Deux mythes symétriques paralysent la cybersécurité des petites structures. Le premier : « je suis trop petit pour intéresser qui que ce soit ». Le second, chez ceux qui ont lu un article de trop : « tout le monde me vise, c’est perdu d’avance ». Les deux sont faux, et pour la même raison : chaque attaquant a un budget, une motivation et une finalité. C’est le croisement des trois avec ce que vous êtes qui dessine votre menace réelle, et cet exercice s’apprend.
Le boucher et le sous-traitant
Prenez le boucher du coin. Il ne sera jamais la cible d’un service de renseignement : aucun budget étatique ne se justifie pour une boucherie. En revanche, il est balayé tous les jours par les campagnes automatisées qui ratissent internet sans regarder l’enseigne, et si son activité fait polémique, un collectif militant peut s’offrir la défiguration de son site pour le prix d’un kit loué à l’heure. Son paysage de menace est réel, mais il est étroit : rançongiciel opportuniste, fraude au paiement, image.
Prenez maintenant le sous-traitant qui usine des boulons pour l’aéronautique. Lui intéresse un État ou un concurrent, et de deux manières : pour ses plans et ses procédés, ou comme porte d’entrée vers son client final. C’est l’attaque par la chaîne de sous-traitance : votre entreprise fait partie du « cercle de confiance » de ses donneurs d’ordres, et c’est précisément ce qui la rend précieuse pour un attaquant patient. Ajoutez le rançongiciel (un atelier à l’arrêt paie vite) et le tableau change complètement d’échelle.
Même pays, même taille d’entreprise, deux paysages de menace sans rapport. Voilà la gymnastique que personne n’enseigne aux dirigeants.
Les chiffres qui tuent le premier mythe
En 2025, 40 % des entreprises françaises ont subi au moins une cyberattaque significative, et 48 % des victimes de rançongiciel traitées par l’ANSSI étaient des PME. L’hameçonnage, première menace tous publics, a progressé de 71 %. Les attaques sont industrialisées, automatisées et désormais outillées par l’IA : des courriels sans fautes générés en masse, des voix clonées en quelques secondes d’échantillon. Personne n’est en dessous du radar des machines.
Ce qui tue le second mythe, c’est la suite du raisonnement : être balayé par des campagnes automatisées n’a rien à voir avec être ciblé par un groupe structuré. Le premier risque se traite avec une hygiène de base ; le second se prépare. Confondre les deux, c’est soit sous-investir, soit s’épuiser.
Le guide complet, en version interactive
Nous avons mis en ligne notre guide de sensibilisation cybersécurité dans une version interactive et intégrale : le sélecteur de profil qui vous dit qui peut réellement vous viser et pourquoi, les trois familles d’attaquants, les quatre finalités d’une attaque, les techniques 2026 (deepfakes, hameçonnage assisté par IA, faux conseillers en hausse de 159 %), les réflexes qui protègent, et un test de connaissances. C’est le guide que nous présentons en session de sensibilisation chez nos clients, ouvert à tous.
Et le point auquel nous tenons : l’analyse de risques n’est pas réservée aux entreprises régulées. DORA l’impose aux acteurs financiers, NIS2 l’étendra à des milliers d’entités, mais la démarche vaut pour tout le monde. L’exercice du guide est le début de l’atelier « sources de risque » de la méthode EBIOS RM de l’ANSSI ; notre simulateur d’analyse de risques le déroule en entier, gratuitement, en dix minutes, rapport PDF compris. Le boucher y a autant sa place que la société de gestion.
Commencez par le profil qui vous ressemble, finissez par la matrice de risque : le guide est là, et il ne demande ni inscription ni obligation réglementaire.
