Les cyberattaques visant les entreprises françaises sont devenues un phénomène quotidien. Certaines affaires font la une, mais une grande partie des violations restent sous le radar. Début 2024, une fuite massive de données de santé a touché Viamedis et Almerys, exposant les informations de plus de 33 millions de personnes ; dans les télécoms, les données de millions de clients de Free ont été compromises, parfois avec des informations bancaires, et SFR a également subi des exfiltrations. Mairies et hôpitaux sont fréquemment ciblés par des rançongiciels, et des fuites chez Auchan ou la Fédération française de football illustrent la banalisation de ces incidents.
Pourquoi les PME sont-elles des cibles de choix ?
Plusieurs facteurs les rendent vulnérables : un manque de moyens consacrés à la cybersécurité, leur rôle de « maillon faible » dans les chaînes d’approvisionnement (porte d’entrée vers des cibles plus stratégiques) et une sensibilisation insuffisante des collaborateurs.
Une valeur marchande pour chaque donnée
Les données personnelles sont devenues une monnaie d’échange sur le marché noir, dont la valeur dépend de leur précision : une adresse e-mail seule se négocie entre 0,15 et 0,20 €, un profil détaillé environ 10 $, et un dossier complet avec documents d’identité entre 40 et 50 $. Même une petite base a de la valeur : pour un site de 500 clients revendus 10 $ chacun, la base représente déjà 5 000 $ — d’où l’intérêt des cybercriminels pour les TPE et PME, souvent moins protégées.
Réutilisation illicite et vigilance
Avec ou sans piratage, la réutilisation illicite d’une base de données expose à de lourdes sanctions. La CNIL rappelle qu’une base accessible en ligne n’est pas librement exploitable : il faut vérifier qu’elle ne provient pas de sources frauduleuses et que les données ne sont réutilisées que dans le cadre du consentement initial ou d’une base légale claire, sous peine d’amendes pouvant atteindre 4 % du chiffre d’affaires mondial. Pour se protéger : vérifier la provenance des bases, renforcer la cybersécurité interne, former les collaborateurs (l’erreur humaine est à l’origine de la grande majorité des attaques), établir un plan de réponse aux incidents et sécuriser les accès (authentification forte).
Source : CNIL — Réutilisation de bases de données.