Etat des lieux et nouvelles tendances de la cybermenace en France (2024)

En 2023, près d’une entreprise française sur deux (49 %) a subi au moins une cyberattaque, soit une augmentation de 4 % en un an.

Les actes malveillants dépassent désormais largement la sphère du « risque technologique » et menacent désormais la compétitivité, voire la pérennité des entreprises qui accusent des pertes financières majeures et une atteinte à leur image.

La cybermenace, en tête des priorités pour 44 % des décideurs français

Les cyberattaques sont perçues comme le premier risque qui menace la performance des entreprises, selon l’édition 2024 du baromètre du groupe Allianz qui a sondé plus de 3 000 entreprises opérant dans 24 secteurs d’activité et issus de 92 pays à travers le monde, dont la France.

Citée en premier par 36 % des décideurs sondés, la cybermenace dépasse la perturbation de la chaîne d’approvisionnement (31 %), les catastrophes naturelles (26 %), les changements législatifs (19 %) et les turbulences macroéconomiques (inflation, austérité, etc.).

En France, la cybermenace est citée par plus de 44 % des décideurs, soit 8 points de plus que la moyenne mondiale. Les entreprises françaises craignent spécifiquement les ransomwares, les fuites de données et les sanctions financières et réputationnelles (RGPD notamment).

Si l’ensemble des 24 secteurs d’activité évoquent systématiquement la cybermenace dans le top 3 des risques à neutraliser, ce sont logiquement les filières fortement digitalisées et/ou qui manipulent des données sensibles qui classent la cybersécurité en tête de leurs priorités :

• Les télécoms (67 %) ;
• L’IT et les nouvelles technologies (54 %) ;
• Les services aux entreprises (47 %) ;
• Le droit (47 %) ;
• Les médias (44 %) ;
• Les services financiers (43 %) ;
• Les États et les administrations publiques (37 %) ;
• La santé (37 %) ;
• Le tourisme et les loisirs (36 %) ;
• Les biens de consommation (29 %).

L’étude montre que la cybermenace est un risque transversal qui ne dépend pas de la taille de l’entreprise. En effet, cette préoccupation figure en première position pour :

• Les grandes entreprises (41 %) ;
• Les entreprises de taille intermédiaire ou ETI (34 %) ;
• Les PME (32 %).

La cybersécurité arrive (enfin) dans les conseils d’administration

C’est en tout cas ce qui ressort d’une étude réalisée en 2024 par Ivanti auprès de 7 000 dirigeants de grandes entreprises françaises. Ces derniers sont unanimes (91 %) sur le fait que la cybersécurité « est désormais considérée comme une question stratégique majeure ».

Dans le même sens, 80 % des entreprises sondées déclarent que leur conseil d’administration compte au moins un expert en sécurité informatique, et 86 % rapportent que la cybermenace est un sujet de discussion récurrent au niveau stratégique.

En clair, la sécurité informatique passe d’un sujet IT, où la cybermenace figure comme une sous-thématique du risque technologique, à un sujet stratégique abordé dans le contexte de la performance globale de l’entreprise.

Si ces indicateurs sont encourageants, l’étude relève toutefois de grandes difficultés à élaborer et à exécuter la stratégie de cybersécurité en interne :

• La moitié des professionnels sondés affirment que le top management « n’a pas une compréhension avancée » des concepts de la cybersécurité. Cette proportion monte à 86 % chez les entreprises les moins matures sur le risque cyber ;
• 72 % des professionnels affirment que les équipes concernées par la cybersécurité ne sont pas alignées et qu’elles travaillent séparément (en silos) ;
• 41 % épinglent « une collaboration difficile » entre les équipes sur les projets de sécurité informatique.

Dans le même sens, les professionnels de la cybersécurité qui évoluent au sein d’une entreprise (hors agences spécialisées et ESN) affirment manquer d’informations critiques pour élaborer et piloter la politique de sécurité informatique, notamment :

• Les logiciels utilisés par les collaborateurs (47 %) ;
• Les périphériques qui accèdent au réseau et aux ressources de l’entreprise (42 %) ;
• Les vulnérabilités auxquelles les systèmes sont exposés (41 %) ;
• Les risques cyber provenant des fournisseurs (38 %).

Ces frictions retardent la réponse aux incidents de sécurité chez 63 % des entreprises, et 54 % se trouvent constamment exposées.

⚠️ Les entreprises françaises peinent à se conformer

Plus de la moitié (56 %) des entreprises françaises affirment avoir du mal à se conformer aux exigences légales en matière de cybersécurité. Environ un tiers des professionnels affirment que le nombre d’outils et d’interlocuteurs en matière de sécurité informatique est devenu trop important.

Le top 5 des cyberattaques qui ont le plus touché les entreprises françaises en 2023

Le 9^e baromètre de la cybersécurité des entreprises, réalisé conjointement par le CESIN et OpinionWay en 2024, rapporte que 49 % des organisations ont subi au moins une cyberattaque « réussie » l’année écoulée.

Sans surprise, la technique la plus utilisée par les cyberattaquants reste le phishing, que ce soit pour cibler les entreprises de toutes tailles ou les collectivités publiques :

1. Phishing (60 %) : technique qui consiste à obtenir des informations personnelles ou confidentielles, notamment des identifiants bancaires, dans le but de perpétrer une usurpation d’identité, souvent par le biais d’emails qui semblent provenir d’une source fiable (banque, assurance, administration fiscale, etc.) ;
2. Exploitation d’une faille ou d’une vulnérabilité (43 %) : acte de localiser et d’utiliser des défauts dans le code des logiciels utilisés par l’entreprise pour accéder à des systèmes ou des données de manière non autorisée ;
3. Attaque en déni de service ou DDoS (34 %) : action malveillante visant à rendre une ressource informatique indisponible à ses utilisateurs prévus (site web par exemple), souvent par une surcharge des serveurs avec un grand nombre de requêtes.
4. Tentatives de connexion (34 %) : essais répétés pour accéder à un système ou à un réseau en utilisant plusieurs combinaisons d’identifiants dans le but de trouver la bonne et de pénétrer le système ;
5. Arnaque au président (28 %) : escroquerie où le fraudeur se fait passer pour un dirigeant ou un haut responsable de l’entreprise pour convaincre un employé de transférer des fonds ou des informations confidentielles.

L’IA et la cybersécurité : une opportunité et une menace

L’IA fait logiquement son entrée dans le domaine de la cybersécurité, pour le meilleur et pour le pire. Si elle outille les éditeurs de logiciels et les professionnels de la sécurité informatique pour mieux détecter et neutraliser les menaces, elle permet également aux pirates de créer des cyberattaques plus sophistiquées.

Selon cette étude, 77 % des professionnels de la sécurité anticipent une augmentation des fuites de données à cause de la généralisation de l’IA dans l’entreprise. L’absence d’une politique formelle pour encadrer l’usage de cette technologie dans 34 % des grandes entreprises françaises aggrave ce risque.

Le manque de compétences en interne est également préoccupant, dans la mesure où 65 % des experts reconnaissent « ne pas avoir une compréhension approfondie » de l’IA générative.

Enfin, les professionnels de la cybersécurité estiment que l’IA devrait compliquer la détection et la gestion du phishing (45 %), des attaques ciblant les vulnérabilités logicielles (38 %) et des attaques par ransomware (37 %).

DFM sécurise votre entreprise et votre activité

Vous avez récemment subi une cyberattaque ? Vous vous interrogez sur votre exposition au risque cyber ? Vous devez mettre à niveau votre politique de sécurité informatique en prévision d’un audit client ?

DFM met ses 20 ans d’expérience au service de la sécurisation de votre infrastructure informatique.

Notre objectif : vous permettre de stimuler le développement de votre entreprise en toute sérénité.

Discutons de votre besoin.