La cybermenace de 2026 avance sur deux fronts : l’IA générative accélère les attaques, et les prestataires deviennent la porte d’entrée préférée des attaquants. L’ANSSI décrit en 2025 un niveau de menace qui reste élevé, avec des frontières de plus en plus floues entre États et cybercriminels.
Vous dirigez une entreprise tech ? Ces évolutions sur la cybersécurité vous concernent directement. Expert de l’assurance cyber depuis 2016 et spécialiste des entreprises tech, nous reprenons ici les chiffres les plus récents du Panorama de la cybermenace 2025 de l’ANSSI, de la CNIL, de Cybermalveillance.gouv.fr, du Verizon DBIR 2026 et du baromètre LUCY 2026 de l’AMRAE.
Chaque donnée a été vérifiée au 27 octobre 2026 dans le document d’origine, et sa source est indiquée.
Sommaire
L’intelligence artificielle au service des cyberattaques
ChatGPT, Gemini, Copilot, Claude ou Mistral AI sont entrés dans le quotidien des équipes. Les attaquants les utilisent aussi. Dans sa synthèse sur la menace liée à l’IA générative, publiée le 4 février 2026, l’ANSSI décrit des usages dans trois domaines : la conception de contenus d’ingénierie sociale et de reconnaissance, le développement de codes malveillants, et l’identification d’informations d’intérêt avant et après exfiltration.
Le gain varie selon l’attaquant. Pour les acteurs les plus avancés, l’IA générative est un outil de gain de performance et de passage à l’échelle. Pour les moins expérimentés, elle sert davantage à apprendre. Et l’ANSSI fixe la limite actuelle : « Pour l’heure, aucun système d’IA générative n’a été en mesure de mener de manière autonome toutes les étapes d’une attaque informatique. »
Notre livre blanc cybersécurité compte 50 pages dédiées à votre politique cyber : chiffres clés sur la progression du risque et fiches réflexes pour installer les bonnes pratiques. Télécharger le livre blanc cybersécurité (PDF) ↗
Comment l’IA fait-elle progresser la cybermenace ?
Le Panorama 2025 de l’ANSSI indique que l’IA peut améliorer le niveau, la quantité, la diversité et l’efficacité des attaques (p. 25). Le Verizon DBIR 2026 chiffre l’usage : à partir de données d’Anthropic sur des comptes bannis pour activité malveillante, l’acteur médian a recherché ou utilisé l’aide de l’IA pour 15 techniques documentées.
Le code malveillant. Un attaquant sans grande compétence génère des programmes qu’il n’aurait pas su écrire seul. L’ANSSI relève aussi des sites d’apparence légitime, vraisemblablement produits par IA, qui hébergent des charges malveillantes. Elle identifie un risque nouveau : la compromission d’une IA de génération de code, qui devient une attaque par la chaîne d’approvisionnement logicielle.
L’hameçonnage. L’IA améliore la qualité des messages et permet d’en produire davantage. Un message d’hameçonnage bien écrit et bien ciblé ne se repère plus à ses fautes d’orthographe.
Deepfake, clonage vocal et fraude au virement
Le clonage vocal permet d’imiter un dirigeant au téléphone. Il alimente la fraude au virement, qui entre dans le top 3 des menaces visant les entreprises et associations en 2025 selon Cybermalveillance.gouv.fr : 13,5 % des assistances, avec un nombre de diagnostics en hausse de 93 % par rapport à 2024.
Un réflexe protège : toute demande de virement ou de changement de RIB reçue par message ou par téléphone se confirme par un second canal.
Les menaces qui touchent le plus les entreprises en 2025
Part de l’activité d’assistance aux entreprises et associations, 2025 (l’unité varie selon la menace : parcours d’assistance, diagnostics ou demandes).
Shadow AI : vos équipes utilisent déjà l’IA
Selon le Verizon DBIR 2026, 45 % des employés utilisent l’IA de façon régulière sur leurs appareils professionnels (15 % un an plus tôt). Parmi les utilisateurs d’IA sur appareils professionnels, 67 % passent par des comptes non professionnels. Des données internes quittent alors l’entreprise sans aucun contrôle. Une charte d’usage claire, des outils validés et une sensibilisation des équipes règlent l’essentiel. Nous détaillons les risques et responsabilités liés à l’IA dans un article dédié.
L’assurance cyber à partir de 29 €/mois
Protégez vos services numériques avec une assurance cyber sur-mesure. Piratage informatique, cybersécurité, risques numériques, l’assurance tech sur-mesure adaptée à votre secteur d’activité et votre chiffre d’affaires. Simulez votre tarif d’assurance cyber en ligne ↗
Tendance et évolutions : la professionnalisation des cyber attaquants
Le Panorama de la cybermenace 2025 de l’ANSSI, publié le 11 mars 2026, décrit des attaquants qui se spécialisent tout en partageant outils et méthodes. L’agence a traité 3 586 événements de sécurité en 2025 (-18 % par rapport à 2024, année du pic des Jeux olympiques) et confirmé 1 366 incidents, un niveau stable (1 361 en 2024). Un incident est un événement pour lequel l’ANSSI confirme qu’un acteur malveillant a agi avec succès.
Cybermenace en France : les chiffres clés de 2025
Des filières organisées, du rançongiciel à l’exfiltration
L’ANSSI recense 128 compromissions par rançongiciel en 2025, contre 141 en 2024 (chiffre révisé dans le Panorama 2025). Qilin (21 %), Akira (9 %) et LockBit 3.0 (5 %) figurent parmi les souches les plus représentées. Le rançongiciel touche d’abord les entreprises de taille modeste : les TPE, PME et ETI représentent 48 % des victimes en 2025, contre 37 % en 2024.
Qui subit les rançongiciels ? Répartition des victimes
2024 2025 Échelle de 0 à 60 %
Le Verizon DBIR 2026 observe un rançongiciel dans 48 % des brèches analysées (44 % l’année précédente). Dans 69 % des cas, la victime n’a pas payé, et la rançon médiane s’établit à 139 875 $ (150 000 $ l’année précédente).
Les données volées, nouvelle monnaie d’extorsion
Les attaquants volent aussi les données et menacent de les publier : c’est la double extorsion. L’ANSSI note 196 incidents d’exfiltration en 2025, contre 130 en 2024, et une extorsion sans chiffrement qui progresse encore modestement. Elle n’a pu confirmer la véracité que de 80 revendications, car celles-ci reprennent régulièrement des données déjà publiques. Sur 460 événements caractérisés comme de possibles fuites de données, 42 % se sont révélés des fuites avérées.
Côté données personnelles, la CNIL a été notifiée de 17 802 violations en 2025 et en retient 6 167 après retraitement, soit 9,5 % de plus qu’en 2024. Le piratage explique un incident sur deux.
Le rôle d’une assistance performante dans votre couverture cyber
EFALIA a maîtrisé une cyberattaque d’ampleur sans verser de rançon et relancé son activité en 90 jours, grâce à une assistance cyber déclenchée dans les premières minutes. Téléchargez l’étude de cas d’EFALIA ↗
Qui est visé ? Les entreprises tech en première ligne
Les attaquants ciblent les entreprises dont l’activité repose sur des données et sur la disponibilité d’un service : éditeurs de logiciels, SaaS, développeurs d’applications, hébergeurs. Une panne ou une fuite engage immédiatement leurs clients, d’où l’intérêt d’une RC Pro informatique qui couvre ces risques ultra-spécifiques.
« Dès le premier euro de chiffre d’affaires, vous devenez une cible pour les pirates informatiques. »
Guillaume Santiago, président et expert assurance cyber chez Onlynnov
Quatre secteurs concentrent 76 % des 1 366 incidents traités par l’ANSSI : l’éducation et la recherche (34 %), les ministères et collectivités (24 %), la santé (10 %) et les télécoms (9 %). L’ANSSI précise que ces chiffres ne sont pas nécessairement représentatifs de l’ensemble du pays.
La porte d’entrée change aussi. Dans le Verizon DBIR 2026, l’exploitation de vulnérabilités devient le premier vecteur d’accès initial connu (31 % des brèches, contre 20 % l’an dernier), devant l’abus d’identifiants (13 %). L’ANSSI confirme que les équipements de bordure restent une cible très prisée : lors du signalement d’une seule vulnérabilité Fortinet, le CERT-FR a constaté plus de 3 700 interfaces d’administration exposées en France, et plus de 6 200 actifs en France sont encore, fin 2025, touchés par les principales vulnérabilités exploitées depuis 2023 et 2024 (d’après Shadowserver).
Premier vecteur d’attaque : les vulnérabilités non corrigées
Brèches confirmées dont le vecteur d’accès initial est connu
Prestataires et équipements connectés : la porte dérobée
Vous pouvez soigner votre sécurité et rester exposé par un fournisseur. Le Verizon DBIR 2026 relève un tiers impliqué dans 48 % des brèches, contre 30 % un an plus tôt. Pour les PME, la part atteint 55 %. L’ANSSI cite l’attaque contre Collins Aerospace, revendiquée par le groupe Everest, qui a perturbé plusieurs aéroports européens (octobre 2025 selon le Panorama).
Prestataires et tiers : un risque en forte hausse
L’actualité d’octobre 2026 en donne un exemple concret. Dans la nuit du dimanche 11 au lundi 12 octobre, des contrôleurs de réfrigération connectés ont été compromis à distance. Au moins 300 magasins Intermarché et Netto, moins d’une centaine de points de vente Coopérative U, plusieurs magasins E.Leclerc et une trentaine de Monoprix sont concernés, ont indiqué les distributeurs à l’AFP (Le Monde Informatique). Ces chiffres sont ceux des distributeurs : ils ne sont pas consolidés.
Le CERT-FR a publié l’alerte CERTFR-2026-ALE-012 le 12 octobre, complétée le 13 : elle vise les contrôleurs Danfoss (séries AK-SC et AK-SM), Copeland xweb et Dixell xweb, et rappelle que l’exposition de leur interface de gestion sur Internet est contraire aux bonnes pratiques. Danfoss estime que l’incident concerne des équipements obsolètes ou dont les logiciels n’étaient pas à jour.
Dans sa synthèse du Panorama, le ministère de l’Intérieur relaie la recommandation de l’ANSSI d’intégrer dans les contrats fournisseurs une clause de notification d’incident en moins de 24 heures et un droit d’audit annuel.
Cyber-dommages et cyber-responsabilité, l’importance de comprendre les garanties de votre assurance cyber
La garantie cyber-dommages indemnise vos propres préjudices lors d’une cyberattaque. À l’inverse, la garantie cyber-responsabilité vous protège lorsque ce sont vos clients et partenaires qui sont affectés par une cyberattaque vous visant. Assurance cyber, quelles sont les garanties essentielles ↗
Hacktivisme, sabotage et ingénierie sociale : les motivations évoluent
De l’appât du gain à la déstabilisation
L’argent reste le premier moteur, mais les motivations politiques pèsent sur le paysage. Selon l’ANSSI, les attaques par déni de service distribué restent les actions de déstabilisation les plus fréquentes, malgré une baisse notable par rapport à 2024.
Le sabotage progresse sur les petites installations industrielles. Des groupes prorusses, comme Z-Pentest Alliance, accèdent à des interfaces de contrôle exposées sur Internet. L’ANSSI relève un cas où des actions sur des vannes ont augmenté un débit d’eau, avec un impact limité. À l’étranger, un barrage norvégien a été pris à distance en avril 2025, et la Pologne a subi fin 2025 des attaques coordonnées contre ses infrastructures énergétiques.
Le directeur général de l’ANSSI, Vincent Strubel, anticipe d’ici 2030 une augmentation massive des attaques dites « hybrides », dont les cyberattaques sont un pan majeur. Pour une entreprise tech, la conséquence est simple : tout accès à distance sans authentification forte est un risque à fermer.
Le pretexting : une ingénierie sociale sur mesure
Le pretexting consiste à se faire passer pour une personne de confiance et à présenter à la victime un faux scénario. Les réseaux sociaux fournissent aux attaquants des informations précises sur l’entreprise ciblée, ce qui rend les scénarios crédibles. Les salariés qui ont accès aux comptes bancaires ou aux données confidentielles sont les premières cibles.
Le Verizon DBIR 2026 relève un élément humain dans 62 % des brèches (60 % l’année précédente), et l’ingénierie sociale est le troisième schéma de brèche le plus fréquent (16 %). L’ANSSI cite une campagne de février 2025 : des messages envoyés par Signal et WhatsApp visaient des chercheurs français. Elle signale aussi la technique « ClickFix », une fausse vérification de type captcha qui pousse la victime à exécuter elle-même une commande.
Face aux tendances 2026, comment se protéger ?
Corriger vite ce qui est exposé
Le retard de correction se mesure : en 2025, 26 % des vulnérabilités du catalogue CISA KEV (vulnérabilités connues et exploitées) ont été entièrement corrigées, contre 38 % l’année précédente, avec un délai médian de 43 jours (32 jours auparavant). Commencez par l’inventaire de ce qui est accessible depuis Internet : VPN, pare-feu, interfaces d’administration. Activez l’authentification multifacteur et appliquez les correctifs en priorité sur ces équipements.
L’ANSSI en rappelle les limites : en cas de compromission du poste de l’utilisateur, le MFA ne suffit pas à arrêter un attaquant, et les attaquants adaptent leurs outils aux EDR. Pour les parcs de dizaines ou centaines de milliers de postes, elle recommande des audits larges, qui donnent une vision globale du niveau de sécurité : des périmètres d’audit trop restreints en font perdre la pertinence.
Former et entraîner vos équipes
Un clic isolé sur le mauvais lien ouvre une porte. Formez vos collaborateurs aux scénarios actuels (voix clonée, faux conseiller, faux fournisseur) et entraînez-les avec des simulations. Des consignes répétées par la direction deviennent des réflexes.
Préparer la reprise d’activité
Un plan de continuité et un plan de reprise d’activité limitent les conséquences d’une attaque réussie : sauvegardes testées, données sensibles protégées, rôles définis. L’ANSSI ajoute un retour d’expérience : une coupure électrique précipitée d’un centre de données a entraîné un arrêt total chez une victime et peut effacer des traces.
Les 6 réflexes à mettre en place
Cliquez sur chaque réflexe pour le détail.
1. Inventoriez ce qui est exposé à Internet
Listez VPN, pare-feu, passerelles et interfaces d’administration. L’ANSSI relève que les équipements de bordure restent une cible très prisée.
2. Corrigez en priorité les vulnérabilités déjà exploitées
Partez du catalogue CISA KEV. En 2025, 26 % de ces vulnérabilités étaient entièrement corrigées, avec un délai médian de 43 jours (Verizon DBIR 2026).
3. Activez le MFA, sans vous y limiter
L’ANSSI rappelle que le MFA ne suffit pas si le poste de l’utilisateur est compromis, et que les attaquants s’adaptent à l’EDR. Elle recommande des audits larges pour les grands parcs informatiques.
4. Doublez toute demande de virement par un second canal
Un changement de RIB ou un virement urgent se confirme par un appel sortant ou un message sur un canal déjà connu.
5. Encadrez vos prestataires et vos équipements connectés
Un tiers est impliqué dans 48 % des brèches du DBIR 2026. Mettez à jour ou remplacez les équipements en fin de vie, et déconnectez d’Internet ceux qui n’ont pas besoin d’y être.
6. Préparez la reprise avant la crise
Sauvegardes testées, rôles définis, assistance cyber identifiée. En cas d’incident, évitez les coupures précipitées (électricité d’un centre de données) qui peuvent effacer des traces.
Où en est la réglementation ? NIS 2 et Cyber Resilience Act
Dans son édito du Panorama 2025, le directeur général de l’ANSSI présente la transposition de NIS 2 et la mise en œuvre du Cyber Resilience Act comme un axe essentiel : ces textes imposent des socles de mesures de sécurité. En France, le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité n’est pas adopté : l’Assemblée nationale l’a retiré de son ordre du jour le 6 octobre 2026, sans nouvelle date annoncée à notre connaissance au 27 octobre. La Commission européenne a saisi la Cour de justice de l’Union européenne le 8 juillet 2026 pour défaut de transposition. Le rapport du Sénat estime à environ 15 000 le nombre d’entités « essentielles » ou « importantes » concernées, tandis que l’ANSSI sur MesServicesCyber évoque plus de 25 000 entités régulées. Notre page sur la directive NIS 2 suit le sujet.
Assurance cyber : ce que disent les sinistres 2025
Le baromètre LUCY 2026 de l’AMRAE, qui porte sur l’année 2025, mesure l’écart entre prix et sinistralité. Les primes reculent (305,9 M€ contre 316,8 M€). Le nombre de sinistres indemnisés passe de 448 à 1 251, pour un coût de 83,2 M€ (+53 %). Les ETI assurées passent de 1 145 à 2 002, et leur coût de sinistres de 6,8 M€ à 28,8 M€. Ces données reposent sur 12 courtiers et un assureur contributeurs, et portent sur des sinistres indemnisés.
Assurance cyber : les primes reculent, les sinistres progressent
L’assurance cyber finance la gestion de crise : experts, restauration, perte d’exploitation, responsabilité envers vos clients. Faites-vous accompagner par un courtier en assurance cyber qui connaît votre métier. Pour une première estimation, la simulation en ligne prend trois minutes.
Un expert pour calibrer votre assurance cyber
Vingt minutes avec un expert qui connaît votre métier tech : garanties, plafonds, assistance. Ou votre tarif en ligne en 3 clics. Prendre rendez-vous
Questions fréquentes sur la cybermenace
Qu’est-ce que la cybermenace ?
La cybermenace désigne l’ensemble des acteurs, techniques et motivations qui visent à compromettre un système d’information : voler ou chiffrer des données, bloquer un service, espionner ou saboter. Elle regroupe des cybercriminels, des groupes hacktivistes et des acteurs liés à des États.
Quelles sont les principales tendances de la cybermenace en 2026 ?
Selon le Panorama 2025 de l’ANSSI, le niveau de menace reste élevé. Les tendances clés : une IA générative utilisée à plusieurs étapes des attaques, des exfiltrations de données en hausse (196 incidents en 2025 contre 130 en 2024), des équipements de bordure très visés et des prestataires utilisés comme point d’entrée (un tiers impliqué dans 48 % des brèches du Verizon DBIR 2026).
L’IA peut-elle lancer une cyberattaque toute seule ?
Pas à ce jour. L’ANSSI écrit dans sa synthèse du 4 février 2026 : « Pour l’heure, aucun système d’IA générative n’a été en mesure de mener de manière autonome toutes les étapes d’une attaque informatique. » L’IA accélère la rédaction de messages, le développement de code et le passage à l’échelle.
Les PME et les startups sont-elles vraiment ciblées ?
Oui. Les TPE, PME et ETI représentent 48 % des victimes de rançongiciels en 2025 selon l’ANSSI (37 % en 2024). Le Verizon DBIR 2026 recense 7 256 incidents de PME, dont 7 152 avec divulgation confirmée de données, avec un tiers impliqué dans 55 % des brèches.
Que faire dans les premières heures d’une cyberattaque ?
Isolez les machines touchées sans tout éteindre brutalement, prévenez votre assistance cyber et conservez les traces. Si des données personnelles sont concernées, le RGPD impose de notifier la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (article 33). Une assistance incluse dans votre contrat d’assurance cyber mobilise des experts dès les premières minutes.
