"On est trop petit pour être une cible" : pourquoi les ETI sont le gibier préféré des attaquants

Le mythe le plus dangereux de la cybersécurité

“On n’est pas une cible. On est une ETI de 200 salariés. Personne ne nous connaît. Les hackers s’attaquent aux banques et aux multinationales, pas à nous.”

Cette phrase, nous l’entendons dans 8 réunions sur 10 quand nous parlons de sécurité avec des dirigeants d’ETI (sur la cinquantaine de réunions DSI/DG menées en 2024-2025). C’est le mythe le plus répandu, et le plus coûteux, de la cybersécurité en 2026

Parce que ce mythe repose sur une incompréhension fondamentale de la manière dont les attaques fonctionnent aujourd’hui

Pour un dirigeant d’ETI, ce mythe a un coût direct. Avec NIS2 applicable depuis octobre 2024, la responsabilité de la cybersécurité remonte au dirigeant, pas au DSI. Un DG qui n’a pas pris de mesures raisonnables engage sa responsabilité personnelle en cas d’incident, avec des sanctions allant jusqu’à 10M€ ou 2% du CA mondial. La suite de cet article explique pourquoi le raisonnement “on est trop petit” ne tient plus, et ce que ça change concrètement pour vous.

Si ce raisonnement vous semble familier, regardons ce qui le rend faux, en commençant par la mécanique réelle des attaques

Comment les attaquants choisissent vraiment leurs cibles

Ce n’est pas du ciblage. C’est de la pêche au chalut

L’image du hacker qui choisit méticuleusement sa cible (étudie l’organigramme, repère les failles, planifie l’attaque pendant des semaines) existe. Mais elle représente moins de 5% des cyberattaques. C’est le modèle des attaques étatiques et de l’espionnage industriel. Pas celui qui touche les ETI

95% des attaques sont opportunistes et industrialisées. Voici comment ça fonctionne :

1. Scan massif : des outils automatisés (Shodan, Masscan, des scripts custom) balayent des millions d’adresses IP en quelques heures. Ils identifient les serveurs avec des ports ouverts, des services non patchés, des VPN avec des vulnérabilités connues

2. Exploitation automatique : pour chaque vulnérabilité détectée, un exploit kit tente l’intrusion. Pas besoin d’intervention humaine. Le script tourne 24/7

3. Monétisation : si l’exploit réussit, l’attaquant (ou le bot) évalue ce qu’il a trouvé. Un Active Directory ? Parfait pour un ransomware. Une base de données clients ? Revente sur le dark web. Des accès email ? Phishing interne et fraude au président

Votre entreprise n’a pas besoin d’être connue pour être attaquée. Elle a besoin d’être vulnérable. Et vulnérable, en 2026, c’est : pas de MFA, des serveurs non patchés, un RDP exposé sur Internet, ou un employé qui clique sur un phishing. C’est le profil de la majorité des ETI françaises

Les chiffres qui contredisent le mythe

• 60% des victimes de ransomware en France font moins de 250 salariés (ANSSI, rapport 2025)
• Un serveur RDP exposé sur Internet est compromis en moyenne en 72 heures (Rapid7)
• Plus de 80% des intrusions réussies commencent par une compromission d’identifiants ou un email de phishing (Verizon DBIR 2024), le taux de clic moyen en entreprise est de 15-25% selon le secteur et le niveau de sensibilisation (Proofpoint State of the Phish 2025)
• Le nombre d’ETI françaises déclarant au moins une cyberattaque significative a progressé de 35% entre 2024 et 2025, selon le baromètre annuel CESIN, passant de 47% à 64% des ETI répondantes (échantillon : 300+ membres CESIN)

Ces attaques automatisées frappent sans distinction de taille. Mais certaines entreprises offrent un ratio effort/gain particulièrement attractif pour les attaquants

Les ETI : le gibier idéal

Les ETI combinent le pire des deux mondes :

Assez grosses pour être lucratives. Une ETI de 200 salariés a un CRM avec des milliers de contacts clients, un ERP avec des données financières, des contrats fournisseurs, de la propriété intellectuelle. Assez de données pour qu’un incident coûte typiquement 500K€ à 1,5M€ pour une ETI de 100-500 salariés (rançon éventuelle, perte d’exploitation, remédiation, notification clients), avec un arrêt d’activité à 30-50K€ par jour pour les opérations critiques

Trop petites pour se défendre. Pas de SOC (Security Operations Center), pas de RSSI, rarement un EDR sur tous les postes, des sauvegardes jamais testées. La sécurité est “gérée” par le responsable informatique, qui cumule cette responsabilité avec l’administration des serveurs, le support et les achats

Moins surveillées par les autorités. Les grandes entreprises sont auditées, certifiées, soumises à des régulateurs sectoriels. Les ETI passent sous le radar, jusqu’à l’incident

Résultat : les ETI sont la cible au meilleur “retour sur investissement” pour un attaquant. Assez d’argent à prendre, peu de résistance à l’intrusion

Le cas particulier du secteur santé

Les ETI du secteur santé sont 3 fois plus ciblées que la moyenne (IBM X-Force, 2025). La raison est économique : un dossier patient complet (identité, numéro de sécurité sociale, historique médical, prescriptions) se revend 250$ sur le dark web. Ce chiffre concerne principalement le marché nord-américain (source : IBM X-Force 2024). En Europe, les valeurs constatées par l’ENISA sur les places de marché du dark web sont plus basses, typiquement 50 à 150€ pour un dossier médical complet, mais le risque réglementaire RGPD compense largement (sanctions CNIL récentes : 800K€ Dedalus Biologie en 2022, 1,5M€ Doctolib en 2023 sur des sujets connexes). Un numéro de carte bancaire : 5$. Le ratio dossier médical / carte bancaire reste de 10 pour 1 à 50 pour 1 selon les marchés

Ajoutez à cela les contraintes HDS (Hébergement de Données de Santé) et l’urgence opérationnelle (un hôpital ou une clinique ne peut pas “éteindre les serveurs et attendre”), et vous comprenez pourquoi la santé est le secteur le plus visé et le plus vulnérable

Opportunisme et ciblage : la nuance importante

Les attaques par ransomware sont majoritairement opportunistes (scan de vulnérabilités). Mais les groupes les plus structurés pratiquent aussi le ciblage sectoriel, notamment dans la santé et la finance, où la pression au paiement est plus forte. La distinction entre opportunisme et ciblage s’estompe : même une attaque opportuniste exploite des failles prévisibles et évitables

Savoir que les ETI sont des cibles privilégiées ne suffit pas. La question utile : votre SI présente-t-il les failles que ces attaques exploitent ?

5 signaux que vous êtes déjà exposé

Avant même qu’une attaque ne se produise, des signaux indiquent que votre SI est vulnérable. Vous pouvez vérifier la plupart gratuitement :

1. Des ports ouverts sur Internet

Allez sur Shodan et cherchez votre plage d’adresses IP publiques. Si vous voyez des services exposés (RDP, SMB, bases de données, interfaces d’administration), c’est une porte d’entrée. Un port RDP ouvert sur Internet est l’équivalent numérique d’une porte de bureau grande ouverte la nuit

2. Des identifiants dans des fuites de données

Vérifiez votre domaine sur Have I Been Pwned. Si des emails professionnels apparaissent dans des fuites, les mots de passe associés circulent. Sans MFA, un attaquant peut se connecter à votre messagerie, votre VPN, ou votre CRM avec un mot de passe volé il y a 3 ans

3. Pas de politique DMARC

DMARC empêche l’usurpation de votre domaine email (quelqu’un qui envoie des mails “depuis” votre adresse). Sans DMARC, n’importe qui peut envoyer un email qui semble venir de votre DG : c’est la base de la fraude au président. Vérifiable en 10 secondes via un outil en ligne

4. Pas de MFA sur les accès critiques

Si vos accès messagerie, VPN et outils d’administration ne sont pas protégés par MFA, vous êtes vulnérable à 99.9% des attaques par vol de mot de passe (Microsoft Security, 2025). C’est la mesure la plus simple et la plus efficace qui existe

5. Des mises à jour en retard de plus de 90 jours

Des serveurs ou des postes avec des correctifs de sécurité en retard de plus de 3 mois sont des cibles connues. Les attaquants n’inventent pas des failles, ils exploitent celles qui sont publiées et non corrigées

Si vous cochez 3 des 5 signaux, votre ETI est plus vulnérable que 70% des entreprises de votre taille. Ce n’est pas une question de “si” mais de “quand”

Ce que vous pouvez faire des lundi

Si vous cochez 3 signaux ou plus, voici les 4 actions à engager dans le mois, par ordre de ratio impact / coût :

1. Activer le MFA partout (coût : 0-5K€, délai : 2-4 semaines) : sur la messagerie, le VPN, les accès administrateur, et les 5 outils SaaS les plus critiques. Ferme 99,9% des attaques par vol de mot de passe.
2. Publier une politique DMARC en mode “reject” (coût : 1-3K€ avec un prestataire, délai : 4-6 semaines), coupe la fraude au président par usurpation de domaine.
3. Mettre à jour les serveurs et VPN exposés (coût : interne, délai : 2-4 semaines), patcher les CVE connues sur les actifs exposés à Internet (audit de surface d’attaque par Shodan ou prestataire).
4. Tester une restauration de sauvegarde (coût : interne, délai : 1 journée), vérifier qu’on sait restaurer en moins de 24h. C’est la seule mesure efficace contre un ransomware réussi.

Ces 4 actions réduisent l’exposition de 70 à 80% sans investissement majeur. Elles ne remplacent pas une stratégie de sécurité structurée, mais elles vous sortent de la zone de cible facile.

Au-delà du risque technique, cette exposition a des conséquences directes sur la responsabilité du dirigeant, l’assurabilité de l’entreprise et sa capacité commerciale

Ce que ça change pour un DG

Responsabilité personnelle

Avec NIS2 (applicable aux ETI de secteurs essentiels depuis 2024), la responsabilité de la cybersécurité remonte au dirigeant. Ce n’est plus “le problème de l’informatique”. Un DG qui n’a pas pris de mesures raisonnables de sécurité engage sa responsabilité personnelle en cas d’incident. Les sanctions NIS2 vont jusqu’à 10M€ ou 2% du CA mondial

Assurabilité

Les assureurs cyber durcissent leurs conditions depuis 2024. De plus en plus d’ETI se voient refuser une couverture ou imposer des primes doublées parce qu’elles ne peuvent pas prouver un minimum de mesures de sécurité (MFA, sauvegardes testées, politique de sécurité documentée). Sans assurance cyber, l’intégralité du risque financier repose sur l’entreprise

Réputation et business

Les clients grands comptes envoient des questionnaires de sécurité avant de contractualiser. Pas de politique de sécurité documentée, pas de certification, pas de RSSI identifié ? Vous ne passez même pas la qualification fournisseur. Combien d’appels d’offres avez-vous perdus sans savoir que c’était pour cette raison ?

De la prise de conscience à l’action

Être une cible n’est pas une fatalité. C’est un constat qui appelle une réponse proportionnée. Pas un SOC à 500K€/an. Pas un RSSI à 120K€. Mais un plan de sécurité structuré, adapté à votre taille et à votre budget

La première étape est de chiffrer ce que vous coûte réellement l’absence de sécurité : les coûts visibles et invisibles. C’est l’objet de notre prochain article : le vrai coût d’une absence de RSSI

Pour comprendre ce qui se passe concrètement quand une ETI est touchée, lisez notre anatomie d’une cyberattaque : les 48 premières heures

Sources et méthodologie

• ANSSI, Panorama de la cybermenace 2024 : 60% des victimes de ransomware font moins de 250 salariés
• Proofpoint, State of the Phish 2025 : taux de clic phishing (15-25% selon le secteur)
• IBM X-Force 2024 : valeur des dossiers patients sur le dark web (250$ marché nord-américain)
• Rapid7 : délai moyen de compromission d’un RDP exposé (72 heures)
• CESIN : augmentation de 35% des cyberattaques sur les ETI entre 2024 et 2025
• Microsoft Security 2025 : efficacité du MFA (99,9% des attaques par vol de mot de passe)

---

Vous voulez savoir si votre ETI est exposée ? Notre audit cybersécurité vérifie vos 5 signaux d’exposition et propose les actions prioritaires, en 30 minutes