Étiquette : En 2025

Une autre raison pour laquelle les choses coûtent plus cher aujourd’hui : la cybercriminalité. Une enquête menée par l’Identity Theft Resource Center, une organisation à but non lucratif basée à San Diego qui propose des services d’éducation et d’aide aux victimes, a révélé que 38 % des petites entreprises victimes d’une cyber escroquerie ou d’une violation de données au cours des 12 derniers mois ont répercuté ces pertes sur leurs clients en augmentant leurs prix.

Autre constat important : la cybercriminalité visant les petites entreprises est de plus en plus alimentée par l’intelligence artificielle.

« L’ère des menaces prévisibles et à échelle humaine a cédé la place à une nouvelle réalité : celle d’attaques automatisées, intelligentes et massivement extensibles, alimentées par l’IA », indique le rapport, qui analyse les tendances en matière de menaces, de prévention et d’attaques. Il formule également des recommandations détaillées sur la sécurité des réseaux et des applications, la protection des données et les pratiques des employés et des sous-traitants. (L’enquête a été menée auprès de plus de 650 entreprises issues de plus de 12 secteurs d’activité en août.)

Eva Velasquez, directrice générale de « the Identity Theft Resource Center » (Ou centre de ressources sur le vol d’identité), a déclaré que ces résultats rappellent brutalement que les pirates informatiques ne font pas de distinction. Ils s’emparent des données et de l’argent de n’importe qui, y compris des grandes et petites entreprises, ainsi que des particuliers.

« Quand on parle de risque, ce sont vraiment toutes les entreprises qui sont concernées », a déclaré Velasquez. Des petites entreprises familiales aux grandes sociétés, « elles sont toutes susceptibles d’intéresser les pirates informatiques ». Les petites entreprises négligent parfois la cybersécurité « car elles se croient à l’abri. Elles se disent : “Pourquoi quelqu’un s’en prendrait-il à moi ?” »

Non seulement ces systèmes sont ciblés, mais ils sont également victimes de piratages, parfois plusieurs fois par an. Deux ou trois intrusions sur une période de douze mois constituent le scénario le plus fréquent. 34 % des systèmes ont subi une seule intrusion et près de 12 % en ont subi quatre ou plus.

Un changement encourageant : le pourcentage d’entreprises ayant subi une ou deux violations de données a augmenté depuis 2024, tandis que le pourcentage d’entreprises ayant subi plus de deux violations a diminué. Il est possible que les entreprises améliorent leurs protocoles de cybersécurité après une première ou une deuxième violation.

Le rapport indique cependant que le fait que les entreprises ne soient touchées qu’une seule fois en dit long sur les méthodes des cyberattaquants.

« Les acteurs malveillants semblent privilégier les attaques opportunistes et massives. Cela modifie l’évaluation des risques pour les PME, faisant passer le principal défi de la défense contre un adversaire déterminé et persistant à la riposte à un barrage continu d’attaques ponctuelles provenant de sources multiples. »

L’organisme sans but lucratif offre gratuitement son aide aux particuliers et, dans certains cas, facture des frais aux entreprises afin de financer ces services gratuits. L’organisme a subi une baisse importante des subventions fédérales l’an dernier, mais sa situation financière reste solide grâce aux dons privés et aux indemnités non réclamées issues de règlements collectifs, a déclaré Velasquez.

« Nos services restent disponibles au même niveau qu’avant les changements apportés aux processus et à la disponibilité des subventions fédérales », a déclaré Velasquez.

Les attaques contre l’IA ont explosé.

Quatre petites entreprises sur cinq ont déclaré avoir été victimes d’une violation de sécurité ou de données au cours des 12 derniers mois – une statistique inchangée par rapport à l’année précédente.

Mais la nature de ces attaques a changé, l’IA occupant désormais une place centrale.

D’après le rapport, les enquêtes précédentes menées auprès de petites entreprises victimes de cyberattaques et de violations de données ont révélé que ces incidents étaient dus à des environnements cloud non sécurisés, à des ransomwares, à des pirates informatiques, à des employés ou sous-traitants malveillants, à des négligences de la part de télétravailleurs, à des failles logicielles et à des attaques contre des fournisseurs tiers.

L’IA n’était même pas citée comme cause, pas plus tard qu’en 2024. Mais en 2025, 41 % des petites entreprises victimes ont déclaré que l’IA était la cause première d’une attaque récente.

L’IA générative peut concevoir « des attaques d’ingénierie sociale hautement personnalisées qui imitent le ton et le contexte des communications internes légitimes », indique le rapport. Les pirates informatiques lancent désormais des attaques automatisées à grande échelle qui couvrent un territoire beaucoup plus vaste, a déclaré Velasquez.

En matière de cybercriminalité, l’IA est un facteur d’égalisation des chances. Des escroqueries sophistiquées peuvent être perpétrées par des malfaiteurs moins expérimentés qui utilisent l’IA générative.

« Ces outils démocratisent de fait des capacités d’attaque avancées qui étaient autrefois l’apanage d’acteurs hautement qualifiés », indique le rapport.

La cause des violations de données et des cyberattaques ayant connu la plus forte baisse en pourcentage en 2025 par rapport à 2024 est le télétravail, ce qui est logique puisque les employés sont retournés au bureau. Toutes les autres causes d’attaques ont également diminué, peut-être parce que les escrocs et les voleurs de données se sont tournés vers l’intelligence artificielle.

Bien que l’IA ait été ajoutée à la liste et que certaines causes soient devenues moins fréquentes, aucune cause n’a disparu.

Payer le prix

Lorsqu’une petite entreprise est victime d’une violation de données ou d’une fraude, le préjudice financier peut inclure des pertes de revenus, des frais juridiques, des amendes et des pénalités, des assurances, ainsi que des refontes en matière de marketing et de sécurité.

En additionnant ces dépenses, l’enquête a révélé que 37 % des entreprises ont perdu plus de 500 000 $ par incident l’an dernier. Un quart a perdu jusqu’à 250 000 $ et un autre quart a perdu entre 250 000 $ et 500 000 $.

Pour compenser leurs coûts, les entreprises ont puisé dans leurs réserves de trésorerie, sollicité des investisseurs, supprimé des emplois ou eu recours au crédit et à l’assurance cyber. Elles ont également adopté une nouvelle tactique : 38 % d’entre elles ont augmenté leurs prix.

« Cela représente un important effet d’entraînement macroéconomique inflationniste découlant directement de l’aggravation des cybermenaces pour les petites entreprises », indique le rapport.

Ce changement pourrait s’expliquer par la difficulté accrue à obtenir d’autres sources de financement. En 2025, un pourcentage plus faible d’entreprises a reçu des fonds d’investisseurs pour faire face aux cyberattaques et aux violations de données qu’en 2024.

Par ailleurs, moins d’entreprises ont souscrit une assurance cyber, près d’un quart d’entre elles déclarant avoir des difficultés à obtenir ou à renouveler leur assurance après une violation de données. « Cela laisse penser que face à l’augmentation de la fréquence et du coût des sinistres, les assureurs ont adapté leurs critères de souscription. »

Par rapport à 2024, moins d’entreprises ont supprimé des emplois pour compenser les pertes dues à la cybercriminalité : 18 %, contre 27 % auparavant.

Le fait de moins dépendre des assurances et des investisseurs, et de choisir de supprimer moins d’emplois à la suite de cyberattaques, a pu contribuer, individuellement ou collectivement, à la hausse des prix.

Prévenir les pertes

Quelles données sensibles les escrocs ont-ils emportées ?

Les données des employés étaient les plus fréquemment consultées lors des violations de données, suivies de près par les données clients et la propriété intellectuelle de l’entreprise.

Pour se défendre, certaines entreprises ont mis en place des outils performants, mais l’enquête a également révélé une tendance inquiétante : « La mise en œuvre de mesures de sécurité essentielles, telles que l’authentification multifacteurs, est en recul », indique le rapport. Une des raisons avancées : les dirigeants d’entreprise, débordés, « négligent les fondamentaux d’une défense efficace ».

Velasquez et son association à but non lucratif incitent les entreprises à continuer d’étudier les menaces connues et émergentes et à adapter constamment leurs pratiques en matière de cybersécurité.

« Le contrôle d’accès le plus crucial à mettre en œuvre pour toute petite entreprise est l’authentification multifacteur », indique le rapport.

L’authentification multifacteurs (AMF) est un système de contrôles de sécurité qui exige que toute demande d’accès à des informations confidentielles soit vérifiée par plusieurs canaux indépendants. L’AMF rend « considérablement plus difficile l’utilisation de mots de passe volés par des pirates informatiques ».

Parmi ces méthodes, on peut citer les applications d’authentification gratuites (comme Google Authenticator), les codes SMS envoyés sur le téléphone d’un utilisateur lorsqu’il tente de se connecter à l’aide d’un mot de passe, et les jetons matériels physiques.

Le rapport fait état d’un « déclin alarmant de l’adoption de l’authentification multifacteur pour les systèmes internes », passant d’environ 33 % en 2024 à environ 27 % en 2025. Cela « représente une vulnérabilité critique et hautement prioritaire que les entreprises doivent traiter immédiatement ».

« Un changement de société »

« Même les entreprises les plus performantes, dotées d’une cybersécurité robuste, peuvent subir une faille de sécurité », a déclaré Velasquez. « Ce n’est pas un indicateur automatique de négligence. »

Mais les entreprises dont la cybersécurité est moins robuste sont bien plus exposées aux risques.

Le rapport contient six pages de conseils pour prévenir les cyberattaques et les violations de données, ainsi que pour contrer les attaques utilisant l’intelligence artificielle. Ces conseils portent notamment sur les formations que les entreprises devraient proposer, la configuration des pare-feu, les bonnes pratiques de chiffrement des données, et bien plus encore.

Les petites entreprises doivent renforcer leurs mesures de prévention, mais Velasquez a également lancé cet appel aux consommateurs : ne vous détournez pas des entreprises qui prennent des mesures pour protéger vos données, même si c’est agaçant.

Ce délai interminable de quatre secondes avant la réception du SMS de vérification, les manipulations supplémentaires à l’écran nécessaires pour utiliser une application d’authentification : tout cela est le signe qu’une entreprise fait les choses correctement.

« L’un des conflits auxquels nous sommes confrontés est celui entre la commodité et la sécurité. Les entreprises doivent gérer cette tension entre : « Je dois assurer la sécurité et imposer des procédures complexes aux utilisateurs pour qu’ils prouvent leur identité, afin de protéger leurs données, leurs comptes et leurs informations. » Et les particuliers qui disent : « Je veux de la commodité. » »

« Si nous assistons à un changement de société où nous comprenons que certaines frictions, un petit désagrément, sont en réalité bénéfiques pour nous », a-t-elle déclaré.

« Une entreprise qui vous demande de faire ces choses est une entreprise avec laquelle vous devriez faire affaire », a ajouté Velasquez, « car vous savez qu’elle a mis en place des mesures pour vous protéger, vous et vos données. »

https://www.idtheftcenter.org/podcast/weekly-breach-breakdown-cybersecurity-2025-wrap-up