Les TPE, PME et ETI représentent désormais 48 % des victimes de rançongiciels identifiées par l’ANSSI, contre 37 % l’année précédente. Cette progression place ces structures en première ligne, loin devant les collectivités ou les établissements de santé. Trois types de failles web reviennent dans la majorité des incidents documentés, et leur correction ne demande pas de budget démesuré.
Failles web des PME : panorama chiffré des vecteurs d’attaque
Les rapports publics permettent de hiérarchiser les vulnérabilités réellement exploitées. Le tableau ci-dessous synthétise les trois failles web les plus fréquentes dans les incidents touchant les petites et moyennes entreprises, en croisant les données disponibles.
| Type de faille | Vecteur courant | Conséquence typique | Niveau de correction |
|---|---|---|---|
| CMS et composants tiers non patchés | Plugin WordPress obsolète, bibliothèque JavaScript vulnérable | Injection de code, redirection vers site malveillant | Mise à jour régulière (gratuite) |
| Portail d’accès exposé sans MFA | Interface d’administration accessible, VPN sans double authentification | Compromission de compte, mouvement latéral | Activation MFA (faible coût) |
| Communications non chiffrées | Formulaires en HTTP, transferts de données en clair | Interception de données clients, vol d’identifiants | Certificat TLS (souvent gratuit) |
Ce qui ressort de ce comparatif : les failles les plus exploitées sont aussi les moins coûteuses à corriger. Le décalage entre la simplicité des correctifs et la gravité des conséquences explique pourquoi les attaquants continuent de cibler les PME.
Une analyse détaillée de la protection web des PME selon Viruslab confirme que ces trois catégories concentrent l’écrasante majorité des incidents observés sur les sites professionnels de petite taille.
CMS non mis à jour : la faille web que les PME corrigent trop tard
Le catalogue CISA KEV, qui recense les vulnérabilités activement exploitées en conditions réelles, inclut régulièrement des failles liées à des CMS ou à leurs extensions. Un plugin WordPress abandonné par son développeur, une version de Joomla qui n’a pas reçu de correctif depuis plusieurs mois : ces situations créent des portes d’entrée permanentes.
Le problème ne se limite pas au CMS lui-même. Les bibliothèques JavaScript intégrées dans les thèmes ou les modules tiers accumulent des vulnérabilités qui passent sous le radar. Une PME qui gère son site sans prestataire technique dédié ne surveille généralement pas ces dépendances.
Prioriser les correctifs selon le risque réel
Toutes les mises à jour ne se valent pas. Les correctifs liés à des failles déjà exploitées en conditions réelles sont prioritaires sur les mises à jour de confort ou d’interface. Les listes de vulnérabilités activement exploitées, comme celle maintenue par la CISA, permettent de trier.
- Vérifier chaque semaine si les extensions installées figurent dans les alertes de sécurité publiées par l’éditeur du CMS
- Supprimer tout plugin inactif ou non maintenu depuis plus de six mois, même s’il semble fonctionnel
- Automatiser les mises à jour mineures de sécurité pour réduire le délai entre publication du patch et application
Cette discipline de mise à jour représente la première ligne de défense. Elle ne demande ni investissement logiciel ni compétence avancée, mais une régularité que beaucoup de PME n’ont pas encore intégrée dans leur routine.
Portails d’administration exposés : accès VPN et interfaces sans double authentification
Un panneau d’administration WordPress accessible depuis n’importe quelle adresse IP, un VPN d’entreprise protégé par un simple mot de passe : ces configurations restent fréquentes. L’absence de MFA sur les accès distants est le premier facteur de compromission de compte dans les entreprises de moins de 250 salariés.
Les attaquants n’ont pas besoin de techniques sophistiquées. Le credential stuffing (réutilisation d’identifiants volés sur d’autres services) suffit quand aucun second facteur d’authentification n’est activé. Un collaborateur qui utilise le même mot de passe pour sa messagerie personnelle et l’interface d’administration du site expose toute l’infrastructure.
Réduire la surface d’attaque des accès distants
Restreindre l’accès au panneau d’administration par adresse IP, quand c’est possible, élimine la majorité des tentatives automatisées. Pour les VPN, l’activation du MFA divise le risque de compromission de façon significative.
En revanche, la seule mise en place du MFA ne couvre pas tout. Un compte administrateur oublié, créé lors de l’installation initiale et jamais supprimé, reste une cible. Auditer la liste des comptes à privilèges au moins une fois par trimestre fait partie des gestes qui coûtent zéro euro et réduisent le périmètre exploitable.
Directive NIS 2 et obligations de cybersécurité pour les PME sous-traitantes
La transposition de la directive NIS 2 en droit français modifie le cadre réglementaire pour de nombreuses PME, y compris celles qui ne se considèrent pas comme des cibles directes. L’effet cascade de NIS 2 touche les sous-traitants et fournisseurs des entités régulées, qui devront démontrer un niveau de sécurité minimal.
Pour une PME sous-traitante d’un opérateur classé « entité importante », cela signifie concrètement que les trois failles décrites plus haut (CMS non patché, accès sans MFA, communications non chiffrées) pourraient devenir des motifs de non-conformité contractuelle. Le risque n’est plus seulement technique : il devient juridique et commercial.
Notifications d’incidents et responsabilité des dirigeants
NIS 2 introduit des délais de notification en cas d’incident significatif. Les dirigeants d’entités concernées portent une responsabilité directe sur la mise en conformité. Pour les PME, cette obligation transforme la cybersécurité d’un sujet technique délégué à l’informatique en un sujet de gouvernance.
- Cartographier les contrats avec des donneurs d’ordre soumis à NIS 2 pour anticiper les exigences de sécurité qu’ils répercuteront
- Documenter les mesures de protection en place (mises à jour, MFA, chiffrement) pour pouvoir répondre à un audit client
- Prévoir une procédure interne de notification d’incident, même simplifiée, pour respecter les délais réglementaires
La part croissante des TPE et PME parmi les victimes de rançongiciels et l’entrée en vigueur progressive de NIS 2 convergent vers le même constat. Les trois failles les plus exploitées sont connues, documentées et corrigeables à faible coût. Ce qui manque le plus souvent, ce n’est pas le budget, c’est la régularité dans l’application des correctifs et la prise en compte du sujet au niveau de la direction.