Les risques en cybersécurité

Les principaux risques cyber et comment s’en protéger

Un risque cyber, ou risque de cybersécurité, est la possibilité qu’une attaque informatique ou une erreur exploite une faiblesse d’un système et cause un dommage : vol de données, arrêt d’activité, fraude ou atteinte à l’image. Hameçonnage, rançongiciel, fuite de données, piratage de compte : voici les principaux risques informatiques et les moyens concrets de s’en protéger.Les bases de la cybersécurité Cybercriminalité Ce que dit la loi Cybersécurité industrielleBachelor cybersécurité (Bac+3)Bac+5 Responsable cybersécurité

Qu’est-ce qu’un risque cyber ?

Un risque cyber réunit trois éléments : une menace (un escroc, un groupe criminel, un logiciel malveillant, mais aussi une simple erreur), une vulnérabilité qu’elle peut exploiter (un mot de passe faible, un logiciel pas à jour, un salarié pressé) et un impact (des données volées, un service à l’arrêt, de l’argent perdu). On ne contrôle pas les menaces. En revanche, on peut réduire les vulnérabilités et limiter l’impact : c’est tout l’objet de la protection.

On parle aussi de risque informatique ou de risque numérique. Les termes sont proches : le risque informatique inclut aussi les pannes et les accidents, alors que le risque cyber désigne surtout les actes malveillants qui passent par les réseaux et Internet. Notre page qu’est-ce que la cybersécurité ? présente les grands principes qui permettent d’y faire face.

Ces risques concernent tout le monde. Un particulier peut perdre l’accès à sa messagerie ou se faire voler de l’argent. Une PME peut voir ses fichiers chiffrés par un rançongiciel. Une collectivité peut voir ses services en ligne bloqués pendant plusieurs jours.

En résumé : un risque cyber, c’est une menace qui rencontre une faiblesse et provoque un dommage. Se protéger, c’est réduire les faiblesses et limiter les dommages.

Quels sont les principaux risques informatiques ?

Les rapports de l’ANSSI, de Cybermalveillance.gouv.fr et de l’ENISA, l’agence de l’Union européenne pour la cybersécurité, citent souvent les mêmes risques. Voici les cinq qui touchent le plus souvent particuliers et organisations, avec pour chacun les bons réflexes.

1. L’hameçonnage (phishing)

L’hameçonnage est un faux message, SMS ou appel qui imite un tiers de confiance (banque, livreur, administration) pour voler des identifiants ou des coordonnées bancaires. C’est la porte d’entrée la plus fréquente des attaques : selon l’ENISA, il est à l’origine d’environ 60 % des intrusions observées dans l’Union européenne entre juillet 2024 et juin 2025. L’intelligence artificielle rend ces messages plus crédibles et plus personnalisés. Pour connaître les autres techniques, lisez notre article sur les types d’attaques en cybersécurité.

Comment s’en protéger ? Ne jamais communiquer un mot de passe ou un code reçu par SMS, vérifier l’adresse de l’expéditeur, passer par le site officiel plutôt que par le lien reçu, et signaler les messages suspects : au 33700 pour les SMS, sur Signal Spam pour les courriels.

2. Le piratage de compte

Un attaquant prend le contrôle d’une messagerie, d’un réseau social ou d’un compte professionnel. Le plus souvent, le mot de passe a été volé par hameçonnage, était trop simple ou servait sur plusieurs sites dont l’un a été piraté. Le compte sert ensuite à escroquer les contacts ou à détourner des paiements. En 2025, c’est la première menace pour les professionnels accompagnés par Cybermalveillance.gouv.fr, en hausse de 45 %.

Comment s’en protéger ? Un mot de passe solide et différent pour chaque compte, rangé dans un gestionnaire de mots de passe, et la double authentification activée partout où elle existe.

3. Le rançongiciel (ransomware)

Un rançongiciel bloque un appareil ou chiffre ses données, puis exige une rançon. Souvent, les attaquants copient aussi les données et menacent de les publier. L’ANSSI a recensé 128 compromissions par rançongiciel en 2025 : un chiffre en baisse, mais les PME, TPE et ETI restent les plus touchées. L’agence observe aussi plus de vols de données sans chiffrement, suivis d’extorsion : 196 incidents en 2025 contre 130 en 2024.

Comment s’en protéger ? Des sauvegardes régulières dont une copie reste déconnectée, des mises à jour appliquées vite et des droits d’administrateur réservés à quelques comptes. En cas d’attaque, Cybermalveillance.gouv.fr conseille de couper les connexions des machines touchées, de ne pas payer la rançon et de porter plainte.

4. La fuite de données

Pour la CNIL, il y a violation de données personnelles quand ces données perdent leur confidentialité, leur intégrité ou leur disponibilité, par accident ou de manière illicite : base clients copiée par un pirate, fichier envoyé au mauvais destinataire, ordinateur volé. Les données volées nourrissent ensuite d’autres arnaques, comme l’hameçonnage ciblé. En 2025, Cybermalveillance.gouv.fr a enregistré un bond de 107 % des demandes d’assistance liées à des violations de données.

Comment s’en protéger ? Ne garder que les données utiles, limiter qui peut y accéder, chiffrer les ordinateurs portables et les clés USB. Une organisation victime d’une violation qui présente un risque pour les personnes doit la notifier à la CNIL dans les meilleurs délais, si possible sous 72 heures.

5. L’attaque par déni de service (DDoS)

Une attaque par déni de service envoie un très grand nombre de requêtes vers un site ou un serveur pour le saturer et le rendre inaccessible. Selon l’ENISA, c’est le type d’incident le plus signalé dans l’Union européenne : 77 % des incidents entre juillet 2024 et juin 2025, menés en grande partie par des groupes hacktivistes. Seuls 2 % des incidents liés à l’hacktivisme ont réellement interrompu un service, mais certains criminels utilisent le DDoS pour faire pression sur une victime.

Comment s’en protéger ? Choisir un hébergeur ou un opérateur qui propose une protection anti-DDoS, prévoir un moyen de prévenir les clients si le site tombe, et ne pas céder à un chantage.

Quels autres risques cyber faut-il connaître ?

D’autres risques font moins parler d’eux, mais ouvrent souvent la porte aux attaques.

Les failles non corrigées

Une vulnérabilité est un défaut dans un logiciel ou un équipement. Selon l’ANSSI, près de 50 000 vulnérabilités ont été publiées en 2025, et le délai entre la découverte d’une faille et son exploitation se réduit fortement. La parade : savoir quels équipements on possède, appliquer les correctifs vite, en priorité sur ce qui est exposé à Internet (pare-feu, VPN, serveurs), et remplacer ce qui n’est plus maintenu.

Les fournisseurs et la chaîne d’approvisionnement

Un attaquant peut passer par un prestataire informatique, un éditeur de logiciel ou un sous-traitant pour atteindre sa vraie cible. L’ENISA note que les cybercriminels visent de plus en plus les points de dépendance, comme la chaîne d’approvisionnement numérique. Pour réduire ce risque : lister ses fournisseurs critiques, limiter leurs accès au strict nécessaire, prévoir des clauses de sécurité dans les contrats et vérifier qu’elles sont respectées.

La menace interne

Un salarié mécontent, un ancien prestataire dont le compte n’a pas été fermé ou un collaborateur manipulé peut abuser de ses accès. Les protections : donner à chacun uniquement les droits dont il a besoin, fermer les comptes dès un départ et garder une trace des accès aux données sensibles.

L’erreur humaine

Un courriel envoyé au mauvais destinataire, un dossier partagé publiquement par erreur, un mot de passe noté sur un post-it : beaucoup d’incidents commencent par une maladresse. La bonne réponse n’est pas de blâmer, mais de former, de simplifier les règles et d’encourager chacun à signaler vite une erreur.

Comment évaluer et gérer les risques cyber ?

Dans une entreprise ou une administration, la gestion des risques cyber suit quatre étapes.

Identifier ce qui a de la valeur : données clients, logiciels métier, comptes bancaires, machines de production.
Évaluer pour chaque risque sa probabilité et son impact, puis décider quoi traiter en premier. C’est le travail du responsable gouvernance, risques et conformité et du RSSI.
Protéger et tester : mesures techniques, règles, formation. Un auditeur de sécurité technique ou un pentester vérifie ensuite que les défenses tiennent.
Détecter et réagir : un analyste SOC surveille les alertes ; en cas d’incident, un analyste réponse aux incidents contient l’attaque et aide à redémarrer.

Quels liens avec la cybercriminalité, la loi et l’industrie ?

Derrière la plupart des risques cyber, il y a des infractions : escroquerie, extorsion, intrusion dans un système. Notre page qu’est-ce que la cybercriminalité ? présente leurs auteurs et leurs méthodes. Le RGPD et la directive européenne NIS 2 imposent aussi des obligations de sécurité. En novembre 2026, NIS 2 n’était pas encore transposée en droit français : le projet de loi « Résilience » était examiné en séance publique à l’Assemblée nationale à partir du 9 novembre 2026. Pour faire le point : que dit la loi sur la cybersécurité ? Dans les usines et les réseaux d’énergie ou d’eau, une attaque peut en plus arrêter des machines : c’est le domaine de la cybersécurité industrielle.

Quelles protections mettre en place en priorité ?

Deux chantiers réduisent la plupart des risques présentés sur cette page : la maintenance technique et la formation des utilisateurs.

Mises à jour, sauvegardes et contrôles de sécurité

Installer les mises à jour dès qu’elles sont proposées ferme les failles que les attaquants exploitent. Dans une entreprise, cela demande une routine : inventaire des postes et des serveurs, application rapide des correctifs, remplacement des logiciels qui ne sont plus maintenus. Les particuliers peuvent activer les mises à jour automatiques et suivre nos conseils pour protéger leurs données personnelles.

Les sauvegardes sont le dernier rempart contre les rançongiciels et les erreurs. Il faut les faire régulièrement, en garder au moins une copie déconnectée du réseau et vérifier de temps en temps qu’on sait les restaurer. Antivirus et pare-feu complètent ce socle, à condition d’être bien configurés.

Formation et sensibilisation à la cybersécurité

Beaucoup d’attaques commencent par un clic, un mot de passe donné ou un virement validé trop vite. Apprendre aux utilisateurs à reconnaître un message piégé, une fausse urgence ou un faux fournisseur réduit ce risque. Des exercices de faux hameçonnage et des rappels courts et réguliers marquent plus durablement qu’une formation unique.

La sensibilisation passe aussi par des règles simples : double authentification, appel de vérification avant tout changement de coordonnées bancaires d’un fournisseur, signalement immédiat d’une erreur ou d’un message suspect. Cybermalveillance.gouv.fr publie des fiches réflexes pour les particuliers, les entreprises et les collectivités.

Questions fréquentes

Quelle différence entre menace, vulnérabilité et risque ?

La menace est ce qui peut causer un dommage : un groupe criminel, un logiciel malveillant, une panne. La vulnérabilité est la faiblesse qu’elle exploite : faille logicielle, mot de passe réutilisé, utilisateur non formé. Le risque combine les deux avec l’impact possible : vol de données, arrêt d’activité, perte d’argent. On ne supprime pas les menaces, mais on peut réduire les vulnérabilités et limiter l’impact.

Quels sont les 10 principaux risques en matière de cybersécurité ?

Voici dix risques à connaître : l’hameçonnage, le piratage de compte, le rançongiciel, la fuite de données, l’attaque par déni de service, l’exploitation de failles non corrigées, l’attaque par un fournisseur, la menace interne, l’erreur humaine et la fraude au virement. Leur importance varie selon que l’on est un particulier, une PME ou une administration. L’hameçonnage reste la porte d’entrée la plus fréquente.

Quels sont les risques informatiques pour une entreprise ?

Pour une entreprise, les risques les plus courants sont le piratage des comptes de messagerie, le rançongiciel, la fuite de données clients et la fraude au virement, souvent après le piratage d’un compte. Selon Cybermalveillance.gouv.fr, les fraudes au virement ont augmenté de 170 % en 2025. Les conséquences : activité arrêtée, pertes financières, obligations de notification à la CNIL et clients qui perdent confiance.

Quels sont les risques cyber pour un particulier ?

Les plus fréquents sont l’hameçonnage par SMS ou courriel, le piratage de compte, les faux sites de vente et l’arnaque au faux conseiller bancaire. Selon Cybermalveillance.gouv.fr, cette dernière a progressé de 159 % en 2025. Le bon réflexe face à un appel qui presse d’agir : raccrocher, puis rappeler soi-même sa banque au numéro habituel. Pour réduire tous ces risques, les gestes de base restent les mêmes : mots de passe uniques, double authentification, mises à jour et sauvegardes.

Que faire si l’on est victime d’une cyberattaque ?

Ne payez aucune rançon. Débranchez l’appareil touché du réseau, changez vos mots de passe depuis un autre appareil et prévenez votre banque si des paiements sont en jeu. Le service 17Cyber, porté par Cybermalveillance.gouv.fr, aide à identifier le problème et à trouver de l’aide. Portez plainte en gardant les preuves. Une organisation dont les données personnelles ont fui doit aussi évaluer si elle doit le notifier à la CNIL.

Quels métiers et quelles formations pour gérer les risques cyber ?

Analyste SOC, auditeur, responsable gouvernance, risques et conformité, RSSI : découvrez les métiers de la cybersécurité. Selon l’Observatoire des métiers de l’ANSSI (2025), 40 % des offres d’emploi du secteur demandent un Bac+5. À Lyon, CSB.SCHOOL y prépare avec la formation Responsable cybersécurité (Bac+5, en 2 ans, en alternance) et la formation Spécialiste en cybersécurité (Bac+3, titre RNCP42503, en 1 an).

Sources

3 chiffres clés sur les risques cyber

Hameçonnage, fuites de données, demandes d’aide en hausse : trois repères tirés des derniers rapports publics, européens et français.

60 %

des intrusions observées dans l’Union européenne commencent par de l’hameçonnage, selon l’état de la menace 2025 de l’ENISA (juillet 2024 à juin 2025).

504 810

demandes d’assistance sur Cybermalveillance.gouv.fr en 2025, en hausse de 20 % sur un an ; l’hameçonnage y est la première menace (rapport d’activité 2025).

+107 %

de demandes d’assistance pour des violations de données en 2025, tous publics confondus (rapport d’activité 2025 de Cybermalveillance.gouv.fr).