Cybersécurité : les entreprises françaises s’adaptent face aux cybermenaces croissantes

Une tendance encourageante malgré la virulence des attaques

Le nombre d’entreprises victimes de cyberattaques à impact significatif diminue progressivement depuis trois ans. D’après le 11e baromètre annuel du Cesin (réalisé par Opinionway auprès de 397 membres), seules 40% des organisations ont subi une attaque majeure en 2025, contre 47% en 2024 et 49% en 2023.

Cette évolution positive pourrait témoigner d’une amélioration des capacités défensives des organisations, bien que les attaques réussies se révèlent plus virulentes qu’auparavant.

Les vecteurs d’attaque les plus exploités

L’ingénierie sociale reste la méthode privilégiée des cybercriminels, avec le phishing et ses variantes touchant 55% des entreprises victimes. L’exploitation de vulnérabilités techniques arrive en seconde position (41%).

Fait marquant de 2025 : les attaques indirectes via des tiers concernent désormais 35% des cas, et même 43% pour les grandes entreprises. Un phénomène qui préoccupe particulièrement les experts.

« Nous avons observé tout au long de l’année des attaques ciblées réussies et perturbantes qui étaient pour beaucoup liées à des tiers. » constate Alain Bouillé, délégué général du Cesin, qui ajoute : « A chaque fois on se rend compte que les fournisseurs n’avaient pas très bien protégé les données confiées. »

Les deepfakes perdent du terrain

Les attaques utilisant l’intelligence artificielle pour créer des deepfakes ont connu un recul, passant de 9% à 5%. Cette diminution s’explique probablement par l’amélioration des outils de détection basés sur l’IA. Néanmoins, Alain Bouillé précise : « ces arnaques sont souvent retentissantes en montants et en impacts quand elles sont réussies. »

Conséquences des cyberattaques : le vol de données en tête

Parmi les impacts des cyberattaques réussies, le vol de données domine largement (52% des cas). Viennent ensuite les dénis de service (28%) et l’exposition de données (27%).

Les attaques par déni de service (DDoS) suscitent une préoccupation particulière, comme le souligne le délégué général du Cesin : « Nous avons tous en tête l’incident de La Poste. » avant d’ajouter : « Nous voyons bien que les déni de services sont une nouvelle arme de guerre finalement, voire un entrainement à la guerre. Quand on voit qu’il n’y pas de profit immédiat, à qui profite le crime ? »

Impact business : perturbations opérationnelles et atteinte à l’image

Les cyberattaques ont eu des répercussions concrètes pour 81% des entreprises touchées. Les plus fréquentes sont la perturbation de la production (28%) et l’atteinte à l’image avec impact médiatique (26%).

Les menaces d’origine étatique inquiètent davantage

Le cyber-espionnage préoccupe 40% des organisations (contre 37% précédemment), tandis que 53% des entreprises considèrent les menaces d’origine étatique comme particulièrement inquiétantes. Ce chiffre monte même à 60% parmi les grandes entreprises.

Stratégies de défense et externalisation

Face à ces menaces, les entreprises continuent de renforcer leur arsenal défensif. Les pare-feux (98%), solutions EDR (95%) et authentification multifacteur (94%) constituent le socle technique de la protection.

La tendance à l’externalisation s’accentue

L’année 2025 a été marquée par une progression significative du recours à des prestataires externes pour certaines fonctions de sécurité :

– Cert/Csirt : 45% (contre 38% l’an passé)
– SOC : 35% (contre 29% l’an passé)
– Gestion de la surface d’attaque : 22% (contre 16% l’an passé)

« Il y a une forte tendance à externaliser un certain nombre de services qui peuvent être très largement mutualisés et c’est plutôt une bonne nouvelle. » observe Alain Bouillé, qui précise : « Les entreprises utilisent vraiment maintenant tous les moyens à leur disposition pour juguler les cyberattaques, c’est à dire que l’on va chercher des compétences sur le marché mais que l’on acquiert aussi des compétences en interne pour piloter le service. »

Budgets : une phase de consolidation

Si 42% des entreprises déclarent augmenter leur budget IT/SSI d’au moins 5% (contre 48% l’année précédente), cette légère baisse pourrait traduire un moment de pause stratégique plutôt qu’un désengagement.

« Nous ne sommes peut-être pas en phase de restriction budgétaire mais de consolidation, c’est à dire que les entreprises ont tellement acheté les autres années qu’il faut finir de les déployer avant de commencer à acheter autre chose. » analyse le délégué général du Cesin.

Un échantillon représentatif

Cette étude s’appuie sur un panel diversifié composé de 43% d’ETI, 40% de grandes entreprises et 17% de PME/PMI, principalement basées en France (93%). Les secteurs représentés sont majoritairement les services (40%), l’industrie/BTP (26%), les services publics (17%) et le commerce (13%).