Parler de cybersécurité en France ne provoque plus vraiment de réaction, d’après Jeremy Marsalik, ingénieur avant-vente senior chez CoreView. Les attaques se succèdent, les fuites de données s’enchaînent, les communiqués de crise deviennent presque routiniers. Un opérateur télécom touché une seconde fois en quelques mois. Une administration compromise chaque semaine. Une fédération victime d’une fuite de données. Une compagnie aérienne confrontée à une extraction d’informations clients. Chaque semaine apporte désormais son nouvel incident, comme si cette mécanique était devenue inévitable, routinière, prédictible. Le plus préoccupant n’est pourtant plus l’existence de ces attaques.
L’accoutumance au déni de réalité
Dans un monde entièrement numérisé, aucune organisation ne peut raisonnablement prétendre être totalement invulnérable. Ce qui devient inquiétant, en revanche, c’est l’accoutumance progressive au déni de réalité. Comme si les entreprises françaises, mais aussi certaines structures publiques, avaient fini par considérer la cyberattaque comme une fatalité plutôt que comme un risque stratégique nécessitant une remise en question profonde. Cette banalisation est dangereuse. D’abord parce qu’elle crée une forme de résignation collective. Ensuite parce qu’elle masque une réalité beaucoup plus dérangeante : dans une grande partie des incidents observés aujourd’hui, les failles exploitées sont connues depuis longtemps. Les outils existent. Les mécanismes de protection également. Les bonnes pratiques sont documentées. Pourtant, les mêmes erreurs de base reviennent sans cesse. Les standards essentiels ne sont pas présents. Les fondations, ce qui devrait être la norme minimale, sont absentes.
Au-delà de l’informatique : la cyberattaque s’installe dans le quotidien
Pendant des années, la cybersécurité a été traitée comme un sujet essentiellement technique et obscur, presque relégué au second rang. Une affaire de pare-feu, d’antivirus, de supervision réseau ou d’infrastructures. Cette lecture ne correspond plus à la réalité actuelle. Lorsqu’une entreprise subit aujourd’hui une fuite de données, les conséquences dépassent très largement le périmètre informatique, voire celui de l’entreprise/entité elle-même. Une base de données clients compromise ne disparaît pas après l’incident. Elle alimente un marché parallèle. Les informations circulent, se revendent, se croisent avec d’autres données déjà volées ailleurs. Numéros de téléphone, adresses email, habitudes de consommation, identités ou informations professionnelles deviennent ensuite des matières premières utilisées pour alimenter des campagnes de phishing ciblé, des tentatives d’escroquerie ou des opérations d’ingénierie sociale de plus en plus crédibles. Beaucoup de particuliers découvrent d’ailleurs les conséquences bien après l’attaque initiale. Explosion des appels frauduleux, faux conseillers bancaires, messages personnalisés, usurpation d’identité, cambriolages : la cyberattaque finit par quitter l’écran pour s’installer dans le quotidien, dans notre monde réel et physique
L’IA générative, accélérateur des capacités offensives
Malheureusement cette évolution ne fait que commencer. L’intelligence artificielle générative est en train d’accélérer considérablement les capacités offensives des cybercriminels (il n’y a qu’à avoir Claude Mynthos pour s’en rendre compte). Produire un email frauduleux crédible ne nécessite plus le même niveau technique qu’il y a encore quelques années. Les campagnes deviennent plus propres, plus contextualisées, plus convaincantes. Là où les anciennes attaques étaient souvent grossières, les nouvelles exploitent désormais des informations personnelles précises et des scénarios beaucoup plus sophistiqués. Le sujet n’est donc plus seulement celui du piratage informatique. Il devient celui de la confiance numérique.
Les mêmes failles, encore et toujours
Un autre signal mérite également d’être observé avec attention : la répétition des incidents. Lorsqu’une entreprise ou une organisation est touchée plusieurs fois en quelques mois sur des problématiques similaires, la question n’est plus uniquement celle de l’attaque elle-même. Elle devient celle de la capacité réelle à corriger durablement les vulnérabilités. Depuis plusieurs années, les entreprises investissent dans les audits, les solutions de sécurité et les démarches de conformité. Les RSSI disposent de davantage d’outils et les réglementations se renforcent. Pourtant, sur le terrain, les mêmes fragilités continuent d’apparaître : comptes insuffisamment protégés, absence de MFA, comptes dormants encore actifs, accès prestataires oubliés ou gouvernance des identités insuffisamment maîtrisée.
Les mécanismes de protection les plus efficaces sont parfois aussi les plus simples à mettre en œuvre. Microsoft rappelle régulièrement que l’activation du MFA permettrait à elle seule de bloquer l’immense majorité (99,9% d’entre-elles quand même !) des attaques automatisées ciblant les identités.
Un problème de culture du risque
Malgré cela, il existe encore en 2026 des environnements critiques dans lesquels cette protection minimale n’est pas généralisée. Pourquoi ? Parce que le problème n’est plus seulement technologique. Dans beaucoup d’organisations, la cybersécurité continue d’être perçue comme une contrainte opérationnelle ou budgétaire. Les directions informatiques et les RSSI savent souvent quels risques doivent être traités, mais ils se heurtent encore à des arbitrages complexes : coût des projets, résistance au changement, crainte d’impacter les usages métiers ou difficulté à démontrer concrètement le retour sur investissement. Cette situation révèle un problème plus profond de culture du risque.
PME et ETI : personne n’est à l’abri
Pendant longtemps, une partie des entreprises françaises a considéré que la cybersécurité concernait avant tout les grands groupes internationaux ou les infrastructures critiques. Beaucoup de PME et d’ETI restent encore persuadées qu’elles ne constituent pas des cibles prioritaires. Les cybercriminels industrialisent désormais leurs opérations. Les attaques sont automatisées, massives et permanentes. Les petites structures servent de terrain d’expérimentation, de relais ou de porte d’entrée indirecte vers des partenaires plus stratégiques. Une entreprise insuffisamment protégée peut devenir un maillon faible dans toute une chaîne économique, la fameuse attaque de la « supply-chain ». Le problème est que les conséquences financières restent encore sous-estimées.
Quand le risque abstrait devient crise existentielle
Une entreprise paralysée pendant plusieurs jours ne subit pas seulement un incident informatique. Elle peut perdre des contrats, interrompre son activité, fragiliser sa trésorerie, détériorer sa réputation et parfois remettre en cause sa viabilité même. Or beaucoup d’organisations continuent de raisonner selon une logique simple : tant qu’aucune crise majeure n’a été vécue en interne, le risque reste abstrait.
De la conformité à la capacité opérationnelle continue
Cette approche n’est plus tenable. Car le marché de la cybersécurité a lui aussi changé. Aujourd’hui, les audits sont devenus relativement accessibles. Les indicateurs existent. Les plateformes de supervision également. Le véritable problème apparaît souvent après le diagnostic. Entre l’identification d’une faille et sa correction effective, plusieurs semaines, parfois plusieurs mois, peuvent s’écouler. Dans cet intervalle, l’exposition demeure totale. C’est précisément là que les organisations doivent évoluer. La cybersécurité ne peut plus fonctionner comme un exercice ponctuel de conformité destiné à produire un rapport d’audit, ou une certification avec un joli tampon, puis à passer au sujet suivant. Elle doit devenir une capacité opérationnelle continue.
La question centrale n’est plus seulement : « Sommes-nous conformes ? » La vraie question devient : « Sommes-nous capables de réduire rapidement notre surface d’attaque lorsque des faiblesses sont identifiées ? »
L’automatisation, condition de survie
Cette évolution implique nécessairement davantage d’automatisation. Les équipes IT sont déjà sous pression et les compétences spécialisées restent rares. Dans ce contexte, certaines opérations ne peuvent plus dépendre uniquement de traitements manuels : gestion du cycle de vie des comptes, désactivation des accès inutilisés, contrôle des permissions, suivi des comptes prestataires ou surveillance continue des environnements collaboratifs. Les cybercriminels exploitent précisément les oublis et les angles morts. Un compte non désactivé, une exception laissée ouverte ou un accès prestataire oublié peuvent suffire à compromettre un environnement entier. Le défi des prochaines années sera donc autant humain qu’organisationnel.
Les entreprises françaises doivent sortir d’une logique de réaction permanente. Attendre l’incident avant d’investir n’est plus une stratégie viable dans un contexte où les attaques deviennent toujours plus rapides, plus automatisées et plus accessibles. Le sujet n’est plus de savoir si une organisation sera ciblée. La vraie question est désormais de savoir si les entreprises et les institutions françaises sont prêtes à traiter enfin la cybersécurité comme ce qu’elle est devenue : un enjeu économique, opérationnel et stratégique majeur. Celles qui échoueront à se renforcer et moderniser leur sécurité ne passeront sans doute pas le cap des prochaines années.
