Ce que révèlent les chiffres du rapport sur les TPE-PME face aux cybermenaces :
Plus de la moitié (57 %) des TPE-PME françaises ont subi au moins une cyberattaque au cours des 12 derniers mois.
Le nombre de cyberattaques augmente avec la taille de l’entreprise : celles dont le chiffre d’affaires dépasse 10 millions de dollars subissent en moyenne 6 attaques par an, contre 4 pour celles en dessous de 1 million.
Une entreprise sur trois (33 %) a subi une perte financière suffisamment importante pour menacer son activité, voire sa stabilité.
Les ransomwares restent une menace majeure : 26 % des TPE-PME françaises ont été ciblées cette année, et parmi celles ayant payé une rançon, seules 55 % ont récupéré tout ou partie de leurs données.
Etat des lieux des cyber-risques : des attaques plus complexes et répétées
Les cyberattaques sont devenues monnaie courante, même si 42 % des TPE-PME françaises n’en ont signalé aucune cette année.
En revanche, celles touchées sont souvent ciblées plusieurs fois : 53 % ont subi entre 1 et 10 attaques. Une fois une faille exploitée, les pirates n’hésitent pas à revenir.
Payer une rançon ne garantit pas la résolution du problème.
Dans 31 % des cas, les cybercriminels réclament une somme supplémentaire et 27 % des entreprises subissent une nouvelle attaque.
La France se distingue par un taux de paiement particulièrement élevé en cas de cyberattaque visant les données : seules 12 % des entreprises refusent de payer pour récupérer leurs datas. Ce taux est inférieur à celui observé dans plusieurs autres pays européens (Allemagne, Portugal, Espagne ou encore Irlande), avec des écarts allant jusqu’à plus de 20 points. Pourtant, les entreprises françaises ne récupèrent pas mieux leurs données que leurs voisins, à l’exception du Portugal, qui affiche un taux de récupération supérieur. Elles sont même davantage concernées par la récupération partielle des données et font plus souvent l’objet de nouvelles demandes de rançon.
Pourtant, les contrôles sont fréquents : 76 % des TPE-PME françaises réalisent des tests de vulnérabilité au moins une fois par mois et 94 % au moins une fois par trimestre.
Ce paradoxe s’explique notamment par un sous-équipement technique, qui rend les entreprises plus vulnérables malgré leur vigilance. Un suivi et un contrôle moins fréquent de la politique de cybersécurité des partenaires et prestataires par les PME est un autre facteur aggravant.
« En cas de ransomware, nous conseillons nos assurés au mieux sur la stratégie à adopter en fonction de notre connaissance des procédés des hackers et des possibilités de restauration du système d’information que l’on peut mettre en œuvre. Payer la rançon ne permet malheureusement pas toujours de résoudre le problème. » conclut Nicolas Kaddeche, Directeur Technique et de la Distribution directe chez Hiscox
Evaluer et anticiper les risques : des dommages qui ne se limitent pas à l’aspect financier
La protection des données et la conformité sont au cœur des préoccupations des entreprises françaises.
Les conséquences financières et opérationnelles d’une cyberattaque peuvent être lourdes :
36 % ont subi une amende ayant significativement affecté leur santé financière,
32 % ont vu leurs coûts de notification client augmenter,
31 % ont constaté une baisse de leurs indicateurs commerciaux.
Un rappel clair : les cyber-risques ne se limitent pas aux pertes techniques, ils impactent directement la performance et la stabilité des entreprises.
Pour mieux comprendre les risques, il faut d’abord les connaître et les évaluer précisément. C’est pourquoi une large majorité des répondants français (73 %) estime qu’il devrait être obligatoire de divulguer les montants versés aux cybercriminels après une attaque par ransomware.
L’intelligence artificielle, omniprésente, est perçue comme un double enjeu : risque et opportunité. Une majorité des TPE-PME françaises (65 %) la considère comme un atout, là où une minorité (29 %) la voit comme une vulnérabilité. Parmi les menaces identifiées :
61 % redoutent les attaques d’ingénierie sociale liées à l’IA ;
61 % redoutent les logiciels malveillants et le phishing ;
59 % redoutent la prise de contrôle des données par l’IA.
Si l’impact est aujourd’hui plus marqué chez les ETI, la menace s’étend rapidement à toutes les entreprises, à l’image du risque cyber.
« Avec le développement de l’intelligence artificielle, la mauvaise nouvelle, c’est qu’elle est désormais utilisée par les hackers pour perfectionner leurs techniques. Mais la bonne nouvelle, c’est qu’elle peut aussi être mise au service du renforcement de la cybersécurité des entreprises. Dans tous les cas, l’IA accroît la vulnérabilité des organisations qui ne disposent pas d’une expertise dédiée, et qui ont besoin de se protéger par une couverture assurantielle adaptée. À ce titre, nos polices couvrent les sinistres liés à l’utilisation d’IA - y compris lorsqu’elles sont elles-mêmes piratées. » explique Victorine Bailleul, Responsable Technique Cyber chez Hiscox
Se préparer aux attaques : les TPE-PME passent à l’action
La cyber-résilience s’est améliorée pour une majorité (85 %) des petites et moyennes entreprises françaises au cours des 12 derniers mois, en investissant à la fois dans les outils et les compétences humaines.
Près des trois quarts (72 %) mettent à jour les formations en cybersécurité pour leurs employés et un peu moins des deux tiers (63 %) recrutent du personnel dédié pour gérer la cybersécurité. En France, 80 % des entreprises interrogées forment spécifiquement les collaborateurs en télétravail. Et ce n’est que le début : 98 % prévoient d’augmenter leurs investissements en cybersécurité et protection des données dans l’année à venir, preuve d’une approche de plus en plus proactive. Une stratégie proactive qui porte ses fruits : 83 % estiment avoir renforcé leur cyber-résilience au cours des 12 derniers mois.
La couverture assurantielle cyber progresse, mais reste loin d’être universelle. Aujourd’hui, 61 % des TPE-PME françaises ont souscrit une assurance cyber autonome, 27 % bénéficient d’une couverture via une autre police, et 15 % prévoient d’en souscrire une dans l’année à venir.
« Notre étude révèle que 39 % des entreprises françaises ne disposent pas de police d’assurance cyber : c’est le plus bas taux d’équipement des pays interrogés. Parmi elles, seulement une entreprise sur trois envisage d’y remédier dans l’année qui vient. Pour faciliter l’équipement des entreprises, en particulier des plus petites, Hiscox a conçu une offre totalement modulaire où il est facile d’ajouter une garantie cyber à ses autres couvertures d’assurance. » conclut Nicolas Kaddeche, Directeur Technique et de la Distribution directe
