Un vendredi après-midi, un salarié reçoit un appel du « gérant » qui lui demande, en urgence, un virement pour débloquer un fournisseur. La voix est la sienne, à l’intonation près — un deepfake vocal généré en quelques secondes à partir de vidéos publiques. Plus besoin d’un email mal orthographié pour tromper une entreprise : une voix suffit désormais.
Ce scénario n’a rien de futuriste. Selon le Panorama de la cybermenace 2025 de l’ANSSI, les TPE, PME et ETI restent la cible principale des rançongiciels : 48 % des victimes identifiées, loin devant les collectivités (11 %) et le secteur de la santé (8 %). Et l’agence pointe un basculement net : les attaquants privilégient désormais des outils légitimes (comme AnyDesk) et une technique baptisée « ClickFix », où c’est la victime elle-même qui exécute, sans le savoir, la commande malveillante qu’on lui a fait copier-coller. Face à une action volontaire de l’utilisateur, un antivirus ne sert à rien.
Pourquoi les petites structures sont en première ligne
Contrairement à une idée reçue, la taille ne protège pas. Le baromètre 2025 de la maturité cyber des TPE-PME de Cybermalveillance.gouv.fr indique que 16 % des entreprises interrogées déclarent avoir été victimes d’au moins un incident au cours des 12 derniers mois. Parmi celles-ci, 43 % attribuent l’incident à l’hameçonnage, contre 24 % un an plus tôt — une progression nette en douze mois.
L’exfiltration de données, elle, a bondi de 51 % en 2025 selon l’ANSSI (196 cas confirmés contre 130 en 2024). Ce n’est plus seulement une histoire de rançon à payer : c’est la fuite silencieuse de fichiers clients, de contrats ou de données RH, parfois découverte des mois plus tard.
Le chiffre qui doit vraiment alerter un dirigeant
La bonne nouvelle : 6 TPE-PME sur 10 ont déjà engagé une action de sensibilisation de leurs équipes, selon le même baromètre. La moins bonne : cette proportion grimpe à 90 % dans les entreprises de plus de 10 salariés, contre une maturité nettement plus faible en dessous de ce seuil. Autrement dit, ce sont les structures les plus exposées d’après l’ANSSI qui forment le moins leurs collaborateurs.
Chez Akol, nous avons développé plusieurs formations et sensibilisations autour de la cybersécurité et des bonnes pratiques. Bien souvent, le maillon le plus faible dans une chaine de sécurité est l’humain.
Les compétences minimales à diffuser dans toute l’équipe
Pas besoin d’un service informatique dédié pour progresser. Quatre réflexes couvrent l’essentiel des attaques actuelles :
1. Vérifier avant d’exécuter, jamais après
Face à une demande urgente (virement, mot de passe, installation), on raccroche et on rappelle sur un numéro déjà connu — jamais celui laissé dans le message ou par l’appelant. C’est le seul rempart réel contre le ClickFix et les deepfakes vocaux.
2. Repérer un lien ou une pièce jointe suspecte
Un expéditeur apparemment légitime mais un ton inhabituel, une urgence artificielle, un nom de domaine presque identique à l’original : ce sont les signaux qui reviennent le plus souvent, IA ou non.
3. Séparer les usages pro et perso, activer la double authentification
Une messagerie professionnelle protégée par MFA neutralise une grande partie des tentatives de connexion frauduleuse, même en cas de mot de passe compromis.
4. Savoir à qui remonter une alerte, tout de suite
Un salarié qui a cliqué doit pouvoir le signaler dans la minute, sans crainte d’être sanctionné. Le temps de réaction fait souvent la différence entre un incident mineur et une crise.
Trois questions que se posent les dirigeants
Une TPE de 5 salariés est-elle vraiment une cible ? Oui. D’après l’ANSSI, les petites et moyennes structures représentent près de la moitié des victimes de rançongiciels identifiées en 2025 — davantage que les collectivités ou les hôpitaux.
Former ses équipes est-il vraiment plus utile qu’un outil technique ? Les deux sont complémentaires, mais l’ANSSI souligne que les attaques les plus récentes (ClickFix, deepfakes) contournent justement les protections techniques classiques en manipulant directement l’utilisateur. Sans sensibilisation, l’antivirus le plus à jour n’y change rien.
Peut-on faire financer une formation en cybersécurité par son OPCO ? Les formations de sensibilisation à la sécurité informatique relèvent généralement du plan de développement des compétences. La prise en charge dépend de votre OPCO, de votre branche et de votre éligibilité — mieux vaut vérifier les modalités avant d’engager la dépense qu’après.
Ce qu’il faut retenir
Les chiffres 2025 de l’ANSSI et de Cybermalveillance.gouv.fr racontent la même histoire : les TPE-PME sont les cibles principales, les attaques s’appuient de plus en plus sur la manipulation humaine plutôt que sur la faille technique, et ce sont justement les plus petites structures qui forment le moins leurs équipes. Corriger ce dernier point ne demande ni service informatique dédié ni gros budget — juste une méthode et quelques heures de formation.
Vous voulez savoir ce que votre OPCO peut prendre en charge sur une formation cybersécurité ou IA ? Testez notre simulateur de financement : quelques minutes suffisent pour estimer votre reste à charge selon votre situation.
Formations Akol pertinentes sur ce sujet :
- Sensibilisation à la cybersécurité pour tous les collaborateurs — reconnaître le phishing, les deepfakes et les demandes frauduleuses, sans prérequis technique.
- Utiliser l’IA générative en toute sécurité — encadrer les usages IA de l’équipe pour éviter fuite de données et shadow AI.
- RGPD : les fondamentaux pour les non-spécialistes — comprendre ses obligations en cas de fuite ou de compromission de données.