Cyberattaques : le nouveau danger vient de l'intérieur et du désordre

Le patron de l'Anssi (Agence nationale de la sécurité des systèmes d'information) tire la sonnette d'alarme : les cyberattaques de l'été 2025 révèlent « un nouveau pan de la menace ». Concrètement, deux profils d'attaquants inattendus montent en puissance. D'abord une criminalité non organisée — des pirates isolés, opportunistes, sans structure ni commanditaire clair. Ensuite une menace endogène, c'est-à-dire venue de l'intérieur même des entreprises : salariés, prestataires, anciens employés. Pour un dirigeant de PME, cela change la donne. On ne se défend plus seulement contre des mafias russophones lointaines, mais aussi contre le collègue frustré du deuxième étage ou l'ado surdoué qui teste ses limites. Voici ce que révèle cette bascule et comment y répondre.

Ce que veut dire « menace endogène » pour votre entreprise

Jusqu'ici, l'imaginaire de la cyberattaque, c'était le groupe criminel structuré, avec ses hackers spécialisés, sa comptabilité, son service client pour négocier les rançons. Une véritable entreprise du crime.

Le constat de l'Anssi rebat les cartes. La menace endogène désigne les attaques qui partent de l'intérieur de l'organisation. Pas forcément un espion infiltré : le plus souvent, c'est un salarié qui a gardé ses accès après son départ, un prestataire trop bien loti en droits informatiques, ou un employé mécontent qui décide de nuire.

Le problème ? Vos défenses classiques — pare-feu, antivirus, filtrage des mails — sont braquées vers l'extérieur. Elles scrutent la porte d'entrée. Or l'attaquant endogène, lui, est déjà dans le salon. Il connaît vos mots de passe, vos habitudes, l'emplacement des fichiers sensibles. Il n'a pas besoin de forcer quoi que ce soit.

La criminalité « non organisée » : le chaos comme nouvelle menace

L'autre nouveauté pointée par l'Anssi est contre-intuitive. On imaginerait qu'un attaquant isolé et désorganisé est moins dangereux qu'un groupe structuré. C'est faux.

La criminalité non organisée rassemble des individus qui agissent seuls, souvent par appât du gain rapide ou par jeu, sans plan d'ensemble. Ils achètent des kits d'attaque tout prêts sur des forums, lancent des campagnes au hasard, et frappent qui tombe dans le filet.

Pourquoi c'est un cauchemar pour la défense ? Parce qu'un groupe organisé est prévisible : il vise des cibles rentables, suit des méthodes identifiables, laisse des signatures. Le pirate opportuniste, lui, n'obéit à aucune logique. Il ne cherche pas votre entreprise en particulier. Il tombe dessus. Et une PME de 30 salariés qui se croyait « trop petite pour intéresser les hackers » découvre qu'elle était justement la cible idéale : peu protégée, sous-estimant le risque.

Pourquoi les PME sont en première ligne

Voici le verbatim qu'un responsable sécurité m'a livré et qui résume tout : « Le dirigeant de PME pense qu'il n'a rien à voler. Mais l'attaquant, lui, ne cherche pas à voler — il cherche à bloquer, puis à faire payer pour débloquer. Et là, tout le monde a quelque chose à perdre : sa compta, ses commandes, sa paie. »

C'est le nœud du problème. Le ransomware (rançongiciel) ne s'intéresse pas à la valeur de vos données pour un tiers. Il mise sur la valeur de vos données pour vous. Une entreprise paralysée trois jours perd des clients, des délais, parfois sa réputation.

Les PME cumulent les vulnérabilités : pas de responsable sécurité dédié, des sauvegardes irrégulières, des logiciels non mis à jour, des mots de passe partagés. Face à une menace désormais décentralisée et intérieure, ces failles deviennent des autoroutes.

Le point aveugle : le départ des salariés

Voici l'angle que peu d'entreprises anticipent. La menace endogène ne se matérialise pas toujours par malveillance. Elle naît souvent d'une négligence de process RH.

Que se passe-t-il quand un salarié quitte votre entreprise ? Dans beaucoup de PME : rien, côté informatique. Ses accès mail restent actifs des semaines. Son compte sur le logiciel de facturation fonctionne encore. Ses identifiants vers le cloud partagé sont toujours valides.

Chaque compte non désactivé est une porte laissée ouverte. Un ancien commercial parti chez un concurrent, dont l'accès au CRM n'a jamais été coupé, c'est une fuite de données organisée sans même le vouloir. C'est là que sécurité informatique et gestion des ressources humaines se rejoignent : le jour du départ d'un salarié, la coupure des accès doit être aussi automatique que la remise du badge.

Les 7 réflexes à mettre en place dès maintenant

Face à cette menace décentralisée, pas besoin d'un budget de multinationale. Voici une checklist actionnable pour un dirigeant de PME.

1. Cartographier les accès. Qui a accès à quoi ? Établissez la liste de tous les comptes (mail, cloud, logiciels métier, paie) et des personnes qui les détiennent. Document à produire : un tableau nominatif des droits.

2. Appliquer le principe du moindre privilège. Chaque salarié n'accède qu'à ce dont il a besoin pour son poste. Le stagiaire n'a rien à faire dans les fichiers de paie.

3. Créer une procédure de départ (offboarding). Le jour où un salarié quitte l'entreprise, coupez TOUS ses accès dans les 24 heures. Preuve : une check-list de départ signée par le manager et le service informatique.

4. Activer la double authentification (MFA). Un mot de passe volé ne suffit plus si un code sur le téléphone est requis. C'est la mesure au meilleur rapport efficacité/coût.

5. Sauvegarder hors ligne. Une sauvegarde déconnectée du réseau (règle dite « 3-2-1 ») résiste au ransomware. Testez la restauration au moins une fois par trimestre.

6. Former les équipes. La majorité des attaques passent par un mail piégé. Une sensibilisation régulière au phishing réduit drastiquement le risque humain.

7. Préparer un plan de crise. Qui appeler ? Comment isoler les machines ? L'Anssi met à disposition le portail cybermalveillance.gouv.fr pour les victimes.

Que faire en cas d'attaque : les premières heures comptent

Si l'attaque survient malgré tout, la vitesse de réaction détermine l'ampleur des dégâts.

Ne payez pas immédiatement la rançon : rien ne garantit la restitution des données, et vous financez l'écosystème criminel. Isolez les machines infectées du réseau pour stopper la propagation. Conservez les preuves (ne réinitialisez pas tout) : elles serviront à l'enquête et à l'assurance. Déposez plainte auprès de la police ou de la gendarmerie. Et signalez l'incident sur cybermalveillance.gouv.fr, la plateforme officielle qui oriente vers des prestataires labellisés.

Une entreprise victime d'une fuite de données personnelles doit également notifier la Cnil sous 72 heures, conformément au RGPD. Ce délai est court : mieux vaut avoir identifié en amont qui, en interne, pilote cette démarche.

Questions fréquentes

Une TPE de moins de 10 salariés est-elle vraiment concernée ?

Oui, et c'est même souvent la plus exposée. La criminalité « non organisée » frappe au hasard, sans distinction de taille. Une TPE sans sauvegarde ni double authentification est une cible facile qui peut être paralysée en quelques heures, parfois de manière fatale pour son activité.

Quelle est la différence entre menace endogène et menace exogène ?

La menace exogène vient de l'extérieur : hackers, groupes criminels, États. La menace endogène part de l'intérieur : salariés actuels ou anciens, prestataires, stagiaires. La seconde est plus difficile à détecter car l'attaquant dispose déjà d'accès légitimes et connaît l'organisation.

Combien coûte une protection cyber pour une PME ?

Les mesures les plus efficaces coûtent peu : la double authentification est souvent gratuite dans les outils existants, les sauvegardes reviennent à quelques dizaines d'euros par mois, et la sensibilisation des équipes ne demande que du temps. L'investissement lourd n'est pas la première étape.

Faut-il souscrire une cyberassurance ?

C'est une option de plus en plus recommandée, mais elle ne remplace pas la prévention. Les assureurs exigent désormais un niveau minimal de sécurité (sauvegardes, MFA, plan de crise) pour indemniser. Une entreprise négligente risque de voir sa prise en charge refusée.

Un ancien salarié qui utilise ses anciens accès commet-il une infraction ?

Oui. L'accès frauduleux à un système informatique est puni par le Code pénal, même par une personne qui y avait légitimement accès auparavant. La responsabilité de l'employeur reste toutefois engagée s'il n'a pas coupé les accès : d'où l'importance d'une procédure de départ rigoureuse.

Comment savoir si mon entreprise a déjà été compromise ?

Plusieurs signaux doivent alerter : ralentissements inhabituels, fichiers renommés ou inaccessibles, connexions à des horaires anormaux, alertes de connexion depuis l'étranger. En cas de doute, un audit de sécurité par un prestataire labellisé permet de détecter une intrusion dormante.

L'Anssi accompagne-t-elle directement les PME ?

L'Anssi cible prioritairement les opérateurs d'importance vitale et les grandes structures. Pour les PME et particuliers, le dispositif de référence est le portail cybermalveillance.gouv.fr, qui propose diagnostics, conseils et mise en relation avec des prestataires certifiés.