La cybercriminalité n'est plus une menace lointaine réservée aux banques, aux multinationales ou aux administrations. Elle est entrée dans les foyers, les commerces, les ateliers et les bureaux. Elle frappe les téléphones personnels comme les messageries professionnelles. Elle se dissimule dans un SMS de livraison, une fausse facture, une demande urgente prétendument envoyée par un fournisseur ou l'appel d'un escroc se faisant passer pour un conseiller bancaire.

Le troisième baromètre réalisé par Ipsos.Digital pour Cybermalveillance.gouv.fr en apporte une démonstration saisissante.

Au cours des douze derniers mois, 53 % des Français ont été confrontés à une tentative d'hameçonnage.

Quinze pour cent ont eu affaire à un faux conseiller bancaire et 10 % ont commandé sur un site frauduleux un bien qu'ils n'ont jamais reçu. Quand plus d'une personne sur deux est visée en une seule année, il ne s'agit plus d'une succession d'incidents isolés. C'est une offensive de masse.

Le chiffre le plus inquiétant concerne les données personnelles. En 2026, 45 % des Français déclarent avoir été informés d'une fuite les concernant, contre 30 % l'année précédente. Quinze points supplémentaires en un an : la progression est vertigineuse. Près d'un Français sur deux sait désormais que des informations le concernant ont échappé à l'organisme qui devait les protéger.

La CNIL a reçu 6 167 notifications de violations de données en 2025, en hausse de 9,5 % sur un an. La moitié des incidents déclarés relevait d'un piratage. Encore faut-il rappeler que ces notifications ne représentent qu'une partie des atteintes réellement commises, certaines n'étant jamais détectées ou déclarées.

Une donnée volée ne disparaît pas dans un trou noir numérique.

Elle se revend, se recoupe et se réutilise. Un nom, une adresse, un numéro de téléphone, un IBAN, une fonction dans l'entreprise ou une relation commerciale peuvent servir à fabriquer un piège beaucoup plus crédible. La fuite d'aujourd'hui prépare le faux courriel du fournisseur, l'appel bancaire frauduleux ou l'usurpation d'identité de demain. La cybercriminalité s'est industrialisée et les informations dérobées en constituent la matière première.

Les victimes semblent en prendre conscience. Après avoir appris que leurs données avaient fuité, 59 % disent se montrer plus vigilantes face aux courriels, SMS et appels inconnus. Cinquante-trois pour cent changent leurs mots de passe et 44 % renforcent la surveillance de leur compte bancaire. Mais seuls 13 % contactent l'organisme concerné pour vérifier la fuite et connaître précisément les données compromises. Beaucoup réagissent donc dans l'urgence, sans savoir jusqu'où l'attaque peut aller.

La population elle-même se sent de moins en moins armée. En 2026, seuls 55 % des Français estiment être suffisamment informés sur les risques d'Internet, contre 63 % en 2024. Un quart considère ne pas l'être assez et 19 % ne savent même plus évaluer leur niveau de préparation. La menace progresse plus vite que le sentiment de maîtrise.

Pour un dirigeant de TPE, cette situation est particulièrement explosive.

Le patron est à la fois chef d'entreprise, responsable commercial, gestionnaire, recruteur et, bien souvent, administrateur informatique improvisé. Dans 82 % des petites structures interrogées lors d'une étude antérieure, la gestion informatique relevait du dirigeant ; 72 % ne disposaient d'aucun salarié dédié et 68 % consacraient moins de 2 000 euros par an à leur sécurité numérique.

Ce manque de moyens ne rend pas les petites entreprises moins intéressantes pour les attaquants. Il les rend plus accessibles. Elles détiennent des coordonnées bancaires, des fichiers clients, des devis, des contrats, des données de salariés et des accès aux plateformes de leurs partenaires. Elles réalisent des virements et échangent quotidiennement des factures. Elles offrent donc à la fois de l'argent, des données et une porte d'entrée potentielle vers d'autres organisations.

Le Baromètre France Num 2026 confirme que le danger n'a plus rien de théorique : 39 % des TPE-PME déclarent avoir été confrontées à un incident cyber au cours des douze derniers mois. Plus d'un dirigeant sur deux craint de perdre ses données ou de se les faire pirater. Même si 84 % des entreprises déclarent avoir mis en place au moins une mesure de protection, seules 67 % disposent d'une sauvegarde externe et 39 % utilisent l'authentification multifacteur.

L'antivirus, aussi nécessaire soit-il, ne constitue pas un bouclier absolu. Il n'empêche pas un salarié pressé de saisir son mot de passe sur une fausse page. Il ne bloque pas forcément un virement validé après un appel convaincant. Il ne sauve pas une entreprise dont les sauvegardes sont inexistantes, connectées au réseau compromis ou impossibles à restaurer. La protection ne peut plus se résumer à l'installation d'un logiciel et à l'espoir que rien n'arrive.

Les attaques visant les professionnels se diversifient. En 2025, le piratage de comptes en ligne arrivait en tête des menaces signalées aux services d'assistance, avec une progression de 45 %. La fraude au virement représentait 13,5 % des demandes et bondissait de 93 % sur un an. Les rançongiciels comptaient encore pour 8,1 % des assistances, tandis que le cyberharcèlement visant les entreprises progressait de 205 %.

Derrière ces pourcentages se cachent des scénarios capables de détruire une petite entreprise.

La messagerie du dirigeant est piratée, puis utilisée pour demander à la comptabilité un virement urgent. Les fichiers sont chiffrés à la veille d'une paie ou d'une échéance fiscale. Les données des clients sont volées et menacent d'être publiées. Les commandes deviennent inaccessibles, les plannings disparaissent, la facturation s'arrête et les salariés ne peuvent plus travailler.

Une grande organisation peut mobiliser une équipe informatique, des juristes, un prestataire spécialisé, un service de communication et une assurance. Dans une TPE, le dirigeant se retrouve souvent seul au milieu de la tempête. Il doit comprendre l'origine de l'attaque, décider s'il faut couper les équipements, prévenir ses clients, restaurer les données, déposer plainte, respecter ses obligations réglementaires et relancer l'activité. Pendant ce temps, les charges continuent de tomber.

L'impact n'est pas seulement financier. Le baromètre consacré aux Français montre que 19 % des victimes déclarent une charge mentale ou un impact émotionnel et que 9 % perdent l'accès à l'un de leurs comptes. Pour un petit patron dont la vie personnelle et l'entreprise sont étroitement mêlées, le choc est encore plus violent. Une attaque peut remettre en cause des années de travail, dégrader la confiance des clients et faire naître un sentiment de culpabilité écrasant.

Près de six TPE-PME sur dix reconnaissaient encore en 2025 qu'elles ne sauraient pas évaluer les conséquences réelles d'une cyberattaque.

Pourtant, celles qu'elles redoutaient étaient majeures : perte ou vol de données, conséquences financières, interruption de l'activité et atteinte à la réputation. Le pire danger est peut-être là : beaucoup d'entreprises savent qu'une attaque est possible sans mesurer ce qu'elle ferait concrètement à leur trésorerie et à leur capacité de fonctionner.

Il faut donc abandonner deux illusions mortelles : celle qui consiste à croire qu'une petite entreprise n'intéresse personne et celle selon laquelle la cybersécurité serait uniquement une affaire de techniciens. Le risque cyber est un risque de continuité d'activité, au même titre qu'un incendie, un vol ou une rupture de trésorerie. Il doit être traité comme une responsabilité directe de la direction.

Chaque TPE devrait pouvoir répondre sans hésitation à des questions simples : qui appeler lorsque l'écran se bloque, comment isoler un poste compromis, où se trouvent les sauvegardes, quand elles ont été testées pour la dernière fois et qui peut remettre l'entreprise en marche. Si ces réponses n'existent pas, le plan de secours n'existe pas non plus.

La cybersécurité ne doit pas devenir une nouvelle injonction culpabilisante adressée aux petits patrons. Les pouvoirs publics, organisations professionnelles, banques, assureurs et prestataires numériques doivent rendre l'accompagnement accessible, compréhensible et proportionné aux moyens des TPE. Les dirigeants ont besoin de solutions concrètes, pas d'une montagne supplémentaire de normes et de documents.

Mais attendre serait irresponsable. Les cybercriminels n'attendent ni que l'entreprise ait grandi, ni qu'elle ait recruté un informaticien, ni qu'elle dispose d'un budget confortable. Ils frappent précisément là où les procédures sont faibles, où les mots de passe circulent et où l'urgence commerciale permet de contourner les contrôles. Pour une TPE, un seul clic peut désormais mettre en danger des années de travail. La question n'est plus de savoir si les petits patrons sont concernés, mais s'ils seront prêts lorsque l'attaque arrivera.