Le classement 2025 des cyberattaques les plus fréquentes
La source la plus proche du terrain français est le rapport d'activité 2025 de Cybermalveillance.gouv.fr, publié le 26 mars 2026. Le dispositif y recense plus de 504 000 parcours d'assistance, dont 33 012 pour des professionnels : 27 934 entreprises ou associations et 5 078 collectivités et administrations (rapport d'activité 2025, consulté le 25 octobre 2026).
Pour les entreprises et associations, le classement est le suivant. Les parts et les évolutions sont celles que le rapport donne en toutes lettres, page 36.
| Rang | Menace (entreprises et associations) | Part des assistances 2025 | Évolution sur un an |
|---|---|---|---|
| 1 | Piratage de compte | 21 % | +52 % |
| 2 | Hameçonnage | 16 % | +29 % |
| 3 | Fraude au virement | 13,5 % | +93 % |
| 4 | Rançongiciel | 8,1 % | légère hausse |
| 5 | Violation de données | 6,6 % | +40 % |
| 6 | Piratage informatique | 6 % | +112 % |
| 7 | Cyberharcèlement | 5,5 % | +205 % |
Chez les particuliers, l'ordre change. L'hameçonnage représente près de 33 % des demandes d'assistance, en hausse de 71 %, devant le piratage de compte (plus de 11 %) et les violations de données (6,6 % des assistances aux particuliers, une part identique à celle des entreprises). Pour ces violations, les demandes d'assistance de particuliers ont doublé (+107 %), selon les pages 35 et 48 du même rapport.
Les autres sources éclairent d'autres angles. L'ANSSI, qui suit surtout les organisations publiques et sensibles, a traité 3 586 événements de sécurité en 2025, soit 18 % de moins qu'en 2024, dont 1 366 incidents, un nombre stable (Panorama de la cybermenace 2025 de l'ANSSI, version publiée sur vie-publique.fr). À l'échelle européenne, l'ENISA a analysé 4 875 incidents survenus entre juillet 2024 et juin 2025 (ENISA Threat Landscape 2025).
Les huit menaces détaillées ci-dessous reprennent les six premières menaces de ce classement, sans le cyberharcèlement, qui relève d'un autre registre. Nous y ajoutons l'attaque par la chaîne d'approvisionnement et le déni de service, que l'ANSSI et l'ENISA mettent toutes deux en avant.
À retenir. Les cyberattaques les plus fréquentes visent d'abord vos identifiants et vos virements, pas vos serveurs. Les protections les plus efficaces sont donc aussi les moins chères.
1. Le piratage de compte
Le piratage de compte est la première menace des entreprises et associations en 2025 : 21 % des assistances, en hausse de 52 %. Cybermalveillance.gouv.fr l'explique par les violations de données et les campagnes d'hameçonnage réussies, qui fournissent les identifiants (rapport d'activité 2025).
Comment ça marche. Selon la fiche réflexe sur le piratage de compte, l'attaquant entre avec un mot de passe trop simple, volé par hameçonnage, réutilisé sur un site déjà piraté, ou récupéré par un virus voleur de mots de passe. L'ANSSI signale aussi le recours récurrent aux « infostealers », ces codes malveillants qui collectent les identifiants enregistrés sur un poste.
Signe concret. Une connexion à une date ou une heure où vous ne travailliez pas, une règle de transfert de courriels que vous n'avez pas créée, ou des contacts qui reçoivent des messages que vous n'avez pas envoyés.
Se protéger :
- un mot de passe différent par service, stocké dans un gestionnaire de mots de passe ;
- la double authentification partout où elle existe, en priorité sur la messagerie ;
- les mises à jour du système et des logiciels, appliquées sans attendre ;
- un contrôle régulier de l'historique des connexions quand le service le propose.
Les clés d'accès vont plus loin que la double authentification classique, car elles ne peuvent pas être saisies sur un faux site. Notre guide sur les passkeys explique comment les activer.
2. L'hameçonnage
L'hameçonnage est la deuxième menace des entreprises (16 % des assistances, +29 %) et la première des particuliers. Tous publics confondus, les demandes d'assistance liées à l'hameçonnage ont augmenté de 70 %, selon le communiqué de Cybermalveillance.gouv.fr du 26 mars 2026. Il reste surtout la porte d'entrée des autres attaques de cette liste.
Comment ça marche. Un courriel, un SMS ou un appel imite un interlocuteur de confiance pour vous faire saisir un mot de passe, payer ou ouvrir une pièce jointe. L'ENISA estime que l'hameçonnage, au sens large, représente environ 60 % des intrusions observées en Europe (ENISA Threat Landscape 2025).
Signe concret. Une urgence inhabituelle et un lien dont l'adresse ne correspond pas exactement au site attendu.
Le canal change. Le rapport Verizon 2026 relève que, dans les simulations d'hameçonnage, le taux médian de clic est 40 % plus élevé par la voix et les SMS que par courriel (résumé du DBIR 2026). Pour les exemples réels et la méthode de détection pas à pas, lisez notre guide dédié : phishing, comment reconnaître et éviter les arnaques.
3. La fraude au virement et au faux RIB
La fraude au virement entre en 2025 dans le trio de tête des menaces professionnelles : 13,5 % des assistances des entreprises et associations, avec un nombre de diagnostics en hausse de 93 %. Tous publics confondus, le rapport (page 53) et le communiqué du 26 mars 2026 font état d'une hausse de 170 % et d'une extension de la fraude à la facturation électronique et à la gestion de la paie.
Comment ça marche. La fiche sur le faux RIB décrit le schéma : l'escroc pirate une messagerie, repère un paiement imminent, puis envoie au nom du créancier une facture avec un RIB falsifié. Les variantes sont « l'arnaque au président », le faux fournisseur qui change de coordonnées bancaires et le faux salarié qui demande à modifier le compte où est versé son salaire (fiche sur les faux ordres de virement).
Signe concret. Un message qui annonce un « nouveau RIB » ou exige un virement urgent et confidentiel.
Se protéger :
- confirmer tout changement de RIB par téléphone, au numéro habituel du créancier, jamais à celui du message ;
- une validation hiérarchique non dérogeable pour les virements imprévus ;
- la double authentification sur les messageries, car la fraude suit souvent leur piratage ;
- limiter les informations publiques sur les personnes habilitées à payer.
Pour un freelance, indiquez sur vos factures que votre RIB ne change jamais par simple courriel. Si l'argent est déjà parti, notre article sur l'arnaque en ligne et le remboursement bancaire détaille les recours.
4. Le rançongiciel
Le rançongiciel est quatrième en fréquence mais reste « la plus redoutable et la plus impactante pour une organisation », selon Cybermalveillance.gouv.fr, avec 8,1 % des assistances aux entreprises et associations en 2025. L'ANSSI en a recensé 128 compromissions, un nombre légèrement en baisse, et précise que les PME, TPE et ETI restent la catégorie la plus touchée (Panorama de la cybermenace 2025).
Comment ça marche. Un code malveillant chiffre ou copie les données, puis l'attaquant réclame une rançon. D'après la fiche réflexe sur les rançongiciels, mise à jour le 7 mai 2026, l'entrée se fait souvent par hameçonnage ou par un virus, et les attaquants cherchent à détruire les sauvegardes avant de chiffrer.
Signe concret. Des fichiers renommés avec une extension inconnue et une note de rançon sur le bureau.
Les souches les plus vues par l'ANSSI en 2025 sont Qilin (21 %), Akira (9 %) et LockBit 3.0 (5 %). Au niveau mondial, Verizon compte un rançongiciel dans 48 % des fuites de données, contre 44 % l'année précédente. Selon le même rapport, 69 % des victimes n'ont pas payé, et la rançon médiane versée s'établit à 139 875 dollars, contre 150 000 dollars dans l'édition précédente d'après Verizon (résumé du DBIR 2026).
Se protéger :
- des sauvegardes régulières avec une copie déconnectée, et un test de restauration périodique ;
- les mises à jour de sécurité, surtout sur les équipements exposés à Internet ;
- un antivirus ou un outil de détection et de réponse (EDR) sur les postes et serveurs ;
- le principe du moindre privilège pour les comptes d'administration.
Cybermalveillance.gouv.fr est clair sur la rançon : ne pas la payer, car rien ne garantit la récupération des données ni leur non-publication.
5. La violation de données
Chez les particuliers, les demandes d'assistance pour violation de données ont doublé en 2025 (+107 %), et celles des entreprises et associations ont augmenté de 40 %, selon le rapport de Cybermalveillance.gouv.fr (pages 35, 36 et 48). La CNIL a reçu 6 167 notifications de violations de données, 9,5 % de plus qu'en 2024, et indique qu'un incident sur deux relève d'un piratage (rapport annuel 2025 de la CNIL).
Comment ça marche. Un attaquant copie une base clients, une boîte mail ou un espace de stockage, souvent chez un prestataire. Cybermalveillance.gouv.fr décrit un marché souterrain structuré, avec des plateformes de revente et des kits prêts à l'emploi, qui transforme chaque fuite en nouvelles campagnes d'hameçonnage (communiqué du 26 mars 2026).
Signe concret. Vos clients reçoivent des messages ciblés qui citent leur numéro de commande, ou un attaquant revendique la fuite sur un forum.
Se protéger :
- collecter moins de données et supprimer celles qui ne servent plus ;
- chiffrer les sauvegardes et les bases, et restreindre les accès aux seuls besoins ;
- exiger de vos prestataires la double authentification et une clause de notification d'incident ;
- tenir le registre des violations exigé par le RGPD, même pour les incidents mineurs.
Côté développeur, l'OWASP classe le contrôle d'accès défaillant au premier rang de son Top 10 2025 : une API qui renvoie les données d'un autre client sur simple changement d'identifiant suffit à provoquer une violation.
6. L'exploitation de failles
L'exploitation de vulnérabilités est devenue, pour la première fois, le premier vecteur d'accès initial du rapport Verizon : 31 % des fuites, alors que l'usage d'identifiants volés recule à 13 %. En Europe, Moyen-Orient et Afrique, la part atteint 47 %, devant l'hameçonnage (28 %) (résumé du DBIR 2026). L'ENISA la place au deuxième rang européen, avec 21,3 % des intrusions.
Comment ça marche. L'attaquant scanne Internet à la recherche d'une version vulnérable : VPN, pare-feu, serveur de messagerie, CMS ou plugin. L'ANSSI insiste sur les « équipements de bordure », cités nommément pour Ivanti et Fortinet, et sur les serveurs SharePoint exploités en 2025 (Panorama de la cybermenace 2025). Chez Cybermalveillance.gouv.fr, ces « piratages informatiques » pèsent 6 % des assistances aux entreprises, en hausse de 112 %.
Signe concret. Un compte administrateur créé sans raison, un fichier PHP inconnu sur votre hébergement, ou une alerte de votre hébergeur sur un trafic sortant inhabituel.
Le délai de correction est le vrai problème. Verizon relève que seulement 26 % des vulnérabilités critiques du catalogue KEV de la CISA ont été entièrement corrigées en 2025, contre 38 % un an plus tôt, avec un délai médian de 43 jours (résumé du DBIR 2026).
Se protéger :
- activer les mises à jour automatiques du CMS et des plugins, et suivre les alertes du CERT-FR pour vos équipements ;
- ne pas exposer les interfaces d'administration sur Internet et, si un accès à distance est indispensable, passer par un VPN avec double authentification ;
- dans votre code, utiliser des requêtes préparées : l'injection figure toujours au Top 10 2025 de l'OWASP, en cinquième position.
Notre tutoriel pour créer une API REST avec Node.js et Express montre les bases d'une API propre.
7. L'attaque par la chaîne d'approvisionnement
Au lieu de vous viser directement, l'attaquant compromet un fournisseur, un prestataire ou une dépendance logicielle. Verizon compte un tiers impliqué dans 48 % des fuites, une hausse de 60 % en un an (résumé du DBIR 2026). L'OWASP a d'ailleurs élargi son ancienne catégorie sur les composants vulnérables en une catégorie « défaillances de la chaîne d'approvisionnement logicielle » (notre traduction), troisième de son Top 10 2025.
Comment ça marche. L'ANSSI décrit un attaquant qui a compromis un prestataire de nombreuses entités françaises, puis s'est propagé chez plusieurs clients grâce aux interconnexions et à des identifiants volés. Côté code, GitHub a retiré du registre npm plus de 500 paquets compromis par le ver « Shai-Hulud », signalé à GitHub le 14 septembre 2025. Selon GitHub, ce ver injectait des scripts exécutés à l'installation, capables de voler plusieurs types de secrets et pas seulement des jetons npm (blog de GitHub, 22 septembre 2025).
Signe concret. Une dépendance mise à jour qui ajoute un script d'installation, ou un jeton d'accès utilisé depuis une adresse inconnue.
Se protéger :
- figer les versions avec un fichier de verrouillage et relire les mises à jour de dépendances ;
- activer la détection de secrets et les alertes de dépendances dans votre forge ;
- limiter les droits des jetons et les faire tourner régulièrement ;
- exiger la double authentification résistante à l'hameçonnage sur les comptes développeurs et sur le registre de paquets.
Une chaîne d'intégration continue bien réglée réduit l'exposition. Notre guide pour automatiser ses déploiements montre où placer ces contrôles, et notre tutoriel Docker pour débutants aide à figer un environnement.
8. Le déni de service (DDoS)
Le DDoS est l'attaque la plus fréquente dans les incidents recensés par l'ENISA : 76,7 % des cas, menés en grande majorité par des hacktivistes, avec un impact généralement faible (ENISA Threat Landscape 2025). Pour une petite entreprise française, il pèse peu : moins de 1 000 assistances en 2025, en hausse de 17 %, selon Cybermalveillance.gouv.fr. L'ANSSI le cite comme l'action de déstabilisation la plus fréquente de 2025.
Comment ça marche. Des requêtes massives saturent le serveur, ou une faille le fait tomber. La fiche réflexe sur le DDoS note qu'il peut servir de diversion à un vol de données ou s'accompagner d'une demande de rançon.
Signe concret. Le site devient lent puis inaccessible, et les journaux montrent un pic de requêtes depuis de nombreuses adresses.
Se protéger :
- demander à votre hébergeur quelle protection il prévoit, et la comparer avant de choisir une offre ;
- placer un service de filtrage devant le site et limiter le débit des requêtes ;
- fermer les ports inutiles et restreindre l'accès aux interfaces d'administration.
Notre comparatif d'hébergement cloud pour développeurs aide à poser ces questions.
Tableau des protections : effort et coût
Quelques mesures couvrent l'essentiel des cyberattaques les plus fréquentes. Le coût est indiqué de façon qualitative : nous n'avons pas relevé de prix, qui varient selon les offres.
| Mesure | Menaces couvertes | Effort | Coût |
|---|---|---|---|
| Double authentification ou clés d'accès | Piratage de compte, hameçonnage, fraude au virement | Faible | Gratuit sur la plupart des services |
| Gestionnaire de mots de passe | Piratage de compte, réutilisation après fuite | Faible | Gratuit ou abonnement |
| Mises à jour automatiques | Exploitation de failles, rançongiciel | Faible | Gratuit |
| Sauvegardes avec copie déconnectée, restauration testée | Rançongiciel, sabotage | Moyen | Stockage à prévoir |
| Validation des virements par un second canal | Fraude au virement, faux RIB | Faible | Gratuit |
| Sensibilisation de l'équipe | Hameçonnage, fraude au virement | Moyen | Gratuit avec les ressources publiques |
| Antivirus ou EDR | Rançongiciel, voleurs d'identifiants | Moyen | Abonnement |
| Verrouillage et revue des dépendances | Chaîne d'approvisionnement | Moyen | Gratuit avec les outils des forges |
| Filtrage du trafic chez l'hébergeur | DDoS | Faible à moyen | Variable selon l'offre |
| VPN sur les Wi-Fi publics | Interception sur réseau non maîtrisé | Faible | Gratuit ou abonnement |
Un VPN protège la connexion, pas vos comptes. Notre article VPN gratuit ou payant aide à choisir sans surpayer.
Que faire si vous êtes victime
Les démarches officielles tiennent en quelques étapes, et l'ordre compte. Elles viennent des fiches réflexes de Cybermalveillance.gouv.fr et de la page de notification de la CNIL, consultées le 25 octobre 2026.
- 1. Isoler sans éteindre. Pour un rançongiciel, déconnectez les machines du réseau mais ne les éteignez pas : la mémoire contient des preuves (fiche rançongiciels).
- 2. Faire le diagnostic sur 17Cyber. Le service officiel oriente selon la situation, met en relation avec la police ou la gendarmerie, ou avec un prestataire référencé. En cas d'urgence, le site rappelle d'appeler le 17 ou le 112.
- 3. Alerter la banque immédiatement en cas de virement frauduleux, pour tenter de le bloquer ou d'obtenir le retour des fonds.
- 4. Déposer plainte avant de réinstaller, au commissariat, à la gendarmerie ou par écrit au procureur de la République. Pour une entreprise ou une personne touchée dans le cadre de son activité professionnelle, une assurance cyber n'indemnise que si la plainte est déposée dans les 72 heures après la connaissance de l'attaque (article L. 12-10-1 du Code des assurances, issu de la loi du 24 janvier 2023, selon la FAQ du MEDEF sur cette loi).
- 5. Notifier la CNIL : c'est au responsable de traitement de le faire, un sous-traitant devant prévenir son client (article 33 du RGPD). La notification est due si la violation de données personnelles présente un risque pour les personnes : dans les meilleurs délais, avec une notification initiale dans les 72 heures suivant sa constatation, complétée ensuite. Un dépassement de ce délai doit être justifié. Toutes les violations, même sans risque, sont documentées en interne (page de notification de la CNIL). Les personnes concernées doivent être informées si le risque pour elles est élevé.
- 6. Chercher un outil de déchiffrement sur No More Ransom, une initiative portée notamment par Europol et la police néerlandaise, puis réinstaller des systèmes sains et restaurer des sauvegardes vérifiées.
Si vous travaillez seul, gardez ces contacts sur une page imprimée. Notre guide pour devenir développeur freelance rappelle aussi l'intérêt d'une assurance professionnelle.
Ce que nous n'avons pas pu vérifier
Voici ce que nous avons écarté ou signalé :
- « 60 % des PME victimes ferment dans les six mois » et le coût mondial de la cybercriminalité en milliers de milliards de dollars, repris par l'ancienne version de cet article : aucune source primaire identifiable. Retirés.
- Les parts des menaces chez les particuliers au-delà des trois premières : le graphique du rapport ne se lit pas sans ambiguïté.
- La date de publication du Panorama 2025 de l'ANSSI : le site de l'agence était inaccessible, nous l'avons lu sur vie-publique.fr.
- L'évolution des rançongiciels chez les professionnels : le rapport indique +8 % dans sa liste et +9 % dans son commentaire. Le graphique reprend la liste.
- L'audience du +107 % sur les violations de données : le rapport de Cybermalveillance.gouv.fr l'attribue aux particuliers (pages 35 et 48), alors que son communiqué du 26 mars 2026 écrit « tous publics confondus ». Nous suivons le rapport, plus détaillé.
- La rançon médiane de l'édition précédente : le DBIR 2026 indique 150 000 dollars. Nous n'avons pas relu l'édition 2025.
- La comparabilité des sources : demandes d'assistance, incidents, notifications et fuites confirmées ne se comparent pas d'un rapport à l'autre.
Questions fréquentes
Quelle est la cyberattaque la plus fréquente en France ?
Cela dépend du public. Selon le rapport d'activité 2025 de Cybermalveillance.gouv.fr, l'hameçonnage domine chez les particuliers avec près de 33 % des demandes d'assistance. Pour les entreprises et associations, c'est le piratage de compte, avec 21 % des demandes.
Les petites entreprises sont-elles vraiment visées ?
Oui. L'ANSSI indique que les PME, TPE et ETI restent la catégorie la plus touchée par les rançongiciels en 2025. Le résumé du DBIR 2026 de Verizon note que les petites organisations sont touchées de façon disproportionnée par les rançongiciels, souvent avec moins de moyens pour se défendre.
Faut-il payer la rançon d'un rançongiciel ?
Non, selon la fiche réflexe de Cybermalveillance.gouv.fr : le paiement ne garantit ni la récupération des données ni leur non-publication, et il encourage les attaquants à recommencer. Des sauvegardes déconnectées restent la meilleure assurance.
Quel délai pour signaler une fuite de données à la CNIL ?
La CNIL demande une notification dans les meilleurs délais pour toute violation présentant un risque pour les droits et libertés des personnes, avec une notification initiale dans les 72 heures suivant sa constatation. Si ce délai est dépassé, il faut en expliquer les raisons (page de notification de la CNIL).
À propos de l'auteur
Abdelilah Ourti est ingénieur IA et architecte logiciel. Il conçoit et déploie des applications web et des systèmes d'IA, et publie sur NeurauTech des guides et des comparatifs destinés aux développeurs francophones. Ses autres articles sont réunis sur sa page auteur.
Méthode. Synthèse fondée exclusivement sur des sources publiques : rapport d'activité 2025 de Cybermalveillance.gouv.fr et ses fiches réflexes, Panorama de la cybermenace 2025 de l'ANSSI, ENISA Threat Landscape 2025, rapport annuel 2025 de la CNIL, résumé du DBIR 2026 de Verizon, Top 10 2025 de l'OWASP et blog de GitHub, tous consultés le 25 octobre 2026. Les citations issues de sources en anglais sont traduites par nos soins. Aucun test n'a été mené, aucun lien n'est affilié et aucune relation commerciale ne lie l'auteur aux organismes mentionnés.
Une erreur ou un chiffre périmé ? Écrivez à contact@neurautech.com : l'article sera corrigé et la date de mise à jour modifiée.
Dernière mise à jour : 25 octobre 2026.
Image : Towfiqu barbhuiya (Unsplash License).
Top comments (0)