Un vendredi soir, Sophie reçoit un appel de son responsable informatique. Ses 47 000 fichiers — catalogues produits, bons de commande, dossiers clients, comptabilité — sont inaccessibles. Sur chaque écran de l'entreprise, un même message clignote : "Vos données ont été chiffrées. Payez 45 000 € pour les récupérer."

Ce scénario n'est pas fictif. Il est le témoignage réel d'une PME de 28 salariés, publié par le cabinet Herix. Et Sophie n'est pas seule. En 2026, 54 % des cyberattaques recensées en France visent les petites et moyennes entreprises ou les collectivités. Plus grave encore : 60 % des PME victimes d'une cyberattaque majeure déposent le bilan dans les 18 mois qui suivent l'incident.

Mais certaines entreprises s'en sortent. D'autres évitent même l'attaque. Qu'ont-elles fait différemment ? Dans cet article, nous vous montrons — à travers des exemples concrets et des retours d'expérience réels — comment l'EDR, la sauvegarde sécurisée et le patch management font la différence entre la catastrophe et la continuité d'activité.

---

Table des matières

• Pilier 1 — L'EDR : ce que les entreprises qui s'en sortent font différemment
• Pilier 2 — La Sauvegarde Sécurisée : deux PME, deux destins opposés
• Pilier 3 — Le Patch Management : la faille que tout le monde ignore
• Les 3 piliers ensemble : la stratégie qui change tout
• Questions Fréquentes
• Chiffres Clés

---

Pilier 1 — l'EDR : ce que les entreprises qui s'en sortent font différemment

Ce que c'est, en clair

Un antivirus classique, c'est un agent de sécurité qui contrôle les entrées sur une liste de suspects connus. Si le visiteur n'est pas sur la liste, il passe. Un EDR (Endpoint Detection and Response) — littéralement "détection et réponse sur les terminaux" — c'est une toute autre approche : c'est une caméra de surveillance intelligente installée dans chaque pièce de votre entreprise, qui observe en temps réel les comportements suspects, même si la personne n'est pas encore fichée.

Concrètement, l'EDR surveille ce qui se passe sur chaque poste de travail, serveur et ordinateur portable de votre entreprise. Il analyse les comportements : un fichier qui chiffre massivement d'autres fichiers à 3h du matin ? Bloqué. Un programme inconnu qui tente d'accéder à votre comptabilité ? Isolé. Une connexion inhabituelle depuis l'étranger ? Signalée immédiatement.

Le cas qilin : quand les hackers s'attaquent à l'EDR lui-même

En 2025 et 2026, un groupe de cybercriminels nommé Qilin a illustré à quel point les attaques sont devenues sophistiquées. Qilin opère comme une plateforme de ransomware-as-a-service, avec des opérateurs qui maintiennent l'infrastructure, recrutent des affiliés et collectent un pourcentage des rançons. Leur technique la plus redoutable ? Qilin désactive plus de 300 pilotes EDR en utilisant une méthode BYOVD (Bring Your Own Vulnerable Driver), retardant le chiffrement de six jours pour maximiser l'impact de la violation.

La DLL malveillante "msimg32.dll" représente la première étape d'une chaîne d'infection sophistiquée et multi-étapes conçue pour désactiver les solutions EDR locales présentes sur les systèmes compromis. En d'autres termes : les hackers tentent désormais de neutraliser votre bouclier avant de frapper.

Ce que cela signifie pour vous : un EDR seul ne suffit plus s'il n'est pas maintenu à jour et supervisé. Les entreprises qui ont résisté aux attaques Qilin en 2025-2026 sont celles qui disposaient d'un EDR managé — c'est-à-dire surveillé en temps réel par des experts humains, capables de réagir même quand l'attaque tente de contourner la technologie.

Conseil actionnable : comment choisir votre EDR

À retenir : Pour une PME, l'EDR idéal est une solution managée (MDR — Managed Detection and Response), confiée à un prestataire spécialisé. Vous n'avez pas besoin d'un expert en interne : vous avez besoin d'un partenaire qui surveille pour vous, 24h/24.

Critères concrets à évaluer :

• Supervision humaine incluse : l'outil doit être surveillé par des analystes, pas seulement par des algorithmes
• Réponse automatique : capacité à isoler un poste infecté sans intervention manuelle
• Compatibilité avec vos systèmes existants (Windows, Mac, serveurs)
• Rapport mensuel lisible : vous devez comprendre ce qui se passe, sans être informaticien

📊 54 % des cyberattaques en France visent les PME et collectivités – PME françaises ciblées par les cyberattaques en 2026

---

Pilier 2 — la sauvegarde sécurisée : deux PME, deux destins opposés

L'histoire de fondouest : le bon réflexe au bon moment

Fondouest, une PME normande du secteur des travaux publics, a été frappée par un ransomware. Scénario classique : chiffrement des données, activité paralysée, pression maximale. Mais l'histoire se termine bien. Ce qui rend possible le redémarrage de l'activité, c'est l'existence d'une stratégie de sauvegarde régulière des données, qui a permis à l'entreprise de ne pas être totalement prise au dépourvu. Grâce à ces sauvegardes fréquentes, les équipes informatiques parviennent à récupérer les données essentielles et à relancer l'activité en moins d'une semaine.

La directrice administrative de Fondouest résume elle-même la leçon : "On a eu beaucoup de chance : les dommages ont été limités car nos sauvegardes étaient faites très régulièrement et elles n'ont pas été corrompues !"

Maintenant, imaginez le scénario inverse : une PME similaire, même secteur, même taille. Mais ses sauvegardes sont stockées sur le même serveur que les données de production. Le ransomware chiffre tout — données ET sauvegardes — en quelques heures. Résultat : perte totale, rançon à payer ou fermeture.

Pourquoi "avoir des sauvegardes" ne suffit plus

Le piège classique des PME : croire qu'un disque dur externe branché en permanence ou un dossier synchronisé sur OneDrive constitue une sauvegarde suffisante. Or, les ransomwares modernes sont précisément conçus pour chiffrer en priorité les sauvegardes accessibles depuis le réseau.

La réponse à ce problème, c'est la règle du 3-2-1 — et en 2026, ses experts recommandent même d'aller plus loin avec la règle 3-2-1-1-0 :

Règle	Ce que ça signifie	Pourquoi c'est important
3 copies	Original + 2 sauvegardes	Si une copie est corrompue, vous en avez d'autres
2 supports différents	Ex : disque local + cloud	Évite la panne matérielle unique
1 copie hors site	Cloud ou site distant	Protège contre incendie, inondation
1 copie hors ligne	Disque déconnecté (air-gap)	Inaccessible aux ransomwares
0 erreur	Tester la restauration	Une sauvegarde non testée n'existe pas

En 2026, de nombreux experts recommandent d'aller plus loin avec la règle du 3-2-1-1-0 : s'ajoute 1 copie hors-ligne (air-gap), indispensable contre les ransomwares, et 0 erreur constatée lors des tests de restauration.

Le cas du toulouse FC : quand le prestataire est la faille

En juin 2026, le Toulouse FC a annoncé qu'un de ses prestataires avait été victime d'une cyberattaque ayant entraîné la violation des données personnelles de supporters. Le club a été informé par l'un de ses prestataires d'un incident de sécurité affectant une infrastructure de sauvegarde de données. Résultat : risques d'usurpation d'identité, de phishing et de divulgation non autorisée pour des milliers de personnes.

La leçon pour les PME est double : vos données sont aussi sécurisées que votre maillon le plus faible — y compris vos prestataires. Vérifiez que vos fournisseurs cloud et partenaires informatiques appliquent les mêmes standards de sécurité que vous.

Bon à savoir : La fréquence de sauvegarde recommandée dépend de votre activité. Pour une PME de moins de 20 salariés : sauvegarde quotidienne automatique. Pour une entreprise avec des transactions en temps réel (e-commerce, cabinet médical) : sauvegarde toutes les heures. La règle d'or : vous ne devez jamais perdre plus de données que vous ne pouvez vous permettre de ressaisir manuellement.

Conseil actionnable : testez votre restauration dès cette semaine

Une sauvegarde non testée est une sauvegarde qui n'existe pas. Planifiez dès maintenant un test de restauration mensuel : prenez un fichier ou un dossier au hasard, restaurez-le depuis votre sauvegarde, vérifiez qu'il est intact et lisible. Ce test de 15 minutes peut vous éviter des semaines de catastrophe.

📊 Plus de 250 000 € sans compter 6 à 12 semaines de productivité perdue – Coût moyen d'un incident ransomware pour une PME française

---

Pilier 3 — le patch management : la faille que tout le monde ignore

L'analogie de la porte ouverte

Imaginez votre bureau. Vous avez une alarme, des caméras, un vigile à l'entrée. Mais une fenêtre du fond est restée entrouverte depuis six mois, parce que personne n'a eu le temps de la fermer. C'est exactement ce qu'est une vulnérabilité logicielle non corrigée : une entrée que les hackers connaissent et exploitent, souvent avant même que vous sachiez qu'elle existe.

Le patch management (gestion des mises à jour), c'est le processus de fermeture systématique de ces fenêtres ouvertes — en appliquant régulièrement les correctifs de sécurité publiés par les éditeurs de logiciels.

Moveit, citrix, fortinet : les failles qui ont coûté des milliards

Les exemples de failles non corrigées aux conséquences catastrophiques ne manquent pas. La pire faille de 2025 était la vulnérabilité d'exécution de code à distance baptisée React2Shell, notée 10,0 sur 10 en criticité, qui permettait aux attaquants de compromettre des serveurs avec une seule requête malveillante.

En juin 2025, une vulnérabilité critique dans les équipements Citrix NetScaler ADC et Gateway, baptisée "CitrixBleed 2", a été exploitée dans des attaques massives. Des milliers d'organisations dans le monde ont été touchées — dont de nombreuses PME utilisant ces outils sans savoir qu'un correctif était disponible depuis des semaines.

Le cas le plus emblématique reste MOVEit en 2023 : plus de 2 500 organisations ont déclaré avoir été victimes d'une attaque à la suite de la violation de données de MOVEit. Dans tous ces cas, un patch existait. Beaucoup d'entreprises ne l'avaient tout simplement pas appliqué.

Pourquoi les PME négligent les mises à jour

La raison principale n'est pas la négligence : c'est la peur de la panne. "Et si la mise à jour casse quelque chose ?" Cette crainte légitime pousse de nombreux dirigeants à reporter indéfiniment les mises à jour. Résultat : des systèmes exposés pendant des mois, parfois des années.

En 2026, le marché du patch management a considérablement maturé, avec la priorisation des risques pilotée par l'IA, des workflows de patch autonomes, et une intégration étroite avec les plateformes de gestion des vulnérabilités. En clair : il est désormais possible d'automatiser intelligemment les mises à jour, en testant d'abord sur un poste pilote avant de déployer sur tout le parc.

À retenir : La CISA (l'agence américaine de cybersécurité) a publié en juin 2026 une directive imposant aux organisations de prioriser leurs mises à jour selon le niveau de risque réel de chaque vulnérabilité. Ce principe de gestion des vulnérabilités basée sur le risque s'applique parfaitement aux PME : toutes les mises à jour ne sont pas égales. Celles qui corrigent des failles critiques exploitées activement doivent être appliquées en priorité, sous 48 heures.

Conseil actionnable : l'audit rapide en 3 étapes

Voici comment faire un premier état des lieux sans être informaticien :

1. Listez vos logiciels critiques : système d'exploitation (Windows, macOS), suite bureautique, logiciel de comptabilité, CRM, outils métier
2. Vérifiez la date de la dernière mise à jour de chacun (dans les paramètres ou via votre prestataire)
3. Identifiez les logiciels abandonnés : tout logiciel qui n'est plus maintenu par son éditeur est une fenêtre définitivement ouverte — il faut le remplacer

Confiez ensuite cette liste à votre prestataire informatique avec une consigne simple : "Mettez en place des mises à jour automatiques pour les correctifs de sécurité critiques, avec un test préalable."

---

Les 3 piliers ensemble : la stratégie qui change tout

La défense en profondeur, expliquée simplement

Aucun des trois piliers ne suffit seul. C'est leur combinaison qui crée une défense en profondeur — le principe selon lequel même si un attaquant franchit une barrière, il en trouve une autre devant lui.

Reprenez l'analogie de votre maison :

• Le patch management, c'est fermer et verrouiller toutes les portes et fenêtres — réduire au maximum les points d'entrée
• L'EDR, c'est l'alarme et les caméras — détecter toute intrusion en temps réel et réagir immédiatement
• La sauvegarde sécurisée, c'est l'assurance habitation — si malgré tout quelque chose est volé ou détruit, vous pouvez tout reconstruire

Tableau récapitulatif : que protège chaque pilier ?

Pilier	Ce qu'il protège	Ce qu'il ne peut pas faire seul
EDR	Détecte et bloque les attaques en cours	Ne récupère pas les données perdues
Sauvegarde sécurisée	Permet de récupérer après une attaque	Ne détecte pas l'intrusion en cours
Patch Management	Ferme les portes d'entrée connues	Ne bloque pas les attaques zero-day
Les 3 combinés	Prévention + Détection + Récupération	—

Ce que les PME qui réussissent font différemment

Les organisations qui tirent leur épingle du jeu ne se contentent pas de déployer des outils : elles réduisent proactivement les opportunités pour les attaquants tout en préparant leur réponse à l'avance. Concrètement :

• Elles ont un plan de reprise d'activité (PRA) documenté et testé
• Elles savent qui appeler en cas d'incident (prestataire, assurance cyber, ANSSI)
• Elles forment leurs collaborateurs aux gestes de base (ne pas cliquer sur un lien suspect, signaler une anomalie)
• Elles révisent leur dispositif au moins une fois par an

📊 +42 % par rapport à l'année précédente, avec les ransomwares comme menace numéro un – Hausse des cyberattaques dans le monde en 2026

---

Questions fréquentes (FAQ)

Un antivirus suffit-il pour protéger mon entreprise en 2026 ?

Non. Un antivirus classique fonctionne sur la base de signatures connues : il ne reconnaît que les menaces déjà répertoriées. Les cyberattaques modernes utilisent des techniques inédites (ransomware polymorphe, attaques sans fichier, exploitation de failles zero-day) que les antivirus traditionnels ne détectent pas. Un EDR analyse les comportements en temps réel et peut bloquer une attaque inconnue avant qu'elle ne cause des dégâts. Pour une PME en 2026, l'EDR managé est le minimum requis.

Ma sauvegarde cloud est-elle suffisante contre les ransomwares ?

Pas nécessairement. Si votre sauvegarde cloud est synchronisée en temps réel avec vos données de production, un ransomware peut chiffrer vos fichiers locaux ET propager le chiffrement vers le cloud avant que vous ne réagissiez. La protection efficace repose sur la règle 3-2-1-1-0 : au moins une copie doit être hors ligne (déconnectée du réseau), inaccessible aux attaquants. Vérifiez auprès de votre fournisseur cloud si vos sauvegardes disposent d'une protection contre la suppression ou le chiffrement malveillant (fonctionnalité "immutable backup").

Combien de temps faut-il pour mettre en place ces 3 piliers dans une PME ?

Avec l'aide d'un prestataire spécialisé, un déploiement de base est possible en 2 à 4 semaines :

• Semaine 1 : audit de l'existant et installation de l'EDR sur les postes critiques
• Semaine 2 : mise en place de la stratégie de sauvegarde 3-2-1 et premier test de restauration
• Semaine 3-4 : audit des mises à jour, déploiement du patch management automatisé

Le coût pour une PME de 10 à 50 salariés est généralement compris entre 300 et 800 € par mois pour l'ensemble du dispositif managé — bien moins que le coût moyen d'un incident ransomware.

Mon entreprise est-elle vraiment une cible pour les hackers ?

Oui, quelle que soit votre taille ou votre secteur. Les cybercriminels ne ciblent pas les entreprises par leur nom : ils scannent automatiquement des millions de systèmes à la recherche de vulnérabilités ouvertes. Si votre système présente une faille, vous serez attaqué — que vous soyez boulanger, cabinet d'avocat, garage automobile ou agence de communication. Les PME disposant de ressources de sécurité limitées présentent un ratio risque/rendement particulièrement attractif pour les attaquants.

Que faire en cas de cyberattaque, dans les premières minutes ?

1. Déconnectez immédiatement les postes infectés du réseau (débranchez le câble réseau ou désactivez le Wi-Fi)
2. N'éteignez pas les machines (des preuves forensiques peuvent être perdues)
3. Appelez votre prestataire informatique en priorité
4. Signalez l'incident sur cybermalveillance.gouv.fr (plateforme gratuite de l'ANSSI)
5. Déposez plainte auprès des autorités compétentes
6. Ne payez pas la rançon sans avoir consulté un expert — le paiement ne garantit pas la récupération des données

---

Chiffres clés

📊 54 % des cyberattaques en France en 2026 ciblent les PME et collectivités (Source : Connect3S / ANSSI, 2026)

💸 250 000 € : coût moyen d'un incident ransomware pour une PME française, hors perte de productivité (Source : ALTEZIA / ANSSI, 2026)

⚠️ 60 % des PME victimes d'une cyberattaque majeure déposent le bilan dans les 18 mois (Source : ANSSI / LeMagIT, 2026)

🌍 +42 % d'augmentation des cyberattaques dans le monde en 2026 par rapport à l'année précédente (Source : Axido, 2026)

---

Conclusion : passez à l'action avant d'en avoir besoin

Sophie, la dirigeante de PME dont nous parlions en introduction, a finalement choisi de payer la rançon. Elle a récupéré une partie de ses données — mais pas toutes. Et six mois plus tard, son entreprise a fermé, épuisée financièrement et humainement par l'incident.

L'histoire de Fondouest, elle, se termine différemment : une semaine de crise, des données récupérées, une activité relancée. La différence ? Une stratégie de sauvegarde en place avant l'attaque.

Les trois piliers de la cybersécurité — EDR, sauvegarde sécurisée et patch management — ne sont pas des outils réservés aux grandes entreprises avec des équipes informatiques dédiées. Ce sont des protections accessibles, déléguables à un prestataire spécialisé, et dont le coût mensuel est sans commune mesure avec celui d'un incident.

Les 3 points à retenir :

• Un EDR managé surveille vos postes en temps réel et bloque les attaques comportementales que les antivirus ne voient pas
• Une sauvegarde 3-2-1-1-0 avec une copie hors ligne est votre seule garantie de récupérer vos données après un ransomware
• Le patch management automatisé ferme les portes d'entrée que les hackers exploitent en priorité

🛡️ Passez à l'action dès aujourd'hui : Contactez un expert en cybersécurité pour évaluer votre niveau de protection actuel. Un audit de 2 heures peut identifier vos principales vulnérabilités et vous proposer un plan d'action adapté à votre budget et à votre taille. Ne laissez pas le hasard décider de l'avenir de votre entreprise.

"60 % des PME victimes d'une cyberattaque majeure déposent le bilan dans les 18 mois qui suivent l'incident"
— ANSSI / Connect3S