Il existe une phrase qu'on entend dans presque toutes les TPE et PME : « nous, on n'intéresse personne ». Elle repose sur une idée rassurante — les attaquants viseraient les grandes cibles, les banques, les hôpitaux, l'administration. L'été 2026 a rendu cette phrase intenable, mais pas pour la raison qu'on croit.
Ce que dit la CNIL, chiffres en main
Dans son rapport annuel, la CNIL fait état de 6 167 notifications de violations de données en 2025, soit une hausse de près de 10 % sur un an. C'est un record depuis l'entrée en vigueur du RGPD.
Deux chiffres méritent qu'on s'y arrête.
La moitié de ces violations vient d'un piratage informatique. Le reste, ce sont des erreurs : un fichier envoyé au mauvais destinataire, un ordinateur portable perdu, un accès mal révoqué après un départ. Autrement dit, une fuite sur deux ne suppose aucun attaquant.
La CNIL consacrera la moitié de ses contrôles de 2026 à la sécurité des données. Ce n'est pas un détail de communication : le régulateur annonce explicitement que la situation est préoccupante et qu'il déplace son effort de contrôle. En 2025, elle a prononcé 83 sanctions pour un total de 487 millions d'euros.
L'État n'est pas mieux loti
Cet été, la Direction générale des finances publiques a publié un avis officiel reconnaissant des accès illégitimes à son système d'information ayant conduit au vol de données de contribuables. La presse a fait état de plusieurs centaines de milliers de personnes concernées, avec des données fiscales : identité, revenus, quotient familial, taux de prélèvement à la source.
Ce n'est pas un cas isolé. Plusieurs administrations françaises ont connu des incidents comparables ces derniers mois. Le point commun n'est pas le manque de moyens — c'est presque toujours la même mécanique : des identifiants légitimes détournés, et une authentification qui ne demandait qu'un mot de passe.
Pourquoi ça vous concerne, même si vous êtes petit
L'erreur est de lire ces affaires comme « les gros se font attaquer ». La bonne lecture est ailleurs.
Ces fuites alimentent les attaques contre vous. Une base contenant nom, adresse, revenus et situation familiale ne sert pas à grand-chose telle quelle. Elle sert à fabriquer des messages crédibles. Le phishing générique, mal orthographié, appartient au passé : quand l'attaquant connaît votre quotient familial et le nom de votre comptable, le message qui vous demande de changer un RIB devient très difficile à écarter. Nous avons détaillé les signaux d'alerte dans notre article sur le phishing.
La cause est la même chez vous. Identifiants partagés entre collègues, mot de passe unique sans second facteur, compte d'un ancien salarié jamais désactivé, accès prestataire ouvert des années après la fin de la mission. Ce sont exactement les défaillances qu'on retrouve dans les incidents publics — sauf que dans une PME, personne ne publie d'avis officiel.
Une fuite sur deux n'est pas un piratage. C'est la statistique la plus utile du rapport. Elle signifie que la moitié du risque se traite sans acheter le moindre outil de sécurité : en rangeant les accès, en supprimant les comptes inutiles, en vérifiant à qui part une pièce jointe.
Cinq mesures qui changent réellement quelque chose
- Activez l'authentification à deux facteurs partout où c'est possible — messagerie d'abord, puis banque, hébergeur, outils métier. C'est la mesure dont l'absence revient dans presque tous les incidents publics.
- Supprimez les comptes dormants. Faites la liste de tous ceux qui ont un accès à vos outils, y compris les prestataires. Coupez ce qui ne sert plus. L'exercice prend une matinée et se refait une fois par an.
- Interdisez les identifiants partagés. Un compte par personne, sans exception. Un accès partagé ne peut être ni tracé ni révoqué proprement.
- Sauvegardez selon la règle 3-2-1, avec au moins une copie hors ligne : trois copies, deux supports, une hors site. Voir notre article sur la stratégie de sauvegarde.
- Sachez qui prévenir. En cas de violation de données personnelles, vous disposez de 72 heures pour notifier la CNIL. Ce délai se prépare à froid, pas le jour venu.
Si vos données ont fuité dans une de ces affaires
Vous ne pouvez pas les faire disparaître. En revanche, trois réflexes limitent les dégâts.
Changez le mot de passe du service concerné, et de tous ceux où vous l'aviez réutilisé. Méfiez-vous pendant plusieurs mois des messages qui font référence à des informations exactes vous concernant — c'est précisément le signe qu'ils s'appuient sur une fuite. Et ne validez jamais un changement de coordonnées bancaires sur la base d'un e-mail, quelle qu'en soit l'apparence : un appel sur un numéro que vous connaissez déjà règle la question en trente secondes.
Ce que nous en retenons
Le message de l'été 2026 n'est pas que la sécurité est hors de portée. C'est l'inverse. Quand des administrations disposant de moyens considérables tombent sur des identifiants détournés et une authentification à un seul facteur, cela signifie que les fondamentaux comptent davantage que les outils sophistiqués.
Une PME qui applique sérieusement les cinq points ci-dessus se place devant une bonne partie des organisations bien plus grosses qu'elle. Ce n'est pas une question de budget, c'est une question de discipline.
Si vous ne savez pas où vous en êtes sur ces cinq points, c'est déjà une réponse. Parlons-en.