Les PME et les entreprises de taille intermédiaire visées par les rançongiciels

Selon le Panorama de la cybermenace 2025 de l'ANSSI, les petites et moyennes entreprises (PME) et les entreprises de taille intermédiaire (ETI) constituent la première catégorie de victimes de rançongiciels traitées par l'agence en 2025, avec 37 % des cas. Les pirates exploitent souvent des failles dans les pare-feux, les réseaux privés virtuels (VPN) ou utilisent des identifiants d'employés volés pour accéder aux systèmes.

Les tests d'intrusion simulent les cyberattaques

Un test d'intrusion, ou pentest, est une attaque simulée contre un système informatique, menée par un pirate éthique, c'est-à-dire un spécialiste de la sécurité des systèmes d'information. Ce expert recherche les vulnérabilités avant les criminels et consigne ses constats dans un rapport destiné à l'entreprise.

Une autorisation écrite est indispensable pour un test d'intrusion

Avant le début d'un test d'intrusion, l'entreprise doit obtenir une autorisation écrite du prestataire. Sans cette autorisation, l'expert pourrait commettre un accès frauduleux à un système informatique, puni de trois ans d'emprisonnement et de 100 000 euros d'amende en vertu de l'article 323-1 du Code pénal.

L'ANSSI fixe les normes des audits de sécurité

Dans la version 2.2 de son référentiel PASSI, publiée en novembre 2024, l'ANSSI fixe les exigences applicables aux prestataires d'audit de la sécurité des systèmes d'information. L'agence recense les entreprises qualifiées sur sa plateforme MesServicesCyber, et les sociétés peuvent vérifier la qualification d'un prestataire avant de signer un devis.

Les coûts des tests d'intrusion varient

Le prix d'un test d'intrusion n'est pas encadré par la réglementation, et les prestataires facturent en fonction du nombre de jours de travail de leur expert, rédaction du rapport comprise. Par exemple, le Diag Cybersécurité de Bpifrance propose aux PME un diagnostic à 4 400 euros HT, incluant huit jours de tests et d'analyse.

Les tests d'intrusion varient en étendue et en complexité

Un prestataire établit son devis en fonction du périmètre à tester. Le test d'un site web peut prendre quelques jours, tandis que celui du réseau interne de plusieurs bureaux demande davantage de temps. Il est important de préciser le nombre de jours consacrés aux tests manuels, car des analyses automatisées peuvent être facturées comme des tests d'intrusion sans intervention d'un expert.

Des évaluations préliminaires gratuites sont disponibles

Avant de payer un test d'intrusion, les entreprises peuvent bénéficier d'une évaluation préliminaire gratuite grâce au diagnostic Cyber Départ de l'ANSSI. Ce service fournit six mesures prioritaires pour améliorer la cybersécurité et peut être réalisé sur site ou par visioconférence.

Les rapports de test d'intrusion sont détaillés

À l'issue d'un test d'intrusion, le prestataire remet un rapport en deux parties. La synthèse est destinée à la direction : elle précise le niveau de risque de l'entreprise et les principales vulnérabilités. La partie technique, quant à elle, détaille chaque vulnérabilité, la manière dont elle a été exploitée et les corrections recommandées.

Le test en boîte grise simule des menaces réelles

Dans le mode boîte grise, le pentester utilise le compte d'un employé ordinaire pour simuler jusqu'où un pirate disposant d'identifiants volés pourrait aller. Ce mode peut révéler des faiblesses telles que des mots de passe trop simples ou des comptes inactifs, qui constituaient la première menace signalée par les entreprises en 2025.

Corriger les vulnérabilités demande de la planification

Pour traiter les vulnérabilités, une entreprise doit demander une présentation orale du rapport avec son prestataire informatique. Chaque vulnérabilité critique doit être traduite en scénario d'impact métier, et un plan de correction assorti de coûts et de délais doit être établi. Il convient de privilégier en premier lieu les équipements exposés sur internet, car ils constituent une porte d'entrée principale.

Le recours aux rançongiciels recule

Dans son panorama 2025, l'ANSSI relève une diminution de l'usage des rançongiciels, au profit de l'exfiltration de données. Le nombre de cas traités par l'agence est passé de 130 à 196 en un an, ce qui témoigne d'une menace croissante liée au vol de données.