Tout le monde est vulnérable. La vraie différence, c'est la résilience

2025 : L’année où tout le monde s’est fait taper (et où il a fallu arrêter de faire semblant)

Chaque fin d’année apporte son lot de bilans.

En cybersécurité, le rituel est bien connu :

la liste des victimes, les classements, les graphiques, les posts LinkedIn alarmistes — parfois sincères, souvent opportunistes.

2025 n’a pas fait exception.

Des industriels à l’arrêt.

Des hôpitaux revenus au papier.

Des opérateurs de services exposant des millions de données personnelles.

Des collectivités coupées de leurs systèmes pendant des semaines.

Et pourtant, si cette chronique devait commencer par un message simple, ce serait celui-ci :

Il est temps d’arrêter de faire semblant de découvrir que tout le monde est vulnérable.

1. « Cette entreprise s’est fait hacker » n’est plus une information

En 2025, des entreprises internationales, des opérateurs critiques, des services publics, des ETI, des PME…

Tout le monde y est passé.

Industrie, santé, transport, télécoms, retail, médias, finance.

IT. OT. Cloud. Supply chain. Prestataires.

Ce constat n’est ni choquant, ni nouveau, ni même particulièrement intéressant.

La vraie information n’est pas qu’une organisation a été compromise.

La vraie question est : qu’a-t-elle été capable de faire ensuite ?

Car face à des attaquants déterminés, financés, organisés, patients, aucune organisation ne peut garantir une protection absolue.

Pas avec un SOC.

Pas avec un EDR.

Pas avec un firewall de plus.

Pas même avec un budget confortable.

2. Interruption ou vol : deux impacts, une même réalité

L’inventaire 2025 montre clairement deux grandes catégories d’impacts :

🔴 L’interruption de production

C’est le monde des ransomwares modernes :

• chiffrement des hyperviseurs,

• paralysie des chaînes logistiques,

• arrêt d’usines, de ports, de services hospitaliers,

• pertes financières immédiates.

Ici, le cyber devient un problème métier, visible, brutal, mesurable.

🔵 Le vol de données

Moins spectaculaire à court terme, mais souvent plus durable :

• données clients,

• données de santé,

• données d’identification,

• données bancaires,

• propriété intellectuelle.

Les impacts sont juridiques, réputationnels, réglementaires…

et surtout différés, donc sous-estimés.

Dans les deux cas, la cause racine est rarement « un manque d’outils ».

Elle est presque toujours structurelle.

3. L’iceberg que personne ne veut regarder

Les incidents listés publiquement ne sont que la partie émergée.

Pour chaque organisation citée :

• 10 à 15 PME ou ETI subissent la même chose,

• en silence,

• sans communication,

• parfois sans plainte,

• parfois avec paiement discret.

Malgré le RGPD.

Malgré NIS2.

Malgré les obligations de notification.

Ce n’est pas (seulement) de la mauvaise volonté.

C’est aussi le signe que beaucoup d’organisations n’ont pas les moyens opérationnels de gérer correctement un incident, encore moins d’en parler.

4. Le vrai sujet n’est plus la défense. C’est la capacité à se relever.

C’est probablement le point le plus inconfortable à entendre :

Les moyens des défenseurs sont structurellement inférieurs à ceux des attaquants.

Les attaquants :

• prennent le temps,

• mutualisent les outils,

• industrialisent les attaques,

• choisissent le moment,

• frappent là où ça fait mal.

Les défenseurs :

• manquent de ressources,

• manquent de visibilité,

• manquent de temps,

• manquent parfois de soutien interne.

Dans ce contexte, penser que l’on va “empêcher” toute attaque est une illusion dangereuse.

La priorité doit être ailleurs :

Être capable de reconstruire vite, proprement, et sous contrôle.

5. Les basiques qui changent tout (même pour une TPE / PME)

Bonne nouvelle : la résilience n’est pas réservée aux grands groupes.

Certaines mesures, souvent jugées « trop simples », font pourtant une différence majeure :

✔️ Cartographier ses actifs

Savoir :

• ce que l’on a,

• où c’est,

• à quoi ça sert,

• ce qui est critique.

Sans cela, impossible de prioriser, impossible de restaurer efficacement.

✔️ Classifier ses actifs

Tout n’a pas la même valeur.

Tout ne mérite pas le même niveau de protection.

Tout ne doit pas être restauré en premier.

✔️ Gérer les droits et les accès

• moindre privilège,

• revues régulières,

• suppression des comptes orphelins.

C’est peu visible.

C’est peu « vendeur ».

C’est pourtant fondamental.

✔️ Sauvegarder… et restaurer

Une sauvegarde non testée n’est pas une sauvegarde.

La restauration est le vrai test de maturité.

6. ISO 27001 ne vous protège pas. Elle vous cadre.

Il faut aussi tordre le cou à une idée dangereuse :

Une certification ISO 27001 ne protège de rien, par elle-même.

Elle apporte :

• une démarche,

• une méthodologie,

• un cadre de gouvernance.

Mais sans mesures techniques et organisationnelles réelles, elle devient :

• un exercice documentaire,

• un faux sentiment de sécurité,

• parfois même un alibi.

La sécurité (et la résilience) ne se certifie pas.

Elle se construit, progressivement, avec des moyens adaptés à la taille et au contexte de l’organisation.

7. Arrêtons le fatalisme. Arrêtons le buzz.

Non, « tout est foutu » n’est pas une conclusion acceptable.

Non, pointer du doigt chaque victime n’améliore rien.

Non, l’indignation permanente ne rend personne plus résilient.

La résilience est :

• un chemin long,

• parfois ingrat,

• rarement spectaculaire,

• mais profondément structurant.

Elle demande moins de buzz…

et beaucoup plus de lucidité, de méthode et de constance.

2026 ne sera pas plus calme.

Mais elle peut être mieux préparée.

C’est tout l’enjeu de Plan R.

Bibliographie

Global Cybersecurity Outlook 2025 — World Economic Forum

Résumé : Rapport prospectif sur les tendances cyberglobales, analysant les principaux vecteurs de menace (ransomware, supply chain, etc.) et fournissant un contexte stratégique pour comprendre pourquoi 2025 a vu une intensification des attaques et inclut des recommandations de haut niveau pour renforcer la résilience organisationnelle.

📌 Source : Global Cybersecurity Outlook 2025 — World Economic Forum (WEF)

📍 Publication officielle, janvier 2025 — PDF disponible en ligne.

ANSSI — Cyber Threat Overview 2024/2025

Résumé : Panorama consolidé des cybermenaces observées par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), couvrant les incidents, méthodes d’attaque et vulnérabilités exploitées. Très utile pour situer les événements français dans un contexte plus large et comprendre la nature évolutive des attaques.

📌 Source : Cyber Threat Overview 2024 — ANSSI / CERT-FR

📍 Document officiel d’analyse de menace publié fin 2024-début 2025.

Deloitte — Cyber Threat Trends Report 2025

Résumé : Rapport analysant les grandes tendances cyber, y compris l’évolution du ransomware, l’exploitation des vulnérabilités, et l’essor des attaques sophistiquées faisant levier sur l’ingénierie sociale et l’IA. Pertinent pour comprendre comment les attaques avancées rendent la défense traditionnelle insuffisante et pourquoi la résilience devient centrale.

📌 Source : Deloitte Cyber Threat Trends Report 2025 — Deloitte

📍 Article de synthèse disponible sur le site Deloitte.

CrowdStrike 2025 Global Threat Report

Résumé : Rapport du leader en threat intelligence mettant en lumière les principales techniques des attaquants, la rapidité de propagation des menaces et l’évolution des campagnes (e.g., attaques sans malware, cloud). Excellent pour documenter les tendances quantitatives et qualitatives des attaques de 2025.

📌 Source : CrowdStrike 2025 Global Threat Report — CrowdStrike

📍 Rapport téléchargeable, basé sur des données de threat hunting globales.

Allianz Risk Barometer 2025 — Cyber incidents

Résumé : Baromètre des risques mondiaux d’Allianz plaçant les incidents cyber en tête pour 2025, avec une augmentation de la perception du risque et des impacts potentiels sur business, réputation et continuité. Utile pour appuyer la narration selon laquelle le cyber risque n’est plus un périmètre technique mais un risque stratégique de rupture.

📌 Source : Allianz Risk Barometer 2025 — Allianz

📍 Article de synthèse sur le principal risque mondial.