Selon le baromètre France Num 2026, 39 % des TPE-PME ont subi un incident cyber en douze mois, surtout par hameçonnage, alors que seules 39 % utilisent la double authentification.
Près de quatre TPE-PME sur dix ont subi au moins un incident cyber en douze mois. Le chiffre, 39 %, vient du baromètre France Num publié le 28 septembre par la Direction générale des Entreprises. L’écart surprend : 84 % de ces entreprises déclarent pourtant au moins une mesure de protection.
Hameçonnage en tête : ce que révèle le baromètre France Num 2026
L’enquête porte sur 9 655 entreprises, dont 6 786 TPE. Les incidents les plus souvent cités relèvent de l’hameçonnage, ces faux messages qui imitent une banque ou un fournisseur pour voler des identifiants. Le baromètre ne détaille pas la suite du classement.
Côté protections, 80 % des répondants déclarent un antivirus et 67 % une sauvegarde externe. L’authentification multifacteur, qui ajoute au mot de passe un code reçu sur téléphone, plafonne à 39 %. C’est le même taux que celui des entreprises touchées, par simple coïncidence.
L’écart s’explique en partie. Un antivirus n’empêche pas un salarié de taper son mot de passe sur une fausse page de connexion. Sans second facteur, ce mot de passe suffit à ouvrir la messagerie ou le back-office.
Avoir des protections et subir un incident restent deux questions distinctes. Les données ne mesurent pas l’efficacité réelle des outils déclarés. Elles ne relient pas non plus les incidents à l’usage de l’IA, adoptée par 40 % des TPE-PME.
Cinq réflexes pour limiter le risque d’incident cyber
Un identifiant volé ne sert presque à rien si l’accès réclame un code sur téléphone. À nos yeux, la priorité est donc d’activer la double authentification sur tous les comptes d’administration :
- le back-office WordPress ou PrestaShop ;
- l’espace client de l’hébergeur ;
- la messagerie ;
- le compte du registrar, la société qui gère le nom de domaine.
Ce dernier compte est souvent oublié. Il suffit pourtant à détourner un site entier.
Vient ensuite la formation de l’équipe : vérifier l’adresse d’un expéditeur, ne jamais se connecter depuis un lien reçu. Troisième réflexe, restaurer la sauvegarde externe sur un environnement de test au moins une fois par trimestre. Une copie jamais restaurée ne garantit rien. Relisez aussi votre contrat d’hébergement : le délai de remise en ligne y manque souvent.
Les mises à jour de sécurité du CMS, des modules et des serveurs s’appliquent sans attendre, et les comptes d’anciens prestataires se suppriment. Dernier réflexe, préparer la réponse à l’avance en suivant les consignes du CERT-FR : tenir une liste de contacts, isoler du réseau la machine touchée sans l’éteindre, conserver les traces de l’attaque.
Une fois l’attaque survenue, cybermalveillance.gouv.fr oriente vers des prestataires référencés. Le 17Cyber, guichet en ligne de l’État, aide à qualifier les faits. La plainte se dépose au commissariat ou à la gendarmerie. Une fuite de données clients doit être notifiée à la CNIL sous 72 heures.
