Cybersécurité PME : 7 mythes qui vous exposent aux attaques

Idée reçue n°4 : Mon prestataire informatique s’occupe de toute la cybersécurité de ma PME

C’est vers le prestataire informatique que l’on se tourne pour s’informer ou se faire aider en cybersécurité. Son expertise technique complète les gestes du quotidien de chaque collaborateur : mots de passe solides, double authentification, vigilance face aux mails suspects.

Mais même avec un excellent prestataire, les gestes de chacun comptent. Dans le monde, environ six violations de données sur dix impliquent une action humaine involontaire, c’est-à-dire un geste fait sans mauvaise intention. Le prestataire sécurise les outils, les équipes sécurisent les usages. Prestataire et équipes forment ainsi un duo complémentaire, en PME comme en collectivité.

Idée reçue n°5 : Mes équipes savent se protéger des cyberattaques

Les équipes sont une force à cultiver, mais tous les collaborateurs ne se protègent pas avec la même aisance : face à deux situations courantes, reconnaître un hameçonnage et repérer une usurpation d’identité, les résultats de l’Observatoire Pix 2025 varient avec l’âge :

Les plus jeunes obtiennent les meilleurs résultats, sans pour autant dépasser 59 % de réussite : même chez eux, plus de 4 personnes sur 10 passent à côté. Le besoin de montée en compétences en cybersécurité concerne donc toutes les générations, dans les entreprises comme dans les collectivités.

Si vos équipes découvrent le sujet, les Parcours Apprenants de Pix Pro offrent un bon point de départ pour la sensibilisation à la cybersécurité : chacun évalue d’abord ses compétences, puis suit des modules courts, adaptés à son niveau, pour reconnaître les cybermenaces et s’en protéger.

Idée reçue n°6 : Mes salariés savent reconnaître un phishing

Le phishing, ou hameçonnage, consiste à envoyer un message frauduleux en se faisant passer pour un tiers de confiance, afin d’obtenir des données personnelles ou bancaires. Un faux message de fournisseur annonçant de nouvelles coordonnées bancaires, un message au ton du dirigeant qui demande un virement rapide : ces scénarios relèvent de l'ingénierie sociale. 

Reconnaître ces messages demande de l’entraînement, et la structure dans laquelle on travaille y change beaucoup. Dans l'étude sur la maîtrise du numérique des personnes en emploi en France de Pix, 57 % des personnes qui travaillent dans une structure de plus de 5 000 salariés reconnaissent une tentative de phishing, contre 40 % dans une structure de moins de 250 salariés. Les collectivités ont elles aussi une belle marge de progression : les agents de la fonction publique territoriale obtiennent le taux de réussite le plus faible, 19 %.

Face à ces écarts, une précaution simple limite déjà les risques : confirmer une demande de virement par un autre canal que le message reçu, par exemple en rappelant le numéro habituel du fournisseur. Pour que ce réflexe s'installe dans les équipes, le parcours “Connaître les menaces et s'en protéger” permet de les former à repérer l'hameçonnage et à s'en prémunir.

Idée reçue n°7 : La cybersécurité coûte trop cher pour une PME

Selon le baromètre 2025 de Cybermalveillance.gouv.fr et OpinionWay, le budget est un vrai frein. Parmi les TPE-PME qui estiment devoir mieux se préparer, 61 % citent le manque de budget, au même niveau que le manque de connaissances (63 %). Près de 8 TPE-PME sur 10 ont un budget informatique inférieur à 5 000 € par an, et 77 % de celles qui connaissent leur budget de sécurité y consacrent moins de 2 000 €, hors salaires. Les collectivités sont dans la même situation : parmi les communes de moins de 25 000 habitants qui connaissent leur budget informatique, plus des trois quarts consacrent aussi moins de 2 000 € par an à la sécurité informatique. Pour elles, le premier frein cité est d'ailleurs le manque de connaissances (47 %), devant le manque de budget (36 %). Pour vous situer, l'ANSSI recommande de consacrer 15 % du budget informatique à la cybersécurité, soit 750 € pour 5 000 € de budget informatique.

Face à ce budget, le coût d'une attaque donne un repère, avec de grands écarts selon la gravité. Dans le rapport Hiscox 2023, le coût médian d'une cyberattaque, toutes tailles d'entreprise confondues, s'élève à environ 14 700 €. Une entreprise sur huit déclare un coût de 230 000 € ou plus. Parmi les 94 entreprises victimes interrogées dans le baromètre, 29 % déclarent une interruption des activités, 22 % un vol de données et 11 % des pertes financières. 

Au regard de ces coûts, mieux vaut donner sa place à la cybersécurité en entreprise comme en collectivité.

Sept idées reçues, un même fil rouge : croire que le risque concerne les autres, ou qu'il est déjà couvert. Pour une PME comme pour une collectivité, trois priorités de cybersécurité suffisent pour commencer : une double authentification robuste, des équipes formées et évaluées, et un plan de réaction en cas d'incident. En cas de doute ou d'attaque, le diagnostic en ligne de Cybermalveillance.gouv.fr aide à identifier le problème. Côté prévention, Pix Pro vous propose d'évaluer les compétences en cybersécurité de vos équipes pour repérer les points à renforcer