Imaginez lundi matin.
Les ordinateurs démarrent normalement.
La messagerie fonctionne.
Le logiciel de facturation fonctionne.
Le serveur de fichiers fonctionne.
Les salariés travaillent.
Aucun écran rouge.
Aucun message de rançon.
Aucun fichier chiffré.
Tout semble normal.
Puis le dirigeant reçoit un email :
Nous avons copié vos données clients, vos contrats, vos documents RH et vos données financières. Payez, sinon elles seront publiées.
C’est probablement l’un des scénarios cyber les plus dérangeants aujourd’hui.
Parce que pendant des années, nous avons appris aux entreprises à reconnaître une attaque par ses conséquences visibles.
Le serveur tombe.
Les fichiers deviennent illisibles.
Une demande de rançon apparaît.
Mais les cybercriminels changent de méthode.
Ils n’ont plus forcément besoin de casser votre système.
Parfois, il leur suffit de prendre vos données et de repartir.
L’ANSSI observe clairement cette évolution
Ce n’est pas une hypothèse.
Dans son Panorama de la cybermenace 2025, publié en mars 2026, l’ANSSI indique observer une baisse de l’utilisation des rançongiciels au profit d’une augmentation significative de la seule exfiltration de données.
En 2025, l’agence a été informée de 196 incidents relatifs à des exfiltrations de données, associées ou non à des attaques par rançongiciel.
En 2024, elle en avait traité 130.
L’ANSSI précise que certains acteurs cybercriminels volent désormais les données sans déployer de rançongiciel.
Ensuite, plusieurs options s’offrent à eux.
Ils peuvent revendre les informations.
Ils peuvent vendre l’accès à d’autres criminels.
Ils peuvent utiliser les données pour préparer une future intrusion.
Ou ils peuvent contacter directement l’entreprise :
“Payez, sinon nous publions.”
C’est une forme d’extorsion beaucoup plus discrète.
Et pour une PME, elle change complètement la façon de penser la protection.
Pourquoi les pirates abandonneraient-ils le chiffrement ?
Parce que chiffrer un système présente aussi des inconvénients… pour l’attaquant.
Le chiffrement fait du bruit.
Les utilisateurs voient immédiatement que quelque chose ne va pas.
Le prestataire informatique est appelé.
Le réseau peut être coupé.
Les équipes de sécurité commencent leurs investigations.
Les forces de l’ordre peuvent être saisies.
L’attaquant révèle sa présence.
Voler les données silencieusement peut être beaucoup plus intéressant.
L’entreprise peut continuer à fonctionner pendant plusieurs jours sans savoir qu’elle a été compromise.
L’attaquant gagne du temps.
Il explore.
Il cherche les données importantes.
Il identifie les sauvegardes.
Il consulte les dossiers clients.
Il cherche les contrats, les fichiers RH, les documents financiers ou les secrets commerciaux.
Puis il exfiltre ce qui a de la valeur.
Et seulement ensuite, il se manifeste.
Le problème : vos sauvegardes ne règlent plus tout
Pendant longtemps, une réponse classique au ransomware était :
“Nous avons des sauvegardes, donc nous sommes protégés.”
C’est une excellente mesure.
Mais contre l’extorsion par vol de données, elle ne suffit pas.
Imaginez que vos serveurs fonctionnent parfaitement.
Vos sauvegardes sont intactes.
Vos fichiers n’ont pas été chiffrés.
Mais l’attaquant possède maintenant :
- votre fichier clients ;
- vos contrats ;
- vos factures ;
- vos dossiers salariés ;
- vos documents commerciaux ;
- vos données techniques ;
- vos échanges internes.
Restaurer une sauvegarde ne fait pas disparaître les copies qui sont déjà parties.
Voilà pourquoi cette évolution est importante.
La disponibilité des données n’est plus le seul problème. Leur confidentialité devient centrale.
“Notre activité fonctionne encore” n’est plus un indicateur de sécurité
C’est probablement le changement de mentalité le plus important.
Une PME peut avoir été compromise tout en continuant à fonctionner parfaitement.
Pas de panne.
Pas d’erreur.
Pas de lenteur évidente.
Pas de message de rançon.
L’attaquant peut utiliser un compte légitime.
Un accès VPN.
Un compte Microsoft 365.
Un compte administrateur.
Un accès prestataire.
Une vulnérabilité sur un service exposé.
Puis il copie progressivement des données.
C’est exactement ce qui rend la détection plus difficile.
Le problème n’est donc plus uniquement :
“Est-ce que quelque chose est cassé ?”
Mais :
“Est-ce que quelqu’un utilise normalement nos systèmes pour faire quelque chose d’anormal ?”
Le cas DGFiP illustre parfaitement cette difficulté
L’incident récent concernant la DGFiP montre pourquoi cette question devient essentielle.
Dans son communiqué officiel, le ministère des Finances explique que les accès illégitimes avaient été détectés et interrompus, mais que les contrôles réalisés à ce moment-là n’avaient pas permis d’identifier que les intrusions avaient conduit à des vols de données.
C’est une nuance extrêmement importante.
Détecter une connexion anormale ne suffit pas toujours.
Il faut également comprendre :
quelles données ont été consultées ;
quels volumes ont été téléchargés ;
quelles recherches ont été effectuées ;
si des exports inhabituels ont eu lieu ;
si un compte se comporte différemment de son usage normal.
C’est exactement le problème auquel sont confrontées les entreprises modernes.
Comment un vol de données peut se dérouler dans une PME
Prenons un scénario très banal.
Une personne du service commercial se fait voler son mot de passe.
L’entreprise utilise Microsoft 365.
L’attaquant se connecte.
Il ne fait rien de spectaculaire.
Il consulte la boîte mail.
Puis OneDrive.
Puis SharePoint.
Il regarde les dossiers auxquels cet utilisateur a accès.
Ensuite, il comprend l’organisation de l’entreprise.
Qui est le dirigeant ?
Qui travaille à la comptabilité ?
Quels sont les clients importants ?
Quels documents semblent sensibles ?
Puis il cherche à obtenir davantage de droits.
Peut-être qu’un mot de passe est réutilisé.
Peut-être qu’un dossier partagé est accessible beaucoup trop largement.
Peut-être qu’un ancien compte administrateur existe encore.
Peut-être qu’une application SaaS contient une exportation complète de la base clients.
Pendant tout ce temps, l’entreprise continue de fonctionner.
Puis plusieurs gigaoctets sont copiés.
Et le problème n’est découvert que plus tard.
Toutes les données n’ont pas la même valeur
Pour un attaquant, un fichier n’est pas intéressant simplement parce qu’il est confidentiel.
Il est intéressant parce qu’il peut être monétisé.
Une base clients peut servir au phishing.
Un fichier RH peut faciliter une usurpation d’identité.
Des factures peuvent servir à préparer une fraude au faux RIB.
Des contrats peuvent révéler les partenaires et les montants.
Des documents techniques peuvent faciliter une future attaque.
Des échanges avec les clients peuvent être utilisés pour exercer une pression réputationnelle.
Des identifiants trouvés dans des documents peuvent ouvrir d’autres systèmes.
C’est pour cela qu’un attaquant peut passer du temps à sélectionner ce qu’il vole.
Il ne cherche pas nécessairement “toutes les données”.
Il cherche les données qui donnent du pouvoir.
Cybermalveillance.gouv.fr constate aussi l’accélération du phénomène
Cybermalveillance.gouv.fr décrit 2025 comme une année marquée par une nouvelle accélération des violations de données personnelles.
L’organisme indique que des incidents importants ont exposé les données de millions de Français et que les demandes d’assistance de particuliers liées à ces violations ont augmenté de 107 % en 2025, après une hausse de 82 % en 2024.
Les causes observées sont diverses :
défauts de sécurisation,
comptes compromis,
intrusions informatiques,
prestataires ou partenaires compromis.
Autrement dit, le vol de données n’est plus un événement exceptionnel.
Il devient une composante normale du paysage cyber.
Pourquoi les PME sont particulièrement intéressantes
Une PME peut penser :
“Nous n’avons rien d’assez important pour intéresser un pirate.”
C’est rarement vrai.
Même une petite entreprise possède souvent :
des coordonnées clients ;
des factures ;
des données bancaires ;
des dossiers RH ;
des contrats ;
des accès à d’autres entreprises ;
des emails professionnels ;
des informations fournisseurs.
Et surtout, beaucoup de PME entretiennent une relation de confiance avec des entreprises plus grandes.
Une PME peut donc avoir de la valeur non seulement pour ses propres données, mais aussi comme porte d’entrée vers ses clients.
C’est la logique de la chaîne d’approvisionnement.
Cybermalveillance.gouv.fr cite précisément les incidents liés aux prestataires ou partenaires parmi les causes récurrentes de violations de données observées en 2025.
Ce qu’il faut surveiller réellement
Une stratégie uniquement basée sur antivirus + sauvegardes devient insuffisante.
Il faut ajouter la capacité à repérer certains comportements anormaux.
Par exemple :
Un utilisateur qui télécharge soudainement plusieurs milliers de fichiers.
Un compte qui consulte des dossiers qu’il n’ouvre jamais habituellement.
Un administrateur qui crée de nouveaux comptes.
Une connexion depuis une localisation inhabituelle.
Un volume inhabituel de données qui quitte le réseau.
Un accès à Microsoft 365 depuis un nouvel appareil.
Une exportation massive depuis un CRM.
Un compte de prestataire actif en dehors des périodes prévues.
Un compte ancien qui recommence soudainement à être utilisé.
Pris séparément, chacun de ces événements peut être légitime.
Mais ensemble, ils peuvent raconter une histoire.
C’est précisément le rôle de la supervision : relier les signaux faibles avant qu’ils deviennent une crise.
La première mesure : savoir quelles données seraient réellement catastrophiques à perdre
Toutes les PME devraient pouvoir répondre à cette question :
Si un pirate publiait demain 10 Go de nos données, quels fichiers ne voudrions-nous surtout pas voir apparaître ?
Cette question est beaucoup plus utile qu’un inventaire abstrait.
Peut-être les dossiers RH.
Peut-être les contrats clients.
Peut-être les documents techniques.
Peut-être les données de santé.
Peut-être les informations financières.
Une fois ces données identifiées, il devient possible de vérifier :
qui y accède ;
où elles sont stockées ;
si elles doivent vraiment être là ;
si elles sont protégées ;
si leur accès est journalisé.
La protection commence par la connaissance.
Deuxième mesure : réduire les droits
Dans beaucoup d’entreprises, les salariés accumulent des accès avec le temps.
Un projet commence.
On donne un accès.
Un autre projet commence.
On en ajoute un autre.
Cinq ans plus tard, certains comptes disposent de droits dont personne ne sait vraiment pourquoi ils existent.
C’est dangereux.
Si le compte est compromis, l’attaquant hérite de tous ces droits.
La règle doit donc être :
un utilisateur ne doit accéder qu’aux informations nécessaires à son travail actuel.
Pas à celles dont il avait besoin trois ans auparavant.
Troisième mesure : surveiller les comptes, pas seulement les machines
Les attaques modernes utilisent souvent des comptes valides.
Il faut donc regarder les identités.
Qui se connecte ?
Depuis où ?
À quelle heure ?
Depuis quel appareil ?
Quelles données sont consultées ?
Quels droits sont utilisés ?
L’ANSSI insiste justement sur le rôle des compromissions d’identités et des intermédiaires comme les Initial Access Brokers dans l’écosystème cybercriminel moderne.
La sécurité de l’identité devient donc aussi importante que celle du réseau.
Quatrième mesure : surveiller les données qui sortent
Une entreprise sait généralement combien de données entrent dans son système.
Beaucoup moins savent réellement combien en sortent.
Pourtant, c’est essentiel.
Une exportation CRM.
Une synchronisation cloud inhabituelle.
Une copie massive vers un poste.
Une archive créée sur un serveur.
Un transfert vers un service externe.
Ce sont des événements qui doivent pouvoir être expliqués.
Il ne s’agit pas de bloquer tous les transferts.
Il s’agit de comprendre ce qui est normal.
Car sans référence normale, il est impossible de reconnaître l’anormal.
Et si l’attaquant vous contacte ?
Cybermalveillance.gouv.fr rappelle que les attaquants peuvent voler les données puis menacer de les publier afin d’obtenir une rançon.
Si cela arrive, la première règle est :
ne pas improviser.
Ne répondez pas dans la panique.
Ne payez pas immédiatement.
Ne supprimez pas les systèmes ou les journaux.
Conservez les messages.
Préservez les preuves.
Contactez votre équipe de sécurité ou votre prestataire.
Évaluez réellement ce qui a été volé.
Déterminez si des données personnelles sont concernées.
Impliquez la direction, le juridique et le DPO si nécessaire.
Préparez la gestion de crise.
Le paiement d’une rançon ne garantit d’ailleurs pas que les données seront supprimées ou ne seront jamais revendues.
Une copie numérique peut être copiée indéfiniment.
Le nouveau test pour une PME
Posez cette question à votre prestataire informatique :
“Si quelqu’un copie 20 Go de données clients cette nuit sans arrêter nos serveurs, comment le saurons-nous ?”
La réponse est extrêmement instructive.
Si la réponse est :
“Nous avons des sauvegardes.”
Ce n’est pas la réponse à la question.
Si la réponse est :
“Nous avons un antivirus.”
Ce n’est toujours pas suffisant.
La vraie réponse doit parler de :
journalisation,
surveillance,
détection d’anomalies,
gestion des identités,
contrôle des accès,
volumes de données,
alertes et capacité de réaction.
C’est là que commence la détection moderne.
Où Cyberhack peut intervenir
Chez Cyberhack, notre approche consiste justement à ne pas attendre qu’un serveur soit chiffré pour considérer qu’un incident existe.
Cyberhack Platform et nos services de supervision peuvent aider à suivre dans le temps :
- les comptes critiques ;
- les accès sensibles ;
- les services exposés ;
- les risques non corrigés ;
- les signaux d’anomalie ;
- les preuves disponibles ;
- les actions prioritaires.
Le but n’est pas de promettre que personne ne volera jamais une donnée.
Une telle promesse serait irréaliste.
Le but est différent :
réduire la probabilité qu’un attaquant reste invisible suffisamment longtemps pour emporter ce qui compte vraiment.
Conclusion
Pendant des années, le ransomware avait une image très précise.
Des serveurs chiffrés.
Une activité bloquée.
Une demande de rançon.
Cette image devient incomplète.
L’ANSSI observe désormais une progression des attaques où les cybercriminels se contentent d’exfiltrer les données puis cherchent à les monétiser ou à extorquer directement leur victime.
C’est une évolution importante.
Parce qu’une entreprise peut être gravement compromise tout en donnant l’impression que tout fonctionne parfaitement.
Les sauvegardes restent indispensables.
Mais elles ne suffisent plus.
Il faut aussi savoir :
qui accède aux données ;
quelles données sont réellement critiques ;
quels volumes quittent l’entreprise ;
quels comportements sont anormaux ;
et combien de temps il faudrait pour détecter un intrus silencieux.
La bonne question n’est donc plus seulement :
“Pouvons-nous restaurer nos données après une attaque ?”
La question devient :
“Saurons-nous détecter qu’elles sont en train de partir avant que l’attaquant nous appelle ?”
Et aujourd’hui, pour beaucoup de PME, c’est probablement l’une des questions cyber les plus importantes à poser.
