Intrusion, perte, remédiation : le vrai prix d'une défaillance cyber

La cybersécurité est passée d'une préoccupation informatique périphérique à un déterminant central de la viabilité des entreprises. À mesure qu'elles dématérialisent leurs opérations, leurs chaînes d'approvisionnement et leurs relations clients, la surface d'attaque s'étend d'autant, et l'enjeu financier d'une défense défaillante s'est fortement accru. La cybercriminalité devrait coûter 10 500 milliards de dollars à l'économie mondiale en 2025, contre 6 000 milliards en 2021 et 3 000 milliards en 2015 (Cybersecurity Ventures, 2025) : une trajectoire qui, mesurée comme un pays, la placerait parmi les plus grandes économies du monde. Dans ce contexte, de grandes institutions — IBM, Verizon, le Forum économique mondial, Gartner — traitent désormais la cybersécurité non comme une dépense facultative, mais comme un moteur mesurable de résilience, de compétitivité et de valeur pour l'actionnaire. Ce basculement traduit une évolution plus large de la pensée managériale : jugée autrefois à l'aune de listes de conformité, la sécurité l'est aujourd'hui à la capacité démontrée d'une organisation à anticiper une attaque, à y résister et à s'en relever.

La meilleure façon de procéder est d'examiner les implications économiques et stratégiques de la cybersécurité à travers une série de cas réels et d'expériences d'entreprises, et notamment la façon dont de grands groupes comme IBM, Cisco, Verizon et d'autres ont affronté des attaques, ainsi que des incidents largement commentés tels MGM Resorts, Change Healthcare, Colonial Pipeline, Equifax et Maersk. Ces exemples montrent comment une vulnérabilité technique isolée peut dégénérer en désorganisation de toute l'entreprise, en atteinte à la réputation et en pertes financières importantes. L'analyse de ces événements vise à démontrer que le risque cyber est devenu un risque d'entreprise central, qui exige l'attention du conseil, un investissement stratégique et une gouvernance intégrée.

Le poids financier croissant des cyberattaques

Le coût direct d'une défaillance de sécurité est devenu considérable et mesurable. Selon le rapport Cost of a Data Breach 2025 d'IBM, le coût moyen mondial d'une violation de données a reculé de 9 %, à 4,44 millions de dollars, première baisse en cinq ans, portée surtout par une détection et un confinement plus rapides grâce à l'IA et à l'automatisation (IBM, 2025). La moyenne américaine a pourtant atteint un record de 10,22 millions de dollars, et les organisations ont mis en moyenne 241 jours à identifier et à contenir un incident, période durant laquelle l'exposition persiste (IBM, 2025). Dans ce total, la décomposition des coûts établie par IBM est instructive : détection et escalade, notification des clients et remédiation après incident y contribuent chacune sensiblement, mais la composante la plus lourde est invariablement l'activité perdue, qui englobe l'attrition de clientèle, l'atteinte à la réputation et le chiffre d'affaires non réalisé pendant l'arrêt. Cela suggère que le plus coûteux d'une violation n'est que rarement l'intrusion elle-même, mais l'érosion de la confiance des parties prenantes qui s'ensuit. À l'échelle macroéconomique, le tableau est plus sombre encore. Cybersecurity Ventures (2025) prévoit que les pertes mondiales liées à la cybercriminalité — fonds volés, vol de propriété intellectuelle, désorganisation des opérations et coûts de rétablissement — atteindront 12 200 milliards de dollars par an d'ici 2031. Le Forum économique mondial (2025) indique que 72 % des organisations ont constaté une hausse mesurable de leur cyberrisque au cours de l'année écoulée, l'interdépendance des chaînes d'approvisionnement étant citée par 54 % des grandes entreprises comme le principal obstacle à la résilience. Ces chiffres montrent que le cyberrisque est désormais inséparable du risque financier, et que son coût réel se mesure autant en confiance qu'en dollars.

Des menaces qui évoluent : rançongiciels, hameçonnage et attaques assistées par l'IA

Le paysage des cybermenaces continue d'évoluer, alourdissant le coût des compromissions.

• Le Data Breach Investigations Report 2025 de Verizon, fondé sur plus de 22 000 incidents dans 139 pays, relève :
• Un rançongiciel est intervenu dans 44 % des compromissions confirmées, contre 32 % l'année précédente.
• Un rançongiciel était présent dans 88 % des compromissions touchant des PME.
• L'essor du rançongiciel en tant que service (RaaS) explique largement cette progression :
• Les concepteurs de logiciels malveillants louent des outils d'attaque prêts à l'emploi.
• Les affiliés reversent une part du produit de la rançon.
• Ce modèle abaisse nettement le niveau d'expertise technique requis pour lancer une attaque.
• De nombreux groupes de rançongiciels pratiquent désormais la double extorsion :
• Chiffrer les systèmes de la victime.
• Dérober des données sensibles avant le chiffrement.
• Menacer de divulguer publiquement les données dérobées faute de rançon.
• Cette méthode maintient la pression sur la victime même lorsque les sauvegardes permettent de rétablir les systèmes.
• La part des tiers et de la chaîne d'approvisionnement dans les compromissions est passée de 15 % à 30 %, signe du risque né de l'interconnexion des fournisseurs.
• L'hameçonnage reste le premier vecteur d'attaque dans le monde :
• Le Threat Landscape 2025 de l'ENISA attribue 60 % des tentatives d'intrusion dans l'UE à l'hameçonnage.
• Le Digital Defense Report 2025 de Microsoft relève que les contenus d'hameçonnage générés par l'IA obtiennent des taux de clic jusqu'à 4,5 fois supérieurs aux campagnes classiques, passant de 12 % à 54 %.
• Microsoft indique également :
• 97 % des attaques fondées sur l'identité reposent sur des techniques automatisées de devinette de mot de passe.
• L'extorsion et les rançongiciels représentent plus de la moitié des cyberattaques à motivation financière.

Globalement, l'intelligence artificielle abaisse le coût et la complexité des cyberattaques plus vite que beaucoup d'organisations n'améliorent leurs défenses

Petites et moyennes entreprises : un écart de vulnérabilité qui se creuse

Les petites organisations supportent une part disproportionnée de ce risque. Le Cybersecurity Readiness Index 2025 de Cisco, mené auprès de 8 000 dirigeants dans 30 marchés, constate que seules 4 % des organisations dans le monde ont atteint un niveau de préparation « mûr » ; parmi les petites entreprises de 10 à 249 salariés, 2 % seulement y parviennent, tandis que 65 % restent au stade embryonnaire (Cisco, 2025). Cet écart compte, car, comme le relevait l'édition 2024, les petites et moyennes entreprises représentent environ 90 % des entreprises et plus de la moitié de l'emploi dans le monde. Le déficit est rarement affaire de prise de conscience : il est structurel. La plupart des petites structures n'ont pas de fonction sécurité dédiée et s'en remettent à des prestataires gérés ou à des informaticiens généralistes, tandis que des budgets contraints rendent difficile le financement de contrôles de base — authentification multifacteur, détection sur les terminaux — devenus des préalables à une cyberassurance plutôt que des options. Le Forum économique mondial (2025) constate de même que 35 % des petites organisations jugent leur cyberrésilience insuffisante, contre 7 % seulement des grandes entreprises. Verizon (2025) relevant un rançongiciel dans 88 % des compromissions de PME, une forte exposition conjuguée à une faible préparation rend ces entreprises très vulnérables à des perturbations que de plus grands concurrents peuvent absorber.

Les leçons du terrain : cinq compromissions d'entreprises

• MGM Resorts (2023)

• Les assaillants du rançongiciel BlackCat/ALPHV ont obtenu l'accès par ingénierie sociale.
• L'attaque a désorganisé machines à sous, systèmes de clés de chambre et plateformes de réservation dans plus de 30 établissements de Las Vegas.
• MGM a fait état d'environ 100 millions de dollars de pertes de résultat et de coûts de remise en état.
• L'entreprise n'a pas payé la rançon.
• Montre comment la compromission d'un seul centre d'assistance peut désorganiser durablement une grande organisation.

• Change Healthcare (2024)

• Des acteurs du rançongiciel ont compromis Change Healthcare, filiale d'UnitedHealth Group.
• L'entreprise traite une part importante des demandes de remboursement de santé aux États-Unis.
• UnitedHealth a déclaré :
  • Une rançon de 22 millions de dollars.
  • Plus de 1,5 milliard de dollars de coûts liés à la compromission.
• Montre comment la compromission d'une infrastructure numérique critique peut désorganiser tout un secteur.

• Colonial Pipeline (2021)

• Les assaillants sont entrés par un unique compte VPN inactif, dépourvu d'authentification multifacteur (MFA).
• L'incident a contraint à l'arrêt pendant six jours du plus grand oléoduc de la côte est américaine.
• L'entreprise a versé une rançon de 4,4 millions de dollars.
• L'incidence économique d'ensemble, pénuries régionales de carburant comprises, a dépassé le montant de la rançon.
• Montre comment des faiblesses dans les environnements technologiques d'exploitation produisent des conséquences bien réelles, au-delà du numérique.

• Equifax (2017)

• La compromission résultait d'une vulnérabilité applicative non corrigée, restée exposée pendant des mois.
• Les données personnelles d'environ 147 millions de personnes ont été compromises.
• Les règlements avec les autorités ont atteint jusqu'à 700 millions de dollars.
• Montre comment de simples défauts de gestion des correctifs peuvent causer de lourds dégâts financiers et réputationnels.

• Maersk / NotPetya (2017)

• Maersk a été victime indirecte d'un logiciel malveillant introduit par une plateforme comptable tierce.
• L'entreprise a dû reconstruire :
  • Environ 4 000 serveurs.
  • Environ 45 000 ordinateurs.
• Le rétablissement a pris une dizaine de jours.
• Le coût est estimé entre 250 et 300 millions de dollars.
• Met en lumière les risques de contagion propres aux chaînes d'approvisionnement numériques.

• Ce qu'il faut retenir des cinq cas

• La défaillance technique initiale était souvent limitée et précise :
  • Un identifiant compromis.
  • Un serveur non corrigé.
  • Un seul fournisseur vulnérable.
• Les conséquences ont été larges et disproportionnées :
  • Pertes financières importantes.
  • Interruption de l'activité.
  • Sanctions réglementaires.
  • Répercussions sur tout le secteur.
• Ces cas montrent comment des faiblesses de cybersécurité d'apparence mineure peuvent devenir des risques majeurs.

La cybersécurité, un investissement stratégique et non une charge d'exploitation

Ces coûts ont fait des budgets de cybersécurité une allocation de capital ajustée du risque, plutôt qu'une dépense informatique facultative. Gartner (2025) prévoit des dépenses mondiales de sécurité de l'information de 213 milliards de dollars en 2025, puis une hausse de 12,5 % à 240 milliards en 2026, sous l'effet des menaces liées à l'IA et de la pression réglementaire. La réglementation est elle-même devenue un moteur important de ces dépenses : l'obligation, imposée par la Securities and Exchange Commission américaine, de déclarer tout incident de cybersécurité significatif dans les quatre jours ouvrés, ainsi que la directive NIS2 et le règlement sur la résilience opérationnelle numérique de l'Union européenne, ont fait passer le cyberrisque d'une préoccupation opérationnelle interne à une question de publicité et de responsabilité au niveau du conseil. Le rendement de ces dépenses est de plus en plus mesurable : IBM (2025) constate que les organisations recourant largement à l'IA et à l'automatisation de la sécurité ont réduit le coût moyen d'une violation de près de 1,9 million de dollars par rapport à celles qui n'en utilisent pas. L'enquête Global Future of Cyber de Deloitte relève de même que, si 91 % des organisations ont connu au moins un incident cyber l'année précédente, 86 % des décideurs en la matière estimaient que leur investissement de cybersécurité contribuait significativement et positivement à la performance de l'entreprise (Deloitte, 2023). Ce basculement est désormais codifié dans les standards de gouvernance : le Cybersecurity Framework 2.0 du National Institute of Standards and Technology, publié en 2024, a ajouté une fonction « Gouverner » qui fait du cyberrisque une responsabilité de gouvernance au niveau du conseil, et non un sujet purement technique (NIST, 2024). Ensemble, exposition réglementaire, retour sur investissement démontrable et standards formels de gouvernance plaident pour traiter la dépense de cybersécurité comme une couverture contre un risque existentiel, et non seulement opérationnel.

Face à l'impact financier et systémique croissant des incidents cyber, le paysage réglementaire mondial évolue vers une application plus stricte, une transparence accrue et une responsabilité renforcée des entreprises. Les organisations sont désormais soumises à des obligations de déclaration des violations, à des lois de protection des données et à des cadres sectoriels de résilience cyber, ce qui fait passer la cybersécurité d'une attente technique à une obligation juridique.

Du point de vue comptable, les incidents de cybersécurité affectent directement l'information financière sous IFRS. L'entité doit apprécier si une violation déclenche des provisions ou des passifs éventuels au titre d'IAS 37, exige des informations renforcées sur les risques au titre d'IFRS 7, ou impose une présentation transparente des incertitudes significatives au titre d'IAS 1. Dans les cas graves, un incident cyber peut aussi affecter la valeur des actifs au titre d'IAS 36 (Dépréciation d'actifs) ou soulever des questions de continuité d'exploitation.

Du point de vue de l'audit, la cybersécurité est devenue partie intégrante de l'appréciation des risques et de l'exécution des travaux. L'ISA 315 impose à l'auditeur d'identifier et d'apprécier les risques d'anomalies significatives, y compris ceux issus des systèmes informatiques et des vulnérabilités cyber, tandis que l'ISA 330 exige la conception et la mise en œuvre de réponses d'audit appropriées. L'ISA 570 (Continuité d'exploitation) peut en outre être déclenchée lorsqu'un incident cyber menace la continuité des opérations, et l'ISA 250 rappelle la responsabilité de l'auditeur de considérer le non-respect des lois et règlements, y compris en matière de cybersécurité.

Prises ensemble, ces évolutions marquent un changement de fond : la cybersécurité n'est plus cantonnée à l'informatique. C'est une priorité juridique, comptable et d'audit, qui appelle une supervision coordonnée entre gouvernance, gestion des risques et fonctions financières.

Les éléments réunis ici conduisent à une conclusion sans ambiguïté : la cybersécurité est devenue un déterminant de la résilience, de la compétitivité et de la pérennité des entreprises, et non une fonction technique d'arrière-plan. Des coûts de violation chiffrés en millions, des pertes liées à la cybercriminalité chiffrées en milliers de milliards et des cas issus de l'hôtellerie, de la santé, de l'énergie, du renseignement de crédit et de la logistique montrent qu'aucun secteur n'est à l'abri et qu'aucune organisation n'est trop grande ni trop petite pour être touchée. À mesure que le rançongiciel-en-tant-que-service abaisse la barrière à l'attaque et que l'hameçonnage assisté par l'IA continue de devancer les défenses classiques, les organisations les mieux placées seront celles qui traitent la cybersécurité non comme un coût à comprimer, mais comme une infrastructure stratégique, inscrite dans la gouvernance, la planification du capital et la gestion des fournisseurs, qui soutient l'activité, protège la confiance des parties prenantes et assure un avantage durable dans une économie toujours plus numérique.

Cette évolution soulève aussi des questions importantes au regard des référentiels d'information financière, en particulier pour les provisions, les passifs éventuels et l'information sur les risques significatifs. Elle renforce la nécessité d'une intégration plus étroite entre gouvernance de la cybersécurité et information financière.

Références

Cisco. (2024). 2024 Cisco cybersecurity readiness index.

Cisco. (2025). 2025 Cisco cybersecurity readiness index. https://www.cisco.com/c/m/en_us/products/security/cybersecurity-reports/cybersecurity-readiness-index.html

Cybersecurity Ventures. (2025). 2025 official cybercrime report. https://cybersecurityventures.com/official-cybercrime-report-2025/

Deloitte. (6 décembre 2023). Deloitte's 2023 Global Future of Cyber survey [communiqué]. https://www.deloitte.com/ce/en/about/press-room/deloittes-2023-global-future-of-cyber-survey.html

ENISA. (2025). ENISA threat landscape 2025. https://www.enisa.europa.eu/publications/enisa-threat-landscape-2025

Gartner. (29 juillet 2025). Gartner forecasts worldwide end-user spending on information security to total $213 billion in 2025 [communiqué de presse]. https://www.gartner.com/en/newsroom/press-releases/2025-07-29-gartner-forecasts-worldwide-end-user-spending-on-information-security-to-total-213-billion-us-dollars-in-2025

IBM. (2025). Cost of a data breach report 2025. https://www.ibm.com/reports/data-breach

Microsoft. (2025). Microsoft digital defense report 2025. https://www.microsoft.com/en-us/security/security-insider/threat-landscape/microsoft-digital-defense-report-2025

National Institute of Standards and Technology. (2024). The NIST cybersecurity framework (CSF) 2.0 (NIST CSWP 29). U.S. Department of Commerce. https://doi.org/10.6028/NIST.CSWP.29

Verizon. (2025). 2025 data breach investigations report. https://www.verizon.com/business/resources/reports/dbir/

Forum économique mondial. (2025). Global cybersecurity outlook 2025. https://www.weforum.org/publications/global-cybersecurity-outlook-2025/