Le risque cyber, premier risque encouru par les entreprises

En France, les attaques informatiques ou actes de malveillance informatique à des fins notamment d’extorsion se maintiennent à un niveau élevé, comme en témoigne le nombre total d’attaques par rançongiciel (ou ransomware) portées à la connaissance de l’ANSSI, comparable à celui relevé sur la même période en 2023⁽¹⁾.

Les entreprises en sont les premières victimes : 49 % des cyberattaques visaient des entreprises en 2024, dont 37% les TPE/PME et ETI⁽¹⁾, plaçant le risque cyber en tête des risques encourus.

Les TPE/PME davantage exposées aux cyber risques

Les cyber risques augmentent d’année en année, et l’amélioration de la cyberdéfense des grandes entreprises semble avoir reporté cette cybercriminalité vers les petites et moyennes entreprises, plus vulnérables. Depuis la crise sanitaire et le développement du télétravail, la situation s’est encore aggravée, les salariés utilisant leur propre matériel informatique et leurs appareils mobiles sans véritable souci de sécurité informatique, un terrain d’attaque propice aux cybercriminels.

Aucun secteur d’activité ne semble épargné : toutes les entreprises peuvent faire l’objet d’une cyberattaque, en particulier celles gérant des fichiers clients contenant des données personnelles.

Or, seules 38 % des entreprises sont conscientes d’être fortement exposées aux risques de cyberattaques en France⁽⁴⁾ (près de 41% pensent être faiblement exposées à ces risques et 21% l’ignorent⁽⁴⁾). Et 6 entreprises sur 10 s’estiment faiblement protégées en matière de cybersécurité (42%) ou reconnaissent ne pas savoir évaluer leur niveau de protection (19 %)⁽⁴⁾. Un constat d’autant plus inquiétant que 72 % des TPE/PME ne disposent d’aucun salarié dédié à la cybersécurité, et 78 % se sentent insuffisamment préparées aux menaces⁽⁴⁾.

Ce qui explique une réactivité limitée face aux failles de sécurité : le délai moyen de correction d’une vulnérabilité cyber est de 215 jours⁽⁵⁾.

Les cyber menaces les plus répandues

Évoluant rapidement et prenant de nombreuses formes (piratage de compte, rançongiciel, hameçonnage, déni de service distribué...), les cyberattaques représentent une réelle menace pour l'activité des TPE/PME. En votre qualité de dirigeant, il est donc nécessaire et primordial de bien comprendre les mécanismes des cyberattaques les plus courantes pour s’en prémunir efficacement.

Le rançongiciel ou ransomware : la prise en otage de données

C’est l’une des principales menaces des systèmes informatiques des entreprises.

Les attaques par rançongiciel continuent de cibler majoritairement les entreprises et les professionnels (65 %) et restent l'un des principaux motifs de recherche d’assistance sur la plateforme Cybermalveillance.gouv.fr en 2024⁽⁶⁾.

Le rançongiciel (ransomware en anglais) est un programme malveillant qui prend en otage les données des entreprises en les chiffrant, aussi bien à l'échelle d'un poste d’ordinateur que de tout le réseau informatique. Ce chiffrement rend de fait impossible l'utilisation et l'accès aux données, paralysant tout ou partie de l'activité de l'entreprise victime. Une rançon (la plupart du temps une somme d’argent) est généralement réclamée en échange de la clé de déchiffrement nécessaire à la libération des données.

Fréquemment, ce type de cyberattaques s'accompagne d'un vol de données et d'une destruction préalable des sauvegardes, lesquelles la plupart du temps, sont rendues possibles par une intrusion sur le réseau de l'entreprise, soit par accès à distance, soit par la compromission de l'équipement d'un salarié. On citera à titre d’exemple :

• l’ouverture d’un courriel malveillant et de sa pièce jointe,

• un clic sur un lien inconnu d’un site ou un courriel,

• un téléchargement d’un logiciel inconnu ou piraté.

L’hameçonnage ou phishing, une technique frauduleuse pour extorquer des informations confidentielles

Les attaques par e-mail de type hameçonnage (phishing en anglais) ont également été massives et touché de nombreuses entreprises en 2024. L’hameçonnage concentre à lui seul près de 21% des requêtes des PME sur la plateforme Cybermalveillance.gouv.fr en 2024⁽⁶⁾.

Cette technique s'appuie sur l’envoi de mails, SMS et QR code contrefaits, provenant notamment d'institutions officielles, d'organismes bancaires ou encore d’un fournisseur d'accès à Internet. En usurpant l’identité d’un tiers de confiance, les cyber-malfaiteurs cherchent à dérober des données confidentielles (mots de passe, informations personnelles ou bancaires, ...) qu’ils pourront ensuite réutiliser, comme par exemple :

• le numéro d’une carte de crédit ;

• les identifiants et mots de passe de comptes utilisateurs ;

• des informations personnelles et nominatives (adresse, numéro de sécurité sociale...).

Avec, pour conséquences possibles, le piratage de comptes professionnels de messagerie ou d'accès aux systèmes d'information, l'intrusion sur le réseau de l'entreprise ou encore la fraude aux faux ordres de virement.

Le déni de service distribué (DdoS) et le défaçage : des attaques qui perturbent les systèmes d’information

Les attaques par déni de service distribué (3,5%)⁽⁶⁾, Distributed denial of Service (DdoS) en anglais, et les défigurations de site Internet (4%) représentent une autre menace à ne pas négliger pour les entreprises.

Ces attaques dites « de perturbation » ont pour objectif de bloquer un réseau et/ou système d’information et de saturer un serveur en l'inondant de requêtes fictives grâce à un « réseau zombie ». Celui-ci est composé d'un grand nombre d'ordinateurs infectés et exploités à distance par un pirate à l'insu de leur propriétaire.

Les conséquences induites du déni de service distribué sont multiples, par exemple :

• une forte dégradation de la qualité du service ou un fort ralentissement du site web de l’entreprise de manière à le rendre inexploitable par les utilisateurs ;

• une panne du serveur et des applications métiers ;

• un arrêt du système d’information et une impossibilité d’accéder aux données de l’entreprise…

Cyberattaques : quelles conséquences pour votre entreprise ?

Les cyberattaques peuvent déstabiliser votre entreprise à de multiples niveaux. Par effet domino, elles provoquent des conséquences en cascade pouvant être dévastatrices pour votre activité et sa pérennité.

Le vol ou la destruction de données confidentielles

En altérant l’intégrité, la disponibilité et la confidentialité des systèmes d’information, la plupart des attaques cyber ont pour but d’extorquer, de détourner, de manipuler, de divulguer ou de détruire des données confidentielles ou commerciales, constituant la valeur marchande et stratégique des entreprises.

À titre d’exemple, le vol d’informations industrielles constitue un risque majeur pour les entreprises, cet acte malveillant consistant à voler un procédé de fabrication ou des données industrielles. L’ampleur des impacts peut être monumentale : de la concurrence déloyale à la fragilisation d’un opérateur d’importance vitale, en passant par la contrefaçon.

Autre risque, si votre entreprise fournit et/ou exploite des données à caractère personnel, une cyberattaque peut engager sa Responsabilité Civile : elle peut être alors contrainte de verser des indemnités aux victimes dont les données auraient été divulguées vos clients, vos fournisseurs, partenaires, etc.

L’interruption du réseau et/ou la paralysie des systèmes d’information

Une cybersécurité défaillante, entraînant de facto un accroissement des menaces sur les systèmes d’information, peut aussi avoir un impact direct sur la pérennité de votre TPE/PME en bloquant son réseau ou en rendant ses systèmes d’informations inopérants.

Dans une grande majorité des cas, l’attaque se traduit par un ralentissement ou un blocage des systèmes informatiques d’administration, de gestion, de production ou de distribution. C’est notamment le cas lors d’une attaque par ransomware avec cryptage des données en vue du paiement d’une rançon, afin d’obtenir un code de déchiffrement des données.

L’arrêt de l’activité

L’indisponibilité des logiciels ou des bases de données peuvent contraindre vos salariés au chômage technique. Une fois bloquée, votre entreprise ne fonctionne plus et subit une perte d'exploitation.

Cet arrêt de l’activité pénalise son chiffre d’affaires et met en péril son équilibre financier.

Des préjudices d’atteinte à l’image et à la réputation

Outre les conséquences techniques et financières particulièrement néfastes, les cyberattaques laissent des traces non négligeables en matière de réputation. L’image de votre entreprise peut s’en trouver durablement dégradée, aussi bien auprès de vos clients et de vos fournisseurs, que de vos partenaires et salariés.

Preuve que la réputation est en partie en jeu dans la dégradation économique de l’entreprise consécutive à une cyberattaque, le risque de défaillance de l’entreprise augmenterait d’environ 50 % dans les 6 mois qui suivent l’annonce de l’incident cyber⁽³⁾.

51% des entreprises admettent en effet subir une perte durable de leur clientèle (perte de confiance) après une violation des données⁽⁹⁾ et avoir fait l’objet d’une surveillance réglementaire accrue.

Un contexte favorable aux cyberattaques

Nombreuses sont aujourd’hui les cyberattaques à perturber l’activité des TPE/PME françaises. Ce phénomène s’inscrit dans un contexte géopolitique particulièrement propice à la prolifération des menaces numériques : tensions internationales, conflits prolongés et stratégies de déstabilisation alimentent une intensification des offensives informatiques.

En parallèle, la transformation numérique accélérée, la généralisation du télétravail et le manque de ressources spécialisées rendent les petites structures plus vulnérables. Perçues comme des maillons faibles dans les chaînes de sous-traitance ou comme portes d’entrée vers de plus grandes organisations car moins protégées, les TPE/PME deviennent des cibles privilégiées pour les hackers. Le manque de sensibilisation et la faible culture du risque cyber, la méconnaissance des obligations réglementaires et la faiblesse des moyens techniques pour se défendre (outils de sécurité insuffisants, absence de dispositifs de surveillance…) renforcent cette exposition croissante au risque cyber : ils créent un terreau favorable à des intrusions de plus en plus fréquentes, discrètes et coûteuses.

Des menaces à prendre d’autant plus au sérieux que les actes de cybercriminalité, qui ne cessent de se professionnaliser pour profiter des faiblesses techniques des petites entreprises, devraient encore s’amplifier dans les années à venir, avec l’émergence de l’Intelligence Artificielle et de nouvelles technologies ultra-performantes.

Une assurance pour se protéger contre les risques cyber

Les attaques cyber font désormais partie du quotidien des entreprises, quelle que soit leur taille. Or, alors même que le risque cyber représente une réelle menace à ne pas négliger, seules 13,5% des PME et 27% des TPE sont actuellement couvertes par une cyber assurance⁽¹⁰⁾.

Dirigeant de TPE/PME, pour ne pas mettre en péril votre activité, il convient de mettre en œuvre toutes les mesures de protection et de sécurité nécessaires pour vous prémunir contre les tentatives de vol, de perte ou de diffusion de vos données (financières, techniques, commerciales…), et donc de votre patrimoine informationnel. D’autant plus si ces données stratégiques sont essentielles à votre activité.

Assurer le risque cyber ne devrait plus être une option : ne pas être assuré contre la cybercriminalité, c’est un peu comme ne pas être assuré contre le risque d'incendie !

Avec Groupama, un accompagnement dédié en cas de cyberattaque

Groupama a choisi de s’associer à des acteurs labellisés pour concevoir Groupama Cyber Up, l’offre d’assurance spécifiquement dédiée à la couverture des risques cyber pour les TPE/PME.

En cas de survenances d’actes de malveillance informatique, une équipe de cyber experts se tient prête à intervenir 24h/24 et 7j/7 pour limiter les dommages et permettre à votre entreprise de reprendre le cours de son activité le plus rapidement possible. Elle est assistée par des experts juridiques qui aident votre entreprise à répondre à ses obligations réglementaires en cas d’atteinte aux données à caractère personnel.

Les garanties prévues au contrat prévoient également une indemnisation des frais et des pertes subies par votre entreprise. La restauration du système d’information, le remplacement des logiciels infectés ou la reconstitution des données détruites sont ainsi pris en charge. Notre assurance cyber couvre enfin les conséquences pécuniaires de la Responsabilité Civile de votre entreprise en cas de réclamation d’un tiers, un client par exemple, pour atteinte aux données à caractère personnel.

Souscrire une assurance cyber représente un investissement nécessaire, mais son coût sera toujours inférieur aux conséquences d’une cyberattaque.

L’assurance cyber fait donc aujourd’hui partie des outils de protection indispensables de votre activité.