5 cyberattaques marquantes 2025-2026 : leçons pour les PME

Cinq cyberattaques survenues entre janvier et septembre 2026, chez une fintech, une administration, un sous-traitant emailing, un e-commerçant et un opérateur postal, révèlent un dénominateur commun : la majorité des compromissions récentes ne passent ni par un piratage spectaculaire ni par une faille zero-day, mais par un maillon faible dans la chaîne (identité, sous-traitant, accès mal contrôlé). Aucune de ces entreprises n’était une petite structure sans moyens, ce qui rend leurs erreurs d’autant plus instructives pour une TPE ou une PME.

Au premier trimestre 2026 seul, plus de 54 000 incidents de sécurité ont été signalés en France, en hausse de 37 % par rapport à 2025 (i-leadconsulting.com). Plutôt que de commenter une statistique abstraite, voici cinq cas concrets, ce qui s’est réellement passé, et la leçon transposable à votre entreprise.

1. Revolut : quand le processus de vérification devient la faille

En septembre 2026, la néobanque Revolut a confirmé une fuite de données déclenchée par un faux email gouvernemental. La demande frauduleuse « semblait provenir d’une agence gouvernementale légitime et comportait des informations d’identification qui ont satisfait aux contrôles de Revolut » (securite.developpez.com). Les données exposées incluaient pièces d’identité, selfies de vérification, coordonnées et historiques de transactions complets.

Ce qui a échoué : pas la technique, mais le processus. Une demande d’accès aux données, même en apparence légitime, a été traitée sans vérification suffisante de son origine réelle.

La leçon pour une PME : toute demande d’accès à des données sensibles, même si elle semble provenir d’une autorité ou d’un partenaire de confiance, doit passer par une procédure de vérification formalisée (rappel téléphonique sur un numéro connu, validation par un second responsable). C’est exactement le principe du zero trust déjà détaillé dans mon article sur la cybersécurité des TPE et PME : ne jamais faire confiance par défaut, même à une source qui semble légitime.

2. ANTS / France Titres : une faille technique banale, un impact massif

En avril 2026, l’Agence nationale des titres sécurisés a révélé une faille de type IDOR (Insecure Direct Object Reference) permettant d’accéder aux comptes d’autres utilisateurs simplement en modifiant un identifiant dans une URL. Bilan : 11,7 millions de comptes confirmés compromis, jusqu’à 19 millions revendiqués par l’attaquant (i-leadconsulting.com).

Ce qui a échoué : une vérification d’autorisation manquante côté serveur, une faille classée parmi les plus fréquentes et les plus simples à corriger du référentiel de sécurité applicatif OWASP.

La leçon pour une PME : ce type de faille touche autant un site WordPress mal développé qu’une plateforme gouvernementale. Si votre site permet de consulter une commande, une facture ou un compte via une URL du type ?id=123, vérifiez systématiquement qu’un utilisateur ne peut pas accéder aux données d’un autre simplement en changeant ce numéro. C’est un point de contrôle basique de tout audit de sécurité sérieux.

3. Alinto : le risque sous-traitant à grande échelle

En avril 2026, une fuite massive chez Alinto, sous-traitant emailing de nombreuses grandes entreprises, a exposé environ 40 millions de métadonnées d’emails. Les clients concernés incluaient des groupes comme L’Oréal, Renault, Carrefour ou Hermès (i-leadconsulting.com), aucun d’entre eux n’ayant été directement piraté : c’est leur prestataire qui a été compromis.

Ce qui a échoué : la sécurité d’un sous-traitant technique, invisible pour les clients finaux jusqu’à l’incident.

La leçon pour une PME : vous n’avez pas besoin d’être une cible directe pour être exposé. Chaque outil SaaS, chaque prestataire technique connecté à vos données (emailing, hébergement, CRM, comptabilité) élargit votre surface de risque. Un minimum de diligence s’impose : demander à vos prestataires clés leurs pratiques de sécurité, et limiter les données transmises au strict nécessaire.

4. ManoMano : la faille par ricochet du service client

Fin janvier 2026, le marketplace ManoMano a été touché par la compromission d’un sous-traitant de service client, exposant des données de clients (noms, emails, téléphones, historique de support) (i-leadconsulting.com).

Ce qui a échoué : un outil tiers de support client, souvent perçu comme secondaire côté sécurité, avait pourtant accès à des données personnelles sensibles.

La leçon pour une PME : les outils « périphériques » (chat client, ticketing, CRM léger) sont trop souvent exclus des audits de sécurité alors qu’ils centralisent des données personnelles complètes. Le principe du moindre privilège doit s’appliquer aussi à ces outils : un agent support n’a pas besoin d’un accès complet à l’historique de commande d’un client pour répondre à une réclamation simple.

5. La Poste / Banque Postale : quand l’attaque ne vise pas à voler mais à paralyser

Fin décembre 2025 puis début janvier 2026, La Poste et La Banque Postale ont subi une attaque DDoS massive attribuée au groupe NoName057, avec des pics atteignant plusieurs milliards de tentatives de connexion par seconde, paralysant temporairement les services en ligne (i-leadconsulting.com).

Ce qui a échoué : rien n’a été « volé », mais la disponibilité du service a été directement visée, un type d’attaque souvent sous-estimé face au vol de données. Viser un point de passage critique plutôt qu’une cible isolée, c’est aussi la logique des attaquants étatiques décrite par l’ANSSI dans Cyberattaques étatiques : les leçons de l’ANSSI pour les PME.

La leçon pour une PME : un site e-commerce ou une plateforme de réservation indisponible plusieurs heures a un impact direct sur le chiffre d’affaires, sans qu’aucune donnée n’ait besoin d’être dérobée. Une protection anti-DDoS de base (Cloudflare, WAF avec limitation de débit) reste accessible même à un budget de TPE.

Ce que ces 5 cas ont en commun

Au-delà de leur diversité (fintech, administration, sous-traitants, opérateur postal), un fil conducteur relie ces cinq incidents : la faille rarement là où on l’attend en premier. Ni l’antivirus, ni le pare-feu périmétrique n’auraient empêché un email frauduleux bien construit, une autorisation manquante dans le code, ou la compromission d’un prestataire tiers.

Trois priorités ressortent, transposables à n’importe quelle taille d’entreprise :

Vérifier plutôt que présumer, quelle que soit la source d’une demande d’accès à des données sensibles.

Auditer la chaîne de sous-traitance, pas seulement son propre système d’information : un prestataire mal sécurisé engage votre responsabilité autant que le sien.

Contrôler les autorisations au niveau du code, pas seulement au niveau du réseau : une faille comme l’IDOR de l’ANTS peut exister sur n’importe quel site mal audité, y compris un site WordPress avec un espace client mal développé.

Questions fréquentes

Ces cyberattaques concernent-elles vraiment les petites entreprises ?

Directement, rarement. Indirectement, presque toujours : les cas Alinto et ManoMano montrent qu’une PME peut être exposée via un simple prestataire, sans avoir elle-même commis d’erreur de sécurité. La vigilance doit s’étendre à toute sa chaîne d’outils et de sous-traitants.

Qu’est-ce qu’une faille IDOR, en langage simple ?

C’est une faille qui permet d’accéder aux données d’un autre utilisateur simplement en modifiant un identifiant visible dans une URL ou une requête, sans que le système ne vérifie que la personne qui fait la demande y est bien autorisée. C’est l’une des failles les plus fréquentes et les plus simples à corriger sur un site web mal audité.

Comment se protéger d’une attaque par déni de service (DDoS) avec un petit budget ?

Un service comme Cloudflare propose une protection anti-DDoS de base gratuite ou à faible coût, associée à un pare-feu applicatif (WAF) avec limitation de débit. C’est une des mesures les moins chères et les plus efficaces pour une TPE ou une PME.

Faut-il auditer la sécurité de ses prestataires (emailing, CRM, support client) ?

Oui, au minimum en leur demandant leurs pratiques de sécurité de base (chiffrement, gestion des accès, notification en cas d’incident) et en limitant les données personnelles que vous leur transmettez au strict nécessaire.

Tirer les leçons avant de devenir un cas d’école

Ces cinq incidents ont touché des organisations disposant de budgets et d’équipes techniques bien plus importants que la moyenne des TPE et PME françaises. Leur point commun n’est pas un manque de moyens, mais un angle mort précis : un processus, un sous-traitant ou une ligne de code jamais vérifiés en conditions réelles.

Vous voulez identifier vos propres angles morts avant qu’un incident ne s’en charge ? Je propose un audit de sécurité à partir de 490 € HT, incluant la vérification des points de contrôle les plus souvent négligés (autorisations, accès tiers, sous-traitance).

👉 Demander mon audit de sécurité

Sources

Article rédigé par Florian Verrine, développeur WordPress freelance et consultant digital depuis 15 ans. Digitalcorner accompagne les TPE, PME et e-commerçants sur la création, la sécurité et le référencement de leurs sites WordPress, avec plus de 250 projets livrés en France.

5 cyberattaques marquantes de 2025-2026 et les leçons à en tirer pour votre entreprise