Sites internet des TPE-PME : pourquoi ils sont devenus la porte d’entrée préférée des rançongiciels

Un site vitrine oublié, un plugin jamais mis à jour, un mot de passe recyclé depuis des années : voilà, la plupart du temps, tout ce dont un groupe de cybercriminels a besoin pour paralyser une petite entreprise. Selon les derniers chiffres relayés par l'ANSSI, près de la moitié des victimes de rançongiciels en France sont aujourd'hui des TPE, PME et ETI — et leur site internet, souvent le seul point de contact numérique avec l'extérieur, en est régulièrement le point d'entrée.

Le site web, angle mort de la cybersécurité des petites entreprises

Pendant longtemps, la cybersécurité a été pensée comme une affaire de grands groupes dotés de directions informatiques dédiées. Les TPE et PME, elles, délèguent le plus souvent la création de leur site à une agence ou à un prestataire unique, puis l'oublient : pas de mise à jour du CMS, pas de suivi des extensions, pas de sauvegarde testée. C'est précisément cette négligence structurelle que les attaquants exploitent en priorité, via des failles connues et déjà corrigées par les éditeurs — mais jamais appliquées côté client.

Selon l'ANSSI, le nombre d'incidents liés à des exfiltrations de données, avec ou sans rançongiciel, a progressé de plus de 50 % en un an. Une hausse que plusieurs spécialistes attribuent en partie à l'essor d'outils d'attaque automatisés capables de scanner des milliers de sites à la recherche de failles de sécurité non corrigées, sans même cibler une entreprise en particulier : le site est touché parce qu'il est vulnérable, pas parce qu'il est visé.

Des conséquences financières lourdes pour des structures fragiles

Le coût d'une attaque n'a rien d'anecdotique pour une petite structure. D'après les données du baromètre de la maturité cyber des TPE-PME publié par Cybermalveillance.gouv.fr, le coût médian d'une attaque ciblée d'intensité moyenne se situe entre 50 000 et 150 000 euros, interruption d'activité comprise. À cette échelle, une indisponibilité de site de plusieurs jours peut suffire à mettre en péril la trésorerie d'une entreprise qui vend en ligne ou génère l'essentiel de ses prospects via le web.

• Rançongiciel, hameçonnage et fraude au président restent les trois familles d'attaques les plus fréquentes contre les PME françaises.
• Les failles applicatives non corrigées (CMS, plugins, thèmes) figurent parmi les vecteurs d'intrusion les plus courants sur les sites de petite taille.
• Une interruption de site, même courte, se traduit directement par une perte de trafic, de référencement et de chiffre d'affaires.

Des réflexes simples, mais rarement appliqués

La bonne nouvelle est que l'essentiel des attaques opportunistes cible des sites qui n'appliquent aucune des mesures de base. Quelques habitudes suffisent à sortir du lot des cibles faciles : mettre à jour le CMS et ses extensions dès qu'un correctif de sécurité est publié, limiter le nombre de comptes administrateurs, activer une authentification à deux facteurs, et surtout tester régulièrement la restauration des sauvegardes plutôt que de simplement les programmer. Le choix de l'hébergeur compte également : un hébergement suivi, avec pare-feu applicatif et surveillance des tentatives d'intrusion, réduit sensiblement l'exposition d'un site de petite entreprise.

Les agences spécialisées en développement et référencement intègrent d'ailleurs de plus en plus un volet sécurité dans leurs prestations, au même titre que la performance ou le SEO : un site piraté ou blacklisté par les moteurs de recherche perd en visibilité aussi sûrement qu'un site mal optimisé. C'est un enjeu qui rejoint plus largement les problématiques informatiques des petites structures, souvent sous-équipées face à des menaces de mieux en mieux automatisées.

Questions fréquentes

Pourquoi les petites entreprises sont-elles autant ciblées ?

Parce qu'elles cumulent souvent une présence en ligne (site, boutique, formulaire de contact) et un niveau de protection minimal, sans équipe informatique dédiée pour surveiller et corriger les failles. Les attaques automatisées les repèrent aussi facilement qu'une grande entreprise, pour un coût de défense a priori bien plus faible à contourner.

Une simple mise à jour de site suffit-elle à se protéger ?

Non, mais c'est la mesure la plus efficace rapportée à son coût. Elle doit s'accompagner de sauvegardes testées, d'une authentification renforcée et, idéalement, d'un hébergement qui surveille activement les tentatives d'intrusion.

Que faire en cas de site infecté ou bloqué par un rançongiciel ?

Isoler le site, ne pas payer la rançon, et signaler l'incident sur la plateforme officielle Cybermalveillance.gouv.fr, qui oriente vers des prestataires référencés pour la remédiation et conserve une trace utile aux enquêtes.

Sources

• UnderNews — Cybersécurité PME : ce que révèlent les chiffres ANSSI 2026
• Adista — Cyberattaques PME : pourquoi sont-elles si vulnérables ?
• WebGuard Agency — France, PME et ransomware en 2026

Cet article a été rédigé avec l’aide d’une intelligence artificielle. Politique éditoriale