Les 10 Vulnérabilités les Plus Critiques dans les PME Françaises

Les PME et TPE représentent plus de 60 % des victimes de cyberattaques en France, selon l'ANSSI. Ce n'est pas de la malchance : ce sont presque toujours les mêmes failles, connues et corrigeables. L'ANSSI a traité 1 366 incidents confirmés en 2025, dont 48 % de ransomware touchant des PME. Le coût moyen dépasse 50 000 €, et une cyberattaque augmente de 50 % le risque de défaillance dans les 6 mois. Voici les 10 vulnérabilités les plus exploitées, et comment y remédier.

1. Pas de MFA sur les accès critiques

L'absence d'authentification multifacteur reste la faille la plus facile à exploiter. En 2025, 84 % des violations d'identité auraient pu être évitées avec un MFA activé. Les attaquants utilisent des listes de credentials volés ou du phishing pour récupérer un mot de passe, puis accèdent directement à la messagerie, au VPN ou à l'ERP.

Correction : activer le MFA sur tous les accès sensibles (M365, VPN, ERP, RDP, consoles cloud). C'est la priorité absolue selon l'ANSSI.

2. Phishing et ingénierie sociale

Le phishing représente 73 % des intrusions ciblant les PME et génère le plus grand nombre de demandes d'assistance sur Cybermalveillance.gouv.fr. Avec l'IA générative, les emails frauduleux sont rédigés en français parfait, personnalisés avec des informations OSINT, et quasi indétectables. Le spear phishing va plus loin : il usurpe l'identité d'un fournisseur ou d'un dirigeant pour déclencher un virement frauduleux.

Correction : filtre anti-phishing avancé (Defender for Office 365, Proofpoint), campagnes de phishing simulé, formation des collaborateurs.

3. Systèmes et logiciels obsolètes

Plus d'un tiers des PME françaises utilisaient encore des systèmes non maintenus en 2023. Ces systèmes concentrent des vulnérabilités publiquement documentées que les attaquants exploitent via des scanners automatisés. L'ANSSI précise que 29 % des vulnérabilités exploitées en 2025 l'ont été le jour même de leur publication.

Correction : politique de patch management formalisée, inventaire complet des assets (y compris IoT et imprimantes), remplacement des systèmes en fin de vie.

4. Mots de passe faibles et réutilisés

Identifiants partagés, mots de passe par défaut, comptes admin locaux avec le même mot de passe sur tous les postes. C'est toujours très répandu dans les PME. Un seul compte compromis suffit à un attaquant pour effectuer un mouvement latéral dans tout le parc.

Correction : gestionnaire de mots de passe (Bitwarden Enterprise, 1Password), politique de complexité et de rotation, suppression des comptes partagés.

5. Sauvegardes non testées

Les ransomwares ciblent les sauvegardes en priorité avant de chiffrer les données de production. 75 % des PME auraient des difficultés à poursuivre leur activité après une attaque ransomware, souvent parce que les sauvegardes sont connectées au réseau principal et chiffrées avec le reste.

Correction : règle 3-2-1 (3 copies, 2 supports différents, 1 hors ligne), tests de restauration trimestriels documentés, sauvegarde immutable en cloud.

6. RDP et VPN exposés sur Internet

Les services d'accès à distance (RDP sur le port 3389, VPN mal configurés) exposés directement sur Internet sont des cibles de choix pour le brute force et l'exploitation de CVE. Ces vecteurs ont été massivement utilisés pendant le télétravail et n'ont souvent pas été resécurisés depuis.

Correction : désactivation de l'exposition RDP directe, VPN avec MFA, jump server ou solution ZTNA (Zero Trust Network Access).

7. Réseau plat, sans segmentation

Un réseau sans VLAN ni segmentation permet à un attaquant qui compromet un poste de se déplacer librement vers les serveurs de production, l'AD, les sauvegardes. La segmentation est l'un des contrôles les plus efficaces pour limiter l'impact d'une compromission.

Correction : VLAN distincts (utilisateurs, serveurs, IoT, invités), firewalling interne entre zones, micro-segmentation sur les assets critiques.

8. Droits administrateurs trop larges

Attribuer des droits admin locaux à la majorité des utilisateurs amplifie l'impact d'un ransomware ou d'un malware : si l'utilisateur est admin local, le malware l'est aussi.

Correction : principe du moindre privilège (PoLP), suppression des droits admin locaux des utilisateurs standards, solutions PAM (CyberArk, BeyondTrust) pour les accès à privilèges.

9. Pas de supervision ni de détection

48 % des PME françaises n'ont aucune stratégie de cybersécurité formalisée. Sans supervision centralisée (SIEM/EDR), les compromissions passent inaperçues pendant des semaines. L'ANSSI signale une hausse continue des incidents liés à des équipements périphériques (pare-feux, routeurs) mal paramétrés.

Correction : EDR sur tous les endpoints (Defender for Endpoint, CrowdStrike Falcon), centralisation des logs, SOC managé.

10. Risque fournisseur (supply chain)

Les attaques via les prestataires sont en forte croissance. Un sous-traitant compromis est une porte d'entrée vers votre SI sans que vous ayez commis la moindre erreur. NIS2 impose explicitement une évaluation de la sécurité des tiers.

Correction : évaluation des prestataires critiques (questionnaire sécurité, clauses contractuelles cyber), revue régulière des accès tiers, segmentation des accès prestataires.

Récapitulatif

Questions fréquentes

Par où commencer si on n'a rien fait en cybersécurité ?

Trois actions immédiates : activer le MFA partout, mettre à jour les systèmes obsolètes, et vérifier que les sauvegardes fonctionnent. Ça couvre les vulnérabilités 1, 3 et 5, avec un effort relativement faible.

Combien coûte un audit 360° pour une PME ?

Entre 3 500 et 18 000 € selon la taille de l'entreprise et le périmètre. L'audit couvre l'ensemble de ces 10 domaines et se déroule en 4 à 15 jours.

NIS2 oblige-t-elle les PME à corriger ces vulnérabilités ?

NIS2 s'applique aux entités essentielles et importantes (plus de 50 salariés ou CA > 10 M€ dans les secteurs couverts). Elle impose des mesures de gestion des risques qui recouvrent la plupart de ces 10 points, avec une responsabilité personnelle des dirigeants en cas de manquement.

La majorité de ces intrusions commence par un e-mail : renforcez votre première ligne de défense avec notre offre de sensibilisation phishing en entreprise.