Les cyberattaques en France ne sont plus un épiphénomène réservé aux grandes multinationales. Elles touchent désormais des collectivités locales, des hôpitaux, des PME et même des associations. Dans son dernier rapport présenté au Forum InCyber, InterCert France a analysé 366 incidents de sécurité réels pour dresser un état des lieux précis de la menace. Le résultat est préoccupant : les attaquants s’organisent, se professionnalisent, et exploitent des failles que beaucoup d’organisations laissent béantes par manque de ressources ou de sensibilisation. Mais le rapport pointe aussi des solutions concrètes, accessibles à tous les niveaux de maturité numérique.
Ce que révèle le rapport InterCert France : des chiffres qui font froid dans le dos
Analyser 366 incidents, c’est disposer d’un échantillon suffisamment large pour identifier des tendances solides. Et les tendances, justement, ne sont guère rassurantes. En moyenne, une organisation met 15 jours à détecter qu’elle a été compromise. Quinze jours pendant lesquels les attaquants peuvent se déplacer librement dans les systèmes, exfiltrer des données, installer des portes dérobées ou préparer un chiffrement massif.
La durée moyenne d’un incident atteint quant à elle 17 jours, soit près de trois semaines d’interruption potentielle ou de crise à gérer. Pour une PME ou une collectivité sans équipe dédiée, c’est une éternité.
Voici les données clés à retenir :
- 15 jours en moyenne pour détecter une intrusion
- 17 jours de durée moyenne d’un incident
- 1 attaque sur 3 vise le vol de données sensibles
- 1 attaque sur 3 repose sur un rançongiciel
- La majorité des attaques sont dites « opportunistes » : elles exploitent une vulnérabilité connue, non corrigée
Ces chiffres illustrent une réalité souvent minimisée : les hackers ne ciblent pas toujours une organisation précise. Ils scannent le web en permanence, repèrent les systèmes non mis à jour ou mal configurés, et frappent là où la résistance est la plus faible. C’est l’opportunisme à l’état pur, industrialisé et automatisé.
Le « pré-positionnement » : quand les hackers s’installent et attendent
Parmi les tendances les plus inquiétantes identifiées dans le rapport figure ce qu’on appelle le pré-positionnement. Le principe est simple à comprendre, mais redoutable dans ses effets : un attaquant s’infiltre dans un système, puis reste silencieux pendant des semaines, voire des mois. Il n’agit pas immédiatement. Il attend.
Cette stratégie est généralement associée à des groupes soutenus par des États, mais elle se démocratise. L’objectif peut être multiple : espionner des communications, cartographier l’infrastructure pour préparer une attaque future, ou disposer d’un levier de sabotage en cas de tension géopolitique. L’ANSSI, l’agence nationale française de cybersécurité, avait déjà documenté ce phénomène dans plusieurs de ses rapports annuels sur la menace informatique.
Ce qui rend le pré-positionnement particulièrement dangereux, c’est précisément sa discrétion. Les outils de détection classiques, conçus pour repérer des comportements anormaux et bruyants, peuvent passer à côté d’un attaquant qui se déplace lentement, en mimant le comportement d’un utilisateur légitime.
Rançongiciels : il existe une fenêtre d’intervention, et elle est plus grande qu’on ne le croit
Le rançongiciel reste l’une des menaces les plus médiatisées, et pour cause : ses effets sont immédiats et visibles. Les fichiers sont chiffrés, les systèmes sont paralysés, une rançon est exigée. Mais le rapport InterCert France apporte une nuance importante et souvent ignorée : le chiffrement ne se produit pas instantanément après l’intrusion.
Entre le moment où un attaquant pénètre dans un réseau et celui où il déclenche le chiffrement des données, il peut s’écouler plusieurs jours. Durant cette période, les cybercriminels cartographient le réseau, identifient les sauvegardes pour les neutraliser en priorité, élèvent leurs privilèges et parfois exfiltrent des données pour disposer d’un deuxième levier de chantage.
C’est aussi pendant cette période qu’ils sont détectables. Un bon système de surveillance, couplé à des alertes comportementales, peut repérer ces mouvements latéraux suspects avant que le pire ne survienne. C’est la promesse des outils EDR dont nous parlerons plus loin, et c’est précisément pourquoi la vitesse de détection est un enjeu stratégique majeur. Pour aller plus loin sur ce type de logiciel malveillant, notre article sur ce qu’est un ransomware et comment il fonctionne détaille les mécanismes d’infection étape par étape.
Les identités numériques : la cible numéro un des attaquants en 2025
Si le rapport InterCert France devait pointer un seul enseignement prioritaire, ce serait celui-là : les identités numériques sont devenues le vecteur d’attaque principal. En 2025, compromettre un compte utilisateur légitime est la technique la plus fréquemment employée pour pénétrer dans un système d’information.
Pourquoi ? Parce que c’est efficace et discret. Un attaquant qui se connecte avec des identifiants valides ne déclenche aucune alarme. Il est, aux yeux des systèmes de surveillance, un utilisateur comme un autre. C’est seulement l’analyse de ses comportements (heure de connexion inhabituelle, volume de données consultées, accès à des ressources inhabituelles) qui peut trahir sa présence.
Les recommandations issues du rapport sont claires et actionnables dès aujourd’hui :
- Activer l’authentification multi-facteurs (MFA) sur tous les comptes, sans exception. Un mot de passe seul ne suffit plus. Notre guide pratique sur comment activer la double authentification vous explique comment le faire sur les principaux services.
- Appliquer le principe du moindre privilège : chaque utilisateur ne doit accéder qu’aux ressources strictement nécessaires à son activité.
- Surveiller les connexions inhabituelles en temps réel, avec des alertes automatisées.
- Réviser régulièrement les droits d’accès, notamment lors des départs ou changements de poste.
- Former les équipes à reconnaître le phishing, qui reste le principal vecteur de vol d’identifiants.
Un compte compromis, c’est potentiellement la totalité d’un réseau exposée. La chaîne n’est jamais plus solide que son maillon le plus faible, et ce maillon, c’est souvent un mot de passe simple ou réutilisé.
Sauvegardes et EDR : les deux piliers techniques d’une défense efficace
Face aux rançongiciels, la sauvegarde reste le filet de sécurité le plus élémentaire et pourtant le plus négligé. Mais attention : toutes les sauvegardes ne se valent pas. Une sauvegarde connectée en permanence au réseau sera chiffrée en même temps que le reste des données lors d’une attaque. La règle d’or, c’est la stratégie dite 3-2-1 : trois copies des données, sur deux supports différents, dont une conservée hors ligne ou dans un environnement isolé.
Des sauvegardes correctement configurées permettent de :
- Restaurer rapidement les systèmes sans payer de rançon
- Réduire drastiquement l’impact financier d’un incident
- Disposer d’une référence propre pour analyser les données potentiellement exfiltrées
L’autre outil incontournable cité par le rapport, ce sont les solutions EDR (Endpoint Detection and Response). Contrairement aux antivirus traditionnels qui cherchent des signatures connues, les EDR analysent les comportements en temps réel sur chaque poste de travail ou serveur. Ils peuvent détecter un processus qui tente de chiffrer massivement des fichiers, une connexion vers un serveur de commande externe, ou une élévation de privilèges non autorisée.
Couplés à un SIEM (Security Information and Event Management) ou à un SOC externalisé, ces outils donnent aux équipes une visibilité globale sur ce qui se passe dans l’infrastructure. Le résultat : des délais de détection réduits, et une capacité de réponse bien plus rapide.
Le facteur humain : former plutôt que punir
La technologie ne fait pas tout. Un EDR dernier cri ne protégera pas une organisation dont les employés cliquent sans réfléchir sur des liens de phishing ou réutilisent le même mot de passe partout. Le facteur humain demeure la première cause d’incident de sécurité, tous secteurs confondus.
Mais plutôt que de pointer du doigt les utilisateurs, les experts prônent une approche pédagogique. Former, simuler, sensibiliser : ces actions réduisent concrètement le taux de clics sur des emails malveillants. Les simulations de phishing, notamment, permettent de mesurer le niveau de vigilance des équipes et d’identifier les profils les plus à risque pour les accompagner en priorité.
Les bonnes pratiques à adopter au quotidien :
- Utiliser un gestionnaire de mots de passe pour générer et stocker des identifiants uniques et complexes
- Ne jamais cliquer sur un lien dans un email sans vérifier l’expéditeur et l’URL de destination
- Séparer strictement les usages professionnels et personnels (appareils, comptes, réseaux)
- Signaler tout comportement suspect sans crainte de jugement
- Mettre à jour systématiquement les logiciels et systèmes d’exploitation dès qu’un correctif est disponible
Ces gestes paraissent anodins. Pourtant, la grande majorité des incidents analysés par InterCert France auraient pu être évités ou considérablement limités si ces réflexes de base avaient été appliqués. Pour approfondir la connaissance de la menace, les guides de cybersécurité publiés par l’ANSSI constituent une ressource de référence, gratuite et régulièrement mise à jour.
Ce que les organisations doivent faire dès maintenant : une checklist prioritaire
Plutôt qu’une liste de voeux, voici les actions concrètes que tout responsable informatique peut lancer sans délai, quelle que soit la taille de son organisation :
- Cartographier les actifs numériques critiques (serveurs, bases de données, comptes administrateurs)
- Déployer le MFA sur tous les accès distants et les comptes à privilèges en priorité
- Vérifier l’état et l’isolation des sauvegardes
- Déployer ou auditer une solution EDR sur les postes et serveurs
- Planifier un exercice de gestion de crise cybersécurité dans les six prochains mois
- Organiser au moins une session de sensibilisation au phishing par trimestre
- Tenir un journal des accès et connexions pour faciliter l’analyse forensique en cas d’incident
Aucune de ces actions n’exige un budget exorbitant. La plupart relèvent de la bonne hygiène numérique, documentée et recommandée depuis des années par les autorités compétentes. La vraie question n’est plus « est-ce utile ? » mais « pourquoi ne l’avons-nous pas encore fait ? »
Questions fréquentes
Quelle est la technique d’attaque la plus utilisée par les hackers en France en 2025 ?
L’exploitation de comptes utilisateurs légitimes compromis. Les attaquants se connectent avec des identifiants volés (via phishing, fuites de données ou attaques par force brute) et se fondent dans le trafic normal du réseau. C’est discret, efficace et difficile à détecter sans surveillance comportementale avancée.
Pourquoi met-on en moyenne 15 jours à détecter une cyberattaque ?
Parce que les attaquants modernes privilégient la discrétion à la vitesse. Ils imitent le comportement d’utilisateurs légitimes, agissent progressivement et évitent de déclencher des alertes. Sans solution de détection comportementale (EDR, SIEM) et sans surveillance active, ces intrusions passent inaperçues pendant des semaines.
Peut-on vraiment stopper un rançongiciel avant le chiffrement des données ?
Oui, c’est techniquement possible. Entre l’intrusion initiale et le déclenchement du chiffrement, les attaquants passent plusieurs jours à se préparer. Cette fenêtre d’intervention permet, avec les bons outils et des alertes configurées, de détecter et d’isoler la menace avant que les dégâts ne soient irréversibles.
Qu’est-ce que le pré-positionnement et en quoi est-il dangereux ?
Le pré-positionnement désigne la stratégie consistant à s’infiltrer dans un système et à y rester dormant, sans agir immédiatement. L’objectif peut être l’espionnage, la préparation d’une attaque future ou la création d’une capacité de sabotage. Cette technique est particulièrement difficile à détecter car elle génère peu d’activité anormale visible.
La cybersécurité est-elle réservée aux grandes entreprises ?
Absolument pas. Les PME, collectivités locales et associations sont des cibles de choix précisément parce qu’elles disposent souvent de moins de ressources pour se défendre. Les mesures de base (MFA, sauvegardes isolées, sensibilisation des équipes) sont accessibles à tous les budgets et réduisent considérablement le risque d’incident.
