Cyberattaques 2026 : quand la PME est touchée par l'un de ses prestataires

En bref

• En 2025, l'ANSSI a traité 1 366 incidents confirmés et relève que des exfiltrations de données font parfois suite à la compromission d'un prestataire.
• Selon l'ANSSI, les PME, TPE et ETI restent la catégorie d'entités la plus touchée par les rançongiciels.
• Une PME est exposée par ses propres comptes, mais aussi par les accès qu'elle ouvre à ses fournisseurs : infogérant, éditeur, expert-comptable, hébergeur.
• Les mesures prioritaires sont peu coûteuses : inventaire des accès externes, comptes nominatifs, double authentification, sauvegarde isolée et testée.
• NIS2 peut concerner une PME directement, ou indirectement par les exigences contractuelles d'un client assujetti.

Quand on pense cyberattaque, on imagine un pirate qui vise directement l'entreprise. Une autre voie est de plus en plus visible : passer par quelqu'un qui a déjà les clés. Un éditeur de logiciel qui se connecte pour une mise à jour, un prestataire qui garde un compte administrateur, un hébergeur qui stocke vos données. Si l'un d'eux est compromis, les accès qu'il détient chez vous peuvent être exposés. Il faut vérifier leur périmètre et les traces d'utilisation.

Ce que disent les chiffres officiels

Le Panorama de la cybermenace 2025 de l'ANSSI (référence CERTFR-2026-CTI-002, publié en 2026) dresse ce constat :

• 1 366 incidents confirmés traités en 2025, un niveau stable par rapport à 2024 (1 361) ;
• 128 compromissions par rançongiciel ;
• 196 incidents d'exfiltration de données, contre 130 en 2024 ;
• les PME, TPE et ETI restent la catégorie d'entités la plus affectée par les rançongiciels ;
• des exfiltrations sont parfois consécutives à la compromission d'un prestataire, et certains groupes obtiennent l'accès au système d'information par des accès légitimes compromis.

Côté assistance aux victimes, le rapport d'activité 2025 de Cybermalveillance.gouv.fr (publié en mars 2026) place le piratage de compte en première menace des entreprises et associations, avec 21 % de leurs parcours d'assistance.

Ces deux sources disent la même chose sous deux angles : l'attaquant cherche un compte valide, et le compte d'un prestataire en est un.

Pourquoi le prestataire devient la porte d'entrée

Un prestataire cumule souvent trois caractéristiques utiles à un attaquant :

1. Des accès à plusieurs clients. Compromettre un seul fournisseur peut ouvrir plusieurs portes.
2. Des comptes à privilèges. Administrateur de domaine, accès à la console Microsoft 365, accès au logiciel de comptabilité.
3. Des accès oubliés. Le compte créé pour une installation il y a trois ans, jamais désactivé ; le mot de passe partagé entre plusieurs techniciens ; l'outil de prise en main à distance resté actif.

Ce n'est pas un procès des prestataires, TRINEXTA en est un. C'est une raison de traiter leurs accès avec la même rigueur que ceux de vos salariés.

Votre PME est aussi le prestataire de quelqu'un

L'autre face du sujet : vos clients vous confient leurs données, leurs plans, leurs fichiers de paie. S'ils sont de grands comptes, ils envoient de plus en plus de questionnaires de sécurité à leurs fournisseurs. Une réponse floue peut coûter un référencement. Une PME qui sait dire qui accède à quoi, comment les comptes sont protégés et comment elle restaure ses données a un argument commercial.

NIS2 : concerné directement ou par vos clients

La directive européenne NIS2 vise des entités de 18 secteurs d'activité. Le périmètre dépend du secteur, de la taille, des critères financiers et d'exceptions prévues pour certaines activités. Une simple comparaison au chiffre d'affaires ne suffit pas ; utilisez le test officiel de l'ANSSI. La transposition française est indiquée « en cours » par l'ANSSI à la date de cet article. Pour savoir si votre entreprise est concernée, utilisez le service officiel messervices.cyber.gouv.fr/nis2.

Même hors du périmètre, une PME peut recevoir des exigences de sécurité par contrat, parce que son client, lui, est assujetti.

Six mesures pour reprendre la main sur vos accès externes

• Lister tous les accès externes : qui, à quel outil, avec quel niveau de droits. Effort : faible. Ce qu'elle change : vous savez ce qu'il faut protéger.
• Exiger des comptes nominatifs, jamais partagés. Effort : faible. Ce qu'elle change : chaque action est attribuable, chaque départ se ferme proprement.
• Activer la double authentification sur les comptes des prestataires et les comptes administrateurs. Effort : faible. Ce qu'elle change : un mot de passe volé ne suffit plus.
• Désactiver les accès dès la fin d'une mission. Effort : faible. Ce qu'elle change : plus de compte oublié.
• Conserver une sauvegarde isolée, non modifiable depuis le réseau, et tester la restauration. Effort : moyen. Ce qu'elle change : une reprise reste possible si un accès est détourné.
• Écrire une procédure d'incident d'une page : qui appeler, quoi couper, qui prévenir. Effort : faible. Ce qu'elle change : les premières heures ne se perdent pas en hésitations.

Ce que vous pouvez demander à vos prestataires, y compris au vôtre

• La liste des comptes qu'ils détiennent chez vous et leur niveau de droits.
• La protection de ces comptes par double authentification.
• La manière dont ils vous préviennent en cas d'incident chez eux.
• La restitution des accès et de la documentation en fin de contrat.

Un prestataire sérieux répond à ces questions sans difficulté. Un infogérant peut aussi vous aider à tenir cet inventaire et à le revoir à chaque arrivée ou départ. C'est l'objet de notre page cybersécurité des PME et de notre offre d'infogérance.

Si un fournisseur vous annonce un incident

Changez les mots de passe des accès qu'il détenait, vérifiez la double authentification, prévenez vos équipes d'un risque d'hameçonnage ciblé utilisant son nom, et suivez les consignes de cybermalveillance.gouv.fr (service 17Cyber). Si la violation présente un risque pour les personnes, le responsable du traitement notifie la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Toute violation doit être documentée.

Être rappelé

Questions fréquentes

Mon entreprise est-elle concernée par NIS2 ?

Cela dépend de votre secteur et de votre taille. Le service officiel de l'ANSSI, messervices.cyber.gouv.fr/nis2, permet de le vérifier. La transposition française est indiquée en cours ; même hors périmètre, vos clients assujettis peuvent vous transmettre des exigences par contrat.

Un prestataire informatique a-t-il besoin d'un accès administrateur permanent ?

Pas forcément. Les bonnes pratiques consistent à donner des comptes nominatifs, protégés par double authentification, limités aux droits nécessaires et désactivés à la fin de la mission. Demandez à votre prestataire comment il gère ses accès chez vous.

Que faire si un fournisseur m'informe d'une fuite de données ?

Changer les mots de passe des accès concernés, vérifier la double authentification, alerter vos équipes sur l'hameçonnage ciblé et suivre les consignes de cybermalveillance.gouv.fr. Si une violation de données personnelles présente un risque pour les personnes, le responsable du traitement notifie la CNIL dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance. Toutes les violations sont documentées.

Sources

• ANSSI, Panorama de la cybermenace 2025, CERTFR-2026-CTI-002, 2026 (cert.cyber.gouv.fr), consulté le 23/10/2026 : 1 366 incidents confirmés (1 361 en 2024), 128 compromissions par rançongiciel, 196 exfiltrations (130 en 2024), PME/TPE/ETI catégorie la plus affectée par les rançongiciels, exfiltrations parfois consécutives à la compromission d'un prestataire, accès légitimes compromis.
• Cybermalveillance.gouv.fr, Rapport d'activité 2025, publié le 26 mars 2026 (cybermalveillance.gouv.fr) : piratage de compte, première menace des entreprises et associations, 21 % des parcours d'assistance.
• ANSSI, page NIS 2 de MesServices (messervices.cyber.gouv.fr), consultée le 23/10/2026 : 18 secteurs, seuils des entités importantes, transposition « en cours ».
• CNIL, Violations de données personnelles : les règles à suivre (cnil.fr) : notification dans les 72 heures.