Le rançongi­ciel (attaque avec demande de rançon) demeure une men­ace majeure selon le rap­port.

Depuis 2021, les PME sont sys­té­ma­tique­ment la caté­gorie la plus touchée par les rançongi­ciels. En 2025, elles représen­tent 48 % des vic­times de rançongi­ciels, soit près d’1 vic­time sur 2.

Par­al­lèle­ment, le rap­port souligne la forte pro­gres­sion du chan­tage par le vol de don­nées. Dans ce scé­nario, les attaquants ne blo­quent plus néces­saire­ment les sys­tèmes : ils men­a­cent sim­ple­ment de pub­li­er les don­nées volées.

Comme le rap­pelle l’ANSSI, ces exfil­tra­tions de don­nées (vols de don­nées) peu­vent entraîn­er un risque répu­ta­tion­nel impor­tant, sus­cep­ti­ble d’affecter la con­fi­ance des clients et par­fois la survie économique de l’entreprise.

« Ces exfil­tra­tions de don­nées – quelle que soit leur nature – et leur médi­ati­sa­tion font peser un risque répu­ta­tion­nel sub­stantiel sur les vic­times.
Elles risquent de per­dre la con­fi­ance de leurs clients ou voir leur survie économique affec­tée. »
— Panora­ma de la cyber­me­n­ace 2025, ANSSI

L’ANSSI souligne que l’IA généra­tive con­stitue un poten­tiel accéléra­teur des capac­ités offen­sives des attaquants.

Par exem­ple, elle peut faciliter la dif­fu­sion de fauss­es infor­ma­tions à grande échelle, la créa­tion de faux pro­fils d’entreprises ou d’employés sur les réseaux soci­aux, ain­si que la généra­tion de con­tenus d’hameçonnage plus crédi­bles.
L’IA peut aus­si servir au pro­fi­lage des vic­times ou à la con­cep­tion de pro­grammes malveil­lants.

Cepen­dant, l’ANSSI souligne que ces out­ils sont aujourd’hui prin­ci­pale­ment util­isés comme assis­tants pour les attaquants. Elle n’a pas eu con­nais­sance d’at­taque con­duite seule par une IA.

Les attaques les plus vis­i­bles n’ont pas dis­paru, mais une part crois­sante des com­pro­mis­sions est désor­mais plus dis­crète.

Les attaquants utilisent de plus en plus des ser­vices légitimes — cloud, out­ils d’accès à dis­tance, ser­vices web — pour se fon­dre dans le traf­ic nor­mal et com­pli­quer la détec­tion.
Ils peu­vent ain­si rester des mois dans un sys­tème d’information avant d’exfiltrer des don­nées ou de déclencher une attaque plus vis­i­ble.

Pour les entre­pris­es, cette évo­lu­tion sig­ni­fie que cer­taines intru­sions peu­vent pass­er inaperçues pen­dant une péri­ode pro­longée, ren­dant la détec­tion de la cyber­me­n­ace plus com­plexe.

Avec l’aide de l’IA ou d’autres tech­niques tou­jours plus sophis­tiquées, les tech­niques d’ingénierie sociale (exploita­tion humaine) devi­en­nent plus dif­fi­ciles à détecter.

Par exem­ple, la tech­nique appelée « Click­Fix », en forte hausse en 2025, incite un indi­vidu à exé­cuter lui-même des com­man­des malveil­lantes sous cou­vert de faux mes­sages tech­niques (ex : faux captcha).

« Sans avoir besoin d’une haute tech­nic­ité, les attaquants con­tin­u­ent d’exploiter les biais inhérents à la nature humaine, entre autres en s’appuyant sur le bon vouloir des per­son­nes ciblées. » — Panora­ma de la cyber­me­n­ace 2025, ANSSI

Pass­er par un four­nisseur pour attein­dre une entre­prise cible est une pra­tique con­nue depuis plus de dix ans.

Le rap­port 2025 de l’ANSSI observe cepen­dant une mul­ti­pli­ca­tion des attaques pas­sant par les sous-trai­tants (ex. ser­vice cloud) et prestataires infor­ma­tiques, au sein de la chaîne d’ap­pro­vi­sion­nement.

En com­pro­met­tant un four­nisseur, les attaquants peu­vent en effet accéder aux sys­tèmes ou aux don­nées de ses entre­pris­es clientes.

Pour une PME, cela sig­ni­fie que la sécu­rité de l’entreprise dépend aus­si du niveau de sécu­rité de ses parte­naires et four­nisseurs.

L’ANSSI souligne que plusieurs régle­men­ta­tions européennes – notam­ment la direc­tive NIS2 (Net­work and Infor­ma­tion Secu­ri­ty Direc­tive 2) et le CRA (Cyber Resilience Act) – visent à élever le niveau glob­al de cyber­sécu­rité.

À cela s’ajoute la régle­men­ta­tion européenne DORA (Dig­i­tal Oper­a­tional Resilience Act) pour le secteur financier.

Ces textes auront aus­si un impact direct sur un grand nom­bre de PME.
Même lorsqu’elles ne sont pas directe­ment visées par ces textes, de nom­breuses PME ver­ront leurs clients, don­neurs d’ordre ou prestataires exiger un niveau de sécu­rité plus élevé.

Le Panora­ma 2025 le prou­ve : les cyber­crim­inels exploitent autant les failles d’organisation et les erreurs humaines que les failles infor­ma­tiques. Pour une PME, la pri­or­ité est de pos­er un diag­nos­tic pour éval­uer l’im­pact d’une attaque sur l’en­tre­prise afin de pri­oris­er ses investisse­ments, plutôt que de sécuris­er à l’aveu­gle.

Face à des attaquants qui com­bi­nent habile­ment ruse humaine et failles tech­niques, la sécuri­sa­tion d’une entre­prise doit impéra­tive­ment repos­er sur deux piliers :

• Tech­nique : Sécuris­er les accès aux sys­tèmes et main­tenir un niveau de pro­tec­tion adap­té.
  
• Organ­i­sa­tion­nelle : Sen­si­bilis­er et for­mer les col­lab­o­ra­teurs pour blo­quer les ten­ta­tives de manip­u­la­tion.

Les ten­dances soulignées par le Panora­ma 2025 l’il­lus­trent : une cyber­at­taque n’est pas un sim­ple inci­dent tech­nique, c’est une crise qui peut paral­yser l’ac­tiv­ité (pro­duc­tion blo­quée, salariés à l’arrêt, perte de con­fi­ance des clients).

Elle con­cerne donc directe­ment la direc­tion. Pour l’ANSSI, la capac­ité de pré­pa­ra­tion dépend avant tout d’une organ­i­sa­tion claire, qui implique de struc­tur­er deux piliers :

• Une gou­ver­nance de la cyber­sécu­rité : fix­er des pri­or­ités, super­vis­er les pro­jets, définir les rôles et respon­s­abil­ités.
  
• Des plans de con­ti­nu­ité doc­u­men­tés : dis­pos­er de procé­dures pour ne pas impro­vis­er lorsque les sys­tèmes devi­en­nent indisponibles.