent une menace de premier plan pour les PME en 2025, tant en termes de fréquence que de gravité. Les groupes criminels ont fait évoluer leurs tactiques : au lieu de se contenter de chiffrer les données, ils les exfiltrent d'abord, menaçant de divulguer des informations sensibles si une rançon n'est pas versée. Pour les PME, cette double stratégie d'extorsion comporte un risque juridique et de réputation encore plus grand, en particulier dans le cadre du GDPR. Une étude de June 2024 indique que 75 % des PME auraient du mal à poursuivre leurs activités si elles étaient la cible d'attaques par ransomware.

Les points d'entrée typiques sont bien connus : courriels d'hameçonnage avec pièces jointes malveillantes, vulnérabilités logicielles non corrigées et services d'accès à distance exposés tels que RDP. Une fois à l'intérieur, les attaquants se déplacent latéralement dans le réseau, identifient les données précieuses et exécutent le chiffrement. Pour les PME qui ne disposent pas de réseaux segmentés ou d'une surveillance active, ces étapes peuvent passer inaperçues jusqu'à ce qu'il soit trop tard ; l'atténuation des ransomwares nécessite à la fois de la préparation et de la prévention.

• Tout d'abord, les PME doivent mettre en œuvre une stratégie de sauvegarde solide. Les sauvegardes doivent être automatiques, chiffrées et stockées dans un endroit inaccessible aux ransomwares, idéalement à l'aide d'un stockage immuable cloud ou de sauvegardes hors ligne. Ces sauvegardes doivent être testées régulièrement pour s'assurer qu'elles peuvent être restaurées rapidement sous pression.

• Deuxièmement, la segmentation du réseau est essentielle. Restreindre l'accès entre les départements ou les systèmes empêche les ransomwares de se propager sans contrôle. Associée à la protection des points d'extrémité et aux outils EDR, cette mesure permet d'arrêter une attaque à un stade précoce, avant que les dégâts ne soient étendus.

• Un plan d'intervention efficace est tout aussi important. Le personnel doit savoir comment isoler les machines infectées, alerter le service informatique et commencer le confinement. Des exercices réguliers sur table peuvent faire de ce processus une seconde nature.

3. Systèmes et logiciels obsolètes

L'utilisation de systèmes obsolètes est l'une des vulnérabilités les plus courantes et les plus faciles à exploiter dans les petites et moyennes entreprises. En 2023, plus d'un tiers des PME dans le monde utilisaient encore des systèmes d'exploitation non pris en charge ou des logiciels anciens. Ces outils obsolètes contiennent souvent des failles de sécurité connues que les pirates peuvent exploiter avec un minimum d'effort.

Les anciens systèmes peuvent être profondément ancrés dans les opérations, de sorte que les mises à niveau semblent risquées ou perturbatrices. Cependant, plus longtemps ces systèmes ne sont pas corrigés ou ne sont pas pris en charge, plus ils sont exposés à des attaques qui pourraient paralyser l'entreprise.

• Une approche structurée de la gestion des correctifs est essentielle. Les PME devraient tenir à jour un inventaire de tous les biens matériels et logiciels et surveiller les avis de fin de vie envoyés par les fournisseurs.

• Des cycles réguliers d'application de correctifs (une fois par mois au minimum) garantissent que les vulnérabilités critiques sont comblées dès que des correctifs sont disponibles. Lorsque l'application automatique des correctifs est possible, elle doit être activée par défaut.

• Lorsque les mises à niveau ne sont pas immédiatement possibles, des contrôles compensatoires tels qu'une segmentation stricte du réseau et la limitation de l'accès à l'internet pour les systèmes existants peuvent réduire l'exposition. En isolant ces systèmes des parties plus sensibles du réseau, on peut empêcher un pirate de les utiliser comme point de départ d'une compromission plus large.

Parallèlement, les PME devraient commencer à planifier des transitions à long terme pour s'affranchir des plateformes non prises en charge. La migration des charges de travail critiques vers des environnements cloud ou des infrastructures modernes permet des mises à jour de sécurité plus robustes et automatisées et comprend souvent des outils de conformité et de surveillance intégrés dont les environnements existants sont dépourvus.

4. Contrôles d'accès insuffisants

Les contrôles d'accès faibles ou mal configurés sont une cause fréquente de violations dans les PME. Sans restrictions appropriées sur qui peut accéder à quoi, les attaquants qui compromettent un seul compte peuvent souvent se déplacer librement à travers un réseau. Ce problème s'est aggravé avec l'essor du travail à distance et des services cloud , qui permettent aux employés d'accéder à des systèmes sensibles à partir d'une multitude d'appareils et d'endroits.

84 % des organisations ont subi une violation d'identité en 2023, dont beaucoup découlent de contrôles manquants ou mal mis en œuvre, comme l'authentification multifactorielle (MFA) ou des autorisations d'utilisateur excessives. Dans les PME, il est courant de trouver des identifiants partagés, des comptes d'administrateur utilisés pour des tâches de routine, et peu ou pas de gestion formelle des identités. Ces pratiques créent une exposition inutile et rendent difficile la maîtrise d'un incident une fois qu'un compte d'utilisateur est compromis.

• L'amélioration des contrôles d'accès commence par l'application de l'AMF dans tous les systèmes critiques, y compris le courrier électronique, les VPN, les plateformes cloud et les consoles d'administration. Cette seule mesure réduit considérablement le risque de prise de contrôle d'un compte. Les politiques relatives aux mots de passe devraient également exiger des identifiants forts et uniques et interdire leur réutilisation.

• Le principe du moindre privilège est tout aussi important. Chaque utilisateur ne doit avoir accès qu'aux données et aux systèmes dont il a besoin pour faire son travail, rien de plus. Cela nécessite des contrôles d'accès basés sur les rôles et des révisions périodiques des autorisations des utilisateurs pour s'assurer qu'elles restent appropriées lorsque les rôles changent.

• L'accès à distance doit être étroitement géré. Les services tels que RDP ou SSH ne devraient jamais être exposés directement à l'internet. Les PME devraient plutôt utiliser des VPN sécurisés avec MFA et envisager des politiques contextuelles (telles que le geofencing ou la confiance dans les appareils) pour une protection accrue.

• Les PME devraient également envisager d'adopter des cadres d'accès au réseau sans confiance (Zero-Trust Network Access - ZTNA). Au lieu de faire confiance aux utilisateurs par défaut une fois qu'ils sont à l'intérieur du réseau, ZTNA vérifie en permanence chaque demande sur la base de l'identité, de la position de l'appareil et du contexte. Cette approche limite les mouvements latéraux et garantit que même si un identifiant est compromis, les attaquants ne peuvent pas facilement escalader leur accès.

Le contrôle d'accès ne se limite pas à la prévention des attaques externes. Il permet également de limiter les dommages causés par les erreurs internes ou les abus, qui sont fréquents dans les petites organisations dépourvues de contrôle informatique formel. En traitant l'identité comme une frontière de sécurité, les PME peuvent renforcer considérablement leur résilience face à un large éventail de menaces.

5. Menaces d'initiés

Les menaces d'initiés restent l'un des défis les plus difficiles à relever en matière de cybersécurité pour les PME. Ces menaces peuvent provenir d'employés actuels ou anciens, de sous-traitants ou de partenaires commerciaux qui ont ou avaient un accès légitime à des systèmes ou à des données. Bien qu'il existe des initiés malveillants, la majorité des incidents ne sont pas intentionnels et résultent d'une négligence, d'une mauvaise formation ou de droits d'accès trop larges.

Selon le rapport 2024 de l'Institut Ponemon sur les menaces d'initiés, 56 % des incidents de sécurité liés à des initiés ont été causés par la négligence, et non par l'intention. Dans les PME, où les processus informels et les équipes soudées sont courants, le risque d'exposition accidentelle est souvent sous-estimé.

Parmi les exemples les plus courants, on peut citer l'envoi par les employés de fichiers sensibles vers des courriels personnels, l'utilisation de clés USB non sécurisées ou la mauvaise configuration des paramètres de stockage cloud . Ces actions peuvent ne pas sembler dangereuses sur le moment, mais elles peuvent entraîner des violations de données importantes, des pertes financières ou des conséquences réglementaires si des informations personnelles ou des informations sur les clients sont exposées.

• Pour y remédier, les PME doivent établir des politiques claires en matière de gouvernance des données et d'utilisation acceptable. Le personnel doit savoir exactement quelles données peuvent être partagées, où elles peuvent être stockées et comment elles doivent être traitées. Les formations de sensibilisation à la sécurité devraient inclure des exemples concrets de violations accidentelles et souligner l'importance de la vigilance.

• D'un point de vue technique, les outils de surveillance de l'activité des utilisateurs et de prévention des pertes de données (DLP) peuvent mettre en évidence des comportements inhabituels, tels que des transferts de fichiers importants, l'utilisation d'appareils non autorisés ou l'accès à des documents à diffusion restreinte. Si la prévention des pertes de données à grande échelle peut s'avérer trop complexe pour certaines PME, la surveillance et l'enregistrement de l'accès aux données sensibles constituent un bon point de départ.

• L'accès doit également être étroitement contrôlé et faire l'objet d'un examen régulier. Les comptes des anciens employés doivent être désactivés dès leur départ. L'accès privilégié doit être limité à quelques utilisateurs de confiance et les journaux d'activité administrative doivent être vérifiés périodiquement.

Les menaces internes ne sont pas toujours le résultat d'une mauvaise intention, mais en l'absence de mesures de protection adéquates, même une simple erreur peut avoir de graves conséquences.

De la prise de conscience à l'action

Pour les PME en Europe, et plus particulièrement dans la région DACH, la cybersécurité en 2025 est plus complexe et impitoyable que jamais. Qu'il s'agisse d'hameçonnage, de ransomware, d'infrastructures obsolètes, de contrôles d'accès faibles ou de menaces internes, les petites entreprises sont confrontées aux mêmes risques que les grandes, mais souvent avec beaucoup moins de ressources.

Ce qui lie ces cinq menaces entre elles, c'est qu'elles peuvent être évitées. Dans la plupart des cas, les brèches ne se produisent pas parce que les attaquants sont exceptionnellement sophistiqués, mais parce que les défenses de base étaient absentes ou mal configurées. Les systèmes obsolètes ne sont pas corrigés. Les employés ne sont pas formés à la détection des courriels d'hameçonnage. L'accès est accordé de manière trop large et réexaminé trop rarement.

C'est pourquoi la cybersécurité ne peut plus être considérée comme une simple question de technologie de l'information ; elle relève de la responsabilité des dirigeants. Les décideurs des PME doivent veiller à ce que la gestion des risques, la formation du personnel et les mises à niveau technologiques soient prioritaires par rapport aux autres fonctions essentielles de l'entreprise. Même des améliorations progressives de la posture de sécurité peuvent faire une différence significative dans un environnement où les attaquants cherchent la cible la plus facile.

Si vous ne savez pas par où commencer ou comment développer vos capacités de cybersécurité, Getronics offre une gamme de solutions adaptées aux PME, y compris des évaluations des risques, une détection et une réponse gérées, et une formation de sensibilisation à la sécurité. Visitez notre page Services de sécurité pour savoir comment nous pouvons vous aider à franchir la prochaine étape vers une entreprise plus sûre.