« Nous sommes une PME, nous n’intéressons personne. » La phrase revient dans presque toutes les conversations sur la sûreté avec des dirigeants d’entreprises de taille moyenne. Elle est rarement prononcée à la légère. Elle repose sur une conviction sincère : les escrocs, les cybercriminels, les concurrents peu scrupuleux ou les services étrangers s’intéresseraient d’abord aux grands groupes, et une entreprise de quarante salariés installée dans une zone d’activité de province passerait sous les radars.
Un aidant cyber bénévole le résumait récemment en commentaire de l’une de nos publications : beaucoup de dirigeants se sentent trop petits pour être ciblés. Les chiffres publiés cet automne par les services de l’État racontent une tout autre histoire.
Ce que voient les services de l’État
Lors des premières Assises de la sécurité économique, le 24 septembre à Bercy, la Direction générale des entreprises a indiqué que son service dédié devrait enregistrer plus de 800 alertes en 2026, soit trois fois plus qu’il y a cinq ans. Elle précise que ces menaces visent désormais tous les types d’entreprises, des grands groupes aux PME et aux start-up. Plus de la moitié des dossiers traités en 2025 concernaient d’ailleurs des entreprises situées hors d’Île-de-France.
Les guides publiés à quelques semaines d’intervalle vont dans le même sens. Celui de la Gendarmerie nationale, diffusé en octobre, juge les PME et ETI particulièrement vulnérables, avec des dispositifs de sûreté plus rudimentaires que ceux des grands groupes et des procédures d’accès parfois informelles. Celui de la DRSD, destiné aux entreprises de la base industrielle de défense, fait le même constat et rappelle que les donneurs d’ordre examinent désormais la sûreté de leurs fournisseurs au moment de les choisir.
Ce qui attire réellement un attaquant
La taille d’une entreprise dit peu de chose de l’intérêt qu’elle suscite. Un attaquant raisonne en valeur et en facilité d’accès. Une PME qui fabrique un composant unique pour un programme industriel, qui détient le fichier clients d’un marché de niche ou qui stocke des métaux recherchés peut valoir davantage qu’un siège social bien gardé.
Elle présente surtout un atout aux yeux de l’adversaire : elle mène souvent vers plus gros qu’elle. Le sous-traitant donne accès aux plans du donneur d’ordre, le prestataire informatique aux réseaux de ses clients, le transporteur aux horaires de livraison. Le guide de la Gendarmerie le formule sobrement : l’attractivité technologique ou industrielle des PME, combinée à leur place dans des chaînes de valeur stratégiques, en fait des cibles.
Le plus souvent, aucune attaque ciblée
L’image d’une attaque sophistiquée, préparée de longue date contre une cible choisie, entretient le malentendu. En mai, le directeur de la DRSD rappelait que 80 % des compromissions sont dues à de simples négligences. Une large part des incidents ne demande ni moyens sophistiqués ni intention ciblée au départ.
Le guide de la Gendarmerie en donne un exemple que beaucoup de dirigeants reconnaîtront. Une PME de services accueille des intérimaires et un stagiaire, sans référent pour les encadrer, avec les mêmes accès informatiques que les salariés permanents. Avant la fin de son contrat, le stagiaire transfère sur sa messagerie personnelle la stratégie commerciale de l’année et des fichiers clients, pour rédiger son rapport de stage. Quelques semaines plus tard, sa boîte mail est piratée et les documents se retrouvent en ligne.
Personne n’avait visé cette entreprise. Elle a pourtant perdu ce qu’elle avait de plus précieux. La conviction d’être trop petit produit exactement cet effet : elle dispense de se poser les questions qui auraient évité l’incident.
Toujours la même mécanique
Nos analyses récentes sur la menace venue de l’intérieur et sur le vol répété d’un métal stratégique dans une usine de l’Isère (lien vers les articles) décrivent des situations très différentes. Elles partagent pourtant un ressort commun. Les failles exploitées étaient rarement techniques : des accès jamais révoqués, des procédures écrites qui n’avaient jamais été éprouvées face à un adversaire réel.
Ces failles existent dans les grandes organisations comme dans les petites. La différence tient à ce que les grandes disposent en général de quelqu’un dont le métier consiste à les chercher. Dans une PME, cette fonction revient au dirigeant, qui a rarement le temps ou les repères pour l’exercer.
Par où commencer sans responsable sûreté
L’État met à la disposition des PME des relais gratuits que peu de dirigeants connaissent. Le référent sûreté de la gendarmerie ou de la police peut venir sur site, examiner les accès et proposer des mesures adaptées à l’activité. Les aidants cyber du dispositif MonAideCyber, porté par l’ANSSI, réalisent un premier diagnostic numérique. Les guides de la Gendarmerie et de la DRSD fournissent des grilles de lecture et des trames directement utilisables.
Avant même de les solliciter, un dirigeant peut se poser une question simple : si quelqu’un voulait s’emparer de ce que détient mon entreprise, par où passerait-il ? Ceux qui y répondent honnêtement en concluent rarement qu’ils sont trop petits pour intéresser qui que ce soit.
Nos analyses paraissent deux fois par mois, nourries de l’expérience du terrain. Les abonnés à la lettre AD UNUM les reçoivent directement dans leur boîte mail, avant leur publication sur LinkedIn. L’inscription est gratuite.
Laisser un commentaire