Un vendredi après-midi, un comptable d'une PME du Nord reçoit un appel en visioconférence. À l'écran, son directeur financier : traits familiers, voix reconnaissable, ton habituel. Il demande de valider en urgence un virement vers un nouveau fournisseur. Le comptable valide, le virement part. Le directeur financier, lui, n'a jamais passé cet appel : sa voix et son visage ont été reconstitués par une intelligence artificielle à partir de quelques vidéos publiées en ligne.
Ce genre de scénario n'est plus une hypothèse de film. Selon une enquête Gartner menée auprès de 302 responsables de la cybersécurité, 62 % des organisations ont déjà subi une attaque combinant deepfake et ingénierie sociale au cours des douze derniers mois. Et ce n'est qu'une des sept menaces qui vont structurer l'année 2026, pour les entreprises comme pour toute personne qui gère de l'argent, des clients ou des données depuis un ordinateur connecté. Ce guide détaille ces sept menaces, avec des chiffres vérifiables et des pistes concrètes pour s'en protéger, que vous dirigiez une PME, que vous soyez indépendant, ou que vous gériez simplement vos finances personnelles en ligne.11111
Menace n°01
L'IA agentique au service des cybercriminels
Cible
Tout système exposé en ligne
Vecteur
Agents IA autonomes
Tendance
Forte hausse
Niveau
Élevé
22222La bascule s'est faite vite. Il y a deux ans, l'intelligence artificielle servait surtout à rédiger des emails de phishing plus crédibles. En 2026, elle pilote des attaques de bout en bout. Des agents IA explorent un réseau, repèrent une vulnérabilité, l'exploitent puis progressent latéralement vers les données sensibles, souvent sans qu'un humain n'intervienne à aucune étape. IBM X-Force a documenté des cas de logiciels malveillants capables de découvrir et d'exploiter des failles dans des bibliothèques comme OpenSSL grâce à des outils d'IA générative, ce qui réduit considérablement le temps de réaction des équipes de défense.
L'ampleur du phénomène se lit dans les chiffres. Une analyse reprise par l'ECCU indique que 87 % des organisations classent déjà les risques liés à l'IA parmi les menaces qui progressent le plus rapidement. Le rapport Cybersecurity Forecast 2026 de Google Cloud parle ouvertement d'une course aux armements : les attaquants utilisent l'IA pour accélérer la vitesse, la portée et l'efficacité de leurs opérations, tandis que les équipes de sécurité s'appuient sur des agents IA défensifs pour tenir le rythme. Cette parité technologique change la nature du combat : on ne défend plus un système contre un humain isolé, mais contre un processus automatisé capable de tester des milliers de combinaisons par minute.
À retenir
Un attaquant qui automatise sa reconnaissance ne fait plus de différence entre une multinationale et une boutique en ligne tenue par une seule personne : le coût de l'attaque, lui, a quasiment disparu.
Pour une petite structure, cela veut dire que l'absence de moyens dédiés à la cybersécurité pèse plus lourd qu'avant. D'où l'intérêt de miser sur des outils de détection eux-mêmes pilotés par l'IA, déjà intégrés dans de nombreuses solutions grand public et professionnelles, plutôt que de compter uniquement sur la vigilance humaine pour repérer une anomalie.
Menace n°02
Les deepfakes et la fraude au président nouvelle génération
Cible
Services financiers, dirigeants
Vecteur
Clonage vocal et vidéo
Tendance
+495 % projeté
Niveau
Élevé
Cloner une voix ne demande plus que quelques secondes d'enregistrement audio, souvent disponibles publiquement sur un réseau social ou l'enregistrement d'une conférence. Fabriquer une vidéo crédible d'un dirigeant en visioconférence prend une après-midi à un escroc correctement équipé. La Banque de France a elle-même dû alerter, en avril 2026, sur des deepfakes vidéo imitant son gouverneur, et la DGSI a recensé, dans son flash ingérence de janvier 2026, que le volume de deepfakes en circulation a été multiplié par plus de dix entre 2023 et 2025.
Le cas le plus cité reste celui du cabinet d'ingénierie Arup, à Hong Kong : un employé du service financier a participé à une visioconférence où plusieurs interlocuteurs, dont le directeur financier, étaient en réalité des deepfakes. Quinze virements plus tard, l'entreprise avait perdu 25,6 millions de dollars. Ce n'est pas un incident isolé : près d'une entreprise mondiale sur deux déclare avoir déjà été visée par une tentative de fraude par deepfake audio ou vidéo, et le cabinet Shufti prévoit une hausse de 495 % de la fraude identitaire par deepfake en 2026 par rapport à 2025.
Pour les services comptables et les indépendants qui facturent des clients à distance, le risque se loge dans la routine : une demande de virement urgent, un changement de coordonnées bancaires « de dernière minute », un appel qui semble venir d'un fournisseur habituel. La seule défense qui fonctionne vraiment reste la vérification par un second canal, totalement indépendant du premier. Si un appel vidéo demande un virement, on rappelle sur le numéro habituel du fournisseur, jamais sur celui laissé en fin d'appel.
Menace n°03
Le ransomware et la double extorsion de données
Cible
PME, collectivités, santé
Vecteur
Phishing puis chiffrement
Tendance
Exfiltration +51 %
Niveau
Critique
Le ransomware reste la menace numéro un en France depuis 2020, mais sa logique a changé. Chiffrer les fichiers d'une victime et exiger une rançon pour les déchiffrer devient moins rentable : de plus en plus d'organisations refusent de payer. Selon le Verizon Data Breach Investigations Report 2025, 64 % des victimes françaises de ransomware refusent désormais de régler la rançon, contre 50 % deux ans plus tôt. Les groupes criminels ont donc ajusté leur modèle : ils volent les données avant de les chiffrer, ou se contentent de les voler, puis menacent de les publier.
Le Panorama de la cybermenace 2025 publié par l'ANSSI le confirme : les incidents liés à l'exfiltration de données ont augmenté de 51 % en un an, avec 196 cas recensés contre 130 l'année précédente. L'agence a traité 1 366 incidents confirmés en 2025, un volume quasiment stable par rapport à 2024. Les PME, TPE et ETI concentrent 48 % des victimes de rançongiciels identifiées par l'ANSSI, et 74 % des PME françaises restent en dessous du socle de sécurité minimal recommandé par l'agence.
À retenir
Une attaque par ransomware coûte en moyenne entre 130 000 et 250 000 euros à une PME française, interruption d'activité comprise. Le cas de Manutan, paralysé dix jours en 2021, a atteint 20 millions d'euros, soit 2,5 % du chiffre d'affaires annuel de l'entreprise.
La meilleure assurance reste une sauvegarde testée régulièrement, stockée hors ligne ou sur un support déconnecté du réseau principal. Coveware estime par ailleurs qu'entre 20 et 30 % des organisations qui paient la rançon ne récupèrent malgré tout pas l'intégralité de leurs fichiers : payer n'est jamais une garantie.
Menace n°04
Les attaques de la chaîne d'approvisionnement
Cible
Entreprises connectées à des SaaS
Vecteur
Prestataires, API, jetons
Tendance
×4 en 5 ans
Niveau
Élevé
Une entreprise peut très bien sécuriser parfaitement son propre système et se faire compromettre quand même, simplement parce qu'un de ses prestataires a une faille. IBM X-Force a observé que les violations majeures liées à des tiers ou à la chaîne d'approvisionnement ont quadruplé en cinq ans. L'incident impliquant les plateformes Salesloft et Drift en est un bon exemple : des attaquants ont utilisé des jetons OAuth compromis pour accéder à des environnements Salesforce de multiples clients, sans jamais attaquer directement ces clients.
Ce type d'attaque profite d'une réalité simple : la plupart des PME et des indépendants utilisent une dizaine d'outils SaaS interconnectés (comptabilité, facturation, CRM, emailing) sans aucune visibilité sur leur niveau de sécurité réel. IBM signale aussi une hausse de 44 % en un an de l'exploitation de failles dans des applications exposées publiquement, un chiffre qui inclut une bonne partie des outils web utilisés au quotidien par les petites structures.
Le chercheur Bruce Schneier résume bien le problème en évoquant un monde de systèmes désormais non fiables par défaut : on ne peut plus vérifier soi-même la sécurité de chaque brique logicielle qu'on utilise. Concrètement, cela pousse à limiter le nombre d'outils connectés entre eux, à révoquer régulièrement les accès et jetons d'API inutilisés, et à vérifier, avant de signer avec un nouveau prestataire, qu'il dispose au minimum d'une politique de sécurité documentée.
Menace n°05
L'explosion non maîtrisée des objets connectés
Cible
Bureaux, industrie, domicile
Vecteur
Identifiants par défaut
Tendance
+45 % à +387 %
Niveau
Modéré à élevé
Caméras de surveillance, imprimantes réseau, thermostats, badges d'accès, capteurs industriels : le nombre d'objets connectés dans le monde devrait atteindre environ 18,8 milliards en 2026. Beaucoup de ces appareils partagent les mêmes faiblesses : mot de passe par défaut jamais changé, firmware rarement mis à jour, protocoles de communication non chiffrés. Une fois compromis, un simple capteur peut servir de porte d'entrée vers l'ensemble du système d'information d'une entreprise.
Les chiffres confirment l'accélération. Le rapport Zscaler ThreatLabz, couvrant la période de juin 2024 à mai 2025, recense une hausse de 387 % des attaques visant l'IoT et les systèmes industriels dans le seul secteur de l'énergie, et plus de 40 % des incidents IoT touchent désormais l'industrie et les transports. En France, les attaques contre les terminaux IoT ont progressé de 77 % sur la même période. Une étude distincte évalue à 28 % la part des incidents de cybersécurité impliquant un objet connecté en 2026, contre 15 % deux ans plus tôt.
Pour une petite entreprise ou un indépendant qui travaille depuis un bureau équipé d'une caméra IP, d'une imprimante en réseau ou d'un système de badge, la règle la plus simple reste de séparer ces appareils du réseau qui héberge les données sensibles, par exemple via un réseau Wi-Fi dédié, et de changer systématiquement les identifiants par défaut dès l'installation.
Menace n°06
La menace quantique sur le chiffrement
Cible
Données à conservation longue
Vecteur
Interception différée
Tendance
Horizon 2030-2035
Niveau
Stratégique
C'est la menace la plus étrange de cette liste, parce qu'elle n'a pas encore d'auteur identifié et qu'elle ne frappera peut-être que dans dix ans. Un ordinateur quantique suffisamment puissant pourrait, en théorie, casser les algorithmes de chiffrement RSA et à courbes elliptiques qui protègent aujourd'hui la quasi-totalité des échanges numériques, des emails aux transactions bancaires. Ce n'est pas de la science-fiction : le consensus des experts situe ce risque entre 2030 et 2035.
Le vrai danger, c'est qu'il n'est pas nécessaire d'attendre cet ordinateur pour en subir les premiers effets. La stratégie dite « Harvest Now, Decrypt Later » consiste, pour un attaquant patient, à intercepter et stocker dès aujourd'hui des données chiffrées, en attendant simplement d'avoir un jour la puissance de calcul nécessaire pour les déchiffrer. L'ANSSI a publié en janvier 2026 un guide de référence sur ce risque, et la France a engagé une transition concrète : 150 millions d'euros alloués via le plan France 2030 à la cryptographie post-quantique, et une annonce de l'agence selon laquelle elle cessera, à partir de 2027, de certifier les produits de sécurité dépourvus de mécanismes résistants au quantique.
Pour la plupart des indépendants et des PME, cette menace reste lointaine en pratique, mais elle compte déjà pour certains types de données : un contrat signé aujourd'hui avec une clause de confidentialité de vingt ans, par exemple, devra rester protégé bien après l'apparition d'un ordinateur quantique capable de le déchiffrer. La bonne nouvelle, c'est que le NIST a déjà finalisé en 2024 les premiers standards de cryptographie post-quantique, et que la migration se fait progressivement, sans urgence pour qui n'a pas de données ultra-sensibles à protéger sur le très long terme.
Menace n°07
L'épuisement du MFA et les attaques basées sur l'identité
Cible
Comptes pro et personnels
Vecteur
MFA fatigue, vol de jetons
Tendance
Contournement en hausse
Niveau
Élevé
L'authentification multifacteur (MFA) a longtemps été présentée comme la solution miracle contre le vol de mots de passe. En 2026, les attaquants ont appris à la contourner. Le rapport Cybersecurity Forecast 2026 de Google Cloud identifie justement le contournement du MFA comme l'un des principaux moyens utilisés par les groupes de ransomware et d'extorsion pour s'introduire dans les systèmes, via des techniques comme le « MFA fatigue » : on bombarde la victime de notifications de connexion jusqu'à ce qu'elle en valide une par lassitude.
Cette évolution explique la montée en puissance du modèle Zero Trust, qui part du principe qu'aucun utilisateur ni aucun appareil ne doit être considéré comme fiable par défaut, même à l'intérieur du réseau de l'entreprise. Gartner prévoit que 50 % des organisations auront adopté une approche Zero Trust pour la gouvernance de leurs données d'ici 2028, en grande partie pour faire face à la croissance des données générées par l'IA, difficiles à vérifier d'un simple coup d'œil.
En France, la directive NIS2, entrée en application en 2026, pousse dans la même direction : elle élargit les obligations de cybersécurité à dix-huit secteurs d'activité contre sept auparavant, et impose notamment l'authentification multifacteur et le chiffrement des données aux entreprises de plus de cinquante salariés ou réalisant plus de dix millions d'euros de chiffre d'affaires. Pour qui n'est pas soumis à cette obligation légale, le principe reste valable à titre individuel : privilégier une authentification par application plutôt que par SMS, et surtout, ne jamais valider une notification de connexion qu'on n'a pas soi-même initiée.
Tableau de synthèse des 7 menaces
Difficile de hiérarchiser sept menaces aussi différentes par nature. Le tableau ci-dessous résume l'essentiel : qui chacune vise en priorité, par quel chemin elle s'introduit, et quelle action de défense apporte le meilleur rapport effort/protection.
| Menace | Cible principale | Niveau 2026 | Défense prioritaire |
|---|---|---|---|
| IA agentique offensive | Systèmes exposés en ligne | Élevé | Détection pilotée par l'IA |
| Deepfakes / fraude au président | Services financiers, dirigeants | Élevé | Vérification par second canal |
| Ransomware et exfiltration | PME, collectivités, santé | Critique | Sauvegardes 3-2-1 testées |
| Chaîne d'approvisionnement | Entreprises sous SaaS | Élevé | Audit des prestataires et API |
| Objets connectés (IoT) | Bureaux, usines, domicile | Modéré | Segmentation réseau |
| Menace quantique | Données à durée de vie longue | Stratégique | Inventaire cryptographique |
| Contournement du MFA | Comptes pro et personnels | Élevé | MFA par application, Zero Trust |
Comment se protéger concrètement en 2026
Sept menaces, cela peut donner l'impression qu'il faut sept stratégies différentes. En réalité, un socle de mesures assez simples neutralise la majorité des scénarios d'attaque les plus courants, y compris ceux pilotés par l'IA. Voici les priorités à traiter en premier, classées par impact plutôt que par ordre alphabétique.
- 01
Authentification multifacteur partout où c'est possible, en privilégiant une application dédiée plutôt qu'un SMS, plus facilement intercepté.
- 02
Vérification systématique par un second canal pour toute demande de virement ou de changement de coordonnées bancaires, même si elle semble venir d'un dirigeant ou d'un client connu.
- 03
Sauvegardes selon la règle 3-2-1 (trois copies, deux supports différents, une copie hors ligne), testées au moins une fois par trimestre.
- 04
Mises à jour automatiques activées sur tous les appareils, y compris les objets connectés trop souvent oubliés.
- 05
Gestionnaire de mots de passe pour éviter la réutilisation d'un même mot de passe sur plusieurs services.
- 06
Séparation réseau entre les objets connectés (caméras, imprimantes, badges) et les postes qui traitent des données sensibles.
- 07
Audit minimal des prestataires et outils SaaS connectés à vos données : qui a accès à quoi, et depuis quand.
- 08
Veille régulière sur les nouvelles techniques de fraude (deepfake, phishing), pour soi-même ou pour son équipe.
- 09
Signalement de tout incident suspect via le 17Cyber ou cybermalveillance.gouv.fr, même en l'absence de perte financière confirmée.
- 10
Réflexion sur une cyberassurance adaptée à la taille de la structure, pour limiter l'impact financier d'un incident malgré tout.
Questions fréquentes
Qu'est-ce qui change vraiment en 2026 par rapport aux années précédentes ?
La nouveauté n'est pas tant l'apparition de nouvelles techniques que leur automatisation à grande échelle. L'intelligence artificielle générative rend accessibles, à coût quasi nul, des attaques qui demandaient auparavant des compétences techniques rares : voix clonées, vidéos truquées, phishing ultra-personnalisé. C'est ce changement d'échelle qui distingue 2026.
Un deepfake peut-il vraiment tromper quelqu'un en visioconférence ?
Oui, et le cas du cabinet Arup à Hong Kong, où un employé a transféré 25,6 millions de dollars après une visioconférence entièrement composée de deepfakes, le démontre. Les modèles actuels maintiennent une cohérence visuelle suffisante pour tromper des professionnels expérimentés, surtout lors d'un appel impromptu et sous pression de temps.
Faut-il payer la rançon en cas d'attaque par ransomware ?
L'ANSSI et Cybermalveillance.gouv.fr recommandent de ne jamais payer. Le paiement ne garantit pas la récupération des données, finance les groupes criminels et signale l'entreprise comme bon payeur auprès d'autres attaquants. Coveware estime qu'entre 20 et 30 % des organisations qui paient ne récupèrent malgré tout pas l'intégralité de leurs fichiers.
La menace quantique concerne-t-elle déjà les petites entreprises ?
Pas dans l'urgence. Le risque réel se situe à l'horizon 2030-2035, et concerne surtout les données qui doivent rester confidentielles très longtemps, comme certains contrats ou dossiers médicaux. Pour la majorité des indépendants et PME, suivre les standards de sécurité actuels reste largement suffisant pour le moment.
Quelles obligations légales s'appliquent désormais en France avec NIS2 ?
La directive NIS2, applicable depuis 2026, étend les obligations de cybersécurité à dix-huit secteurs d'activité et concerne les entreprises de plus de cinquante salariés ou réalisant plus de dix millions d'euros de chiffre d'affaires. Elle impose notamment la déclaration des incidents sous 24 heures, le chiffrement des données et l'authentification multifacteur.
En résumé
Ces sept menaces n'ont, en apparence, rien en commun : l'une fait appel à des algorithmes sophistiqués, l'autre profite simplement d'un mot de passe jamais changé sur une caméra de surveillance. Mais elles partagent toutes la même logique de fond. L'automatisation a rendu l'attaque moins chère et plus rapide à mener, alors que la défense, elle, demande toujours du temps humain pour être mise en place correctement. C'est cet écart qui va se creuser en 2026.
La bonne nouvelle, c'est que la plupart des mesures de protection efficaces ne sont pas nouvelles. La vérification par un second canal, la sauvegarde régulière, l'authentification multifacteur et la mise à jour des appareils existent depuis des années. Ce qui change, c'est l'urgence de les appliquer réellement, et pas seulement d'en avoir entendu parler un jour. Près d'une PME française sur deux concentre encore l'essentiel des incidents de rançongiciel recensés par l'ANSSI, et près des trois quarts restent sous le socle de sécurité minimal recommandé. L'écart entre la menace et la préparation se mesure, donc il peut aussi se combler, une mesure à la fois.
Pour qui gère une activité, des clients ou simplement ses finances personnelles depuis un ordinateur connecté à Internet, 2026 n'exige pas de devenir expert en cybersécurité. Elle exige de traiter ces sept menaces comme un risque de gestion ordinaire, au même titre qu'une assurance ou qu'une trésorerie de précaution, et d'agir avant plutôt qu'après.
