Lundi de la Cybersécurité d’octobre : Le coût des cyberattaques

Aucune organisation n’est à l’abri d’une cyberattaque. Le cas NotPetya, qui a causé près de 10 milliards de dollars de pertes en 2017, l’a démontré : les impacts dépassent largement les frontières et touchent durablement l’économie mondiale. Aujourd’hui, la vraie question n’est plus si une attaque surviendra, mais quand et surtout, combien elle coûtera. Pertes financières, atteinte à la réputation, désorganisation interne : les conséquences sont multiples et parfois dévastatrices.

C’est précisément cette question centrale qui sera abordée lors du prochain Lundi de la Cybersécurité du 20 octobre, consacré au coût des cyberattaques.

Nos « Lundi de la cybersécurité » sont gratuits et veulent vous offrir une fête technologique. Demandez votre inscription, par courriel, nous vous enverrons, un peu avant le jour de l’événement, un hyperlien pour entrer dans la visioconférence Zoom.

Les demandes d’inscriptions sont à adresser à Béatrice Laurent co-organisatrice de nos évènements :

[email protected]

Les prénoms, noms et adresses mails des inscrits seront connus des organisateurs et communiqués aux intervenants. Si vous voulez être ajoutés à ma liste de distribution des lettres des « Lundi de la cybersécurité » mensuels, demandez-le-moi par mail ([email protected]).

Si vous vous inscrivez pour assister à notre évènement, soyez connectés le lundi 20 octobre, dès 18 h 00 ou mieux, un peu avant. La salle d’attente Zoom sera ouverte aux alentours de 17 h 00 pour des conversations informelles entre intervenants et participants. C’est toujours d’agréables échanges qui se font avant 18 h 00.

Le coût des cyberattaques ne se limite pas aux pertes financières directes. Derrière chaque incident se cachent des impacts multiples — financiers, organisationnels, business et réputationnels — qui peuvent profondément affecter la trajectoire d’une entreprise.

Lors de ce Lundi de la Cybersécurité, je vous proposerai une immersion dans la démarche de quantification du risque cyber, qui permet de traduire les menaces cyber en scénarios économiques concrets. Cette approche repose sur des calculs probabilistes et une analyse rigoureuse de la menace : fréquence des attaques, vulnérabilités spécifiques, modes opératoires d’attaque observés. Elle permet de modéliser des risques réalistes et chiffrés, utiles pour la prise de décision.

Nous explorerons ensemble les différents types d’impacts sur la base de cas concrets liés à des attaques récentes :
• Financiers : interruption d’activité, coûts de remédiation, frais juridiques, pénalités réglementaires.
• Organisationnels : désorganisation des équipes, surcharge opérationnelle, perte de confiance interne.
• Business : ralentissement des ventes, rupture de partenariats, perte de compétitivité.
• Réputationnels : crise de communication, défiance des clients et investisseurs, atteinte à l’image de marque.

Enfin, nous évoquerons les différents cas d’usage que la quantification du risque cyber permet de couvrir :

• Justifier les budgets cybersécurité auprès du COMEX avec des données chiffrées plutôt que des scénarios hypothétiques,
• Prioriser les investissements en fonction de leur impact réel sur la réduction du risque financier,
• Calculer le ROI des mesures de sécurité, en comparant leur coût à la réduction de risque qu’elles apportent,
• Communiquer des rapports adaptés au langage du comex, facilitant les arbitrages budgétaires et les décisions stratégiques.
En somme, vous découvrirez que quantifier le risque cyber, c’est passer d’une posture défensive à une stratégie proactive, fondée sur des données, des scénarios concrets et des décisions éclairées.

Je reprends la plume

Vous trouverez, sur le web de l’ARCSI tous les détails, slides, parfois aussi les enregistrements et des comptes rendus écrits par Clarisse Véron, qui a terminé le master2 « Cybersécurité et e-Santé » de l’Université Paris Cité.

Allons-nous obtenir une « hallucination » ou une réponse qui décrit une situation bien réelle ?

Prompt posé à Gemini (l’IA Générative de Google) :

Le coût d’une cyberattaque varie considérablement, mais il est souvent très élevé et peut même entraîner la faillite d’une entreprise. Pour les organisations en France, le coût total des cyberattaques réussies a été estimé à 2 milliards d’euros en 2022. Les coûts ne se limitent pas seulement à la rançon, ils incluent aussi de nombreux frais directs et indirects.

Le coût moyen selon la taille de l’entreprise
Le coût d’une cyberattaque dépend grandement de la taille de l’entreprise ciblée. Plus l’entreprise est grande, plus l’impact financier est important.
• PME/TPE : Selon une étude de l’ANSSI, le coût moyen d’une cyberattaque pour une TPE ou PME peut atteindre 466 000 euros.
• Grandes entreprises : Pour les grandes entreprises, ce coût peut s’élever à 135 millions d’euros, d’après la même étude.
Ces chiffres mettent en lumière la vulnérabilité des PME, souvent moins préparées et moins solides financièrement pour se relever d’un tel incident. On estime que près de 60% des entreprises victimes d’une cyberattaque font faillite dans les 18 mois.

Les différents types de coûts

Le coût d’une cyberattaque est complexe et se compose de plusieurs éléments, visibles et cachés.

Coûts directs
• Rançon : La rançon demandée par les cybercriminels, notamment dans les attaques par rançongiciel (ransomware), qui peut se chiffrer en milliers, voire en millions d’euros. Le montant moyen d’une rançon est estimé à 25 700€ par cyberattaque réussie.
• Remédiation IT : Les frais de restauration des systèmes informatiques, de renforcement de la sécurité, et de mise à jour des logiciels.
• Frais d’experts : Le coût des prestataires externes, comme les experts en cybersécurité, les avocats et les agences de communication de crise.
• Sanctions et amendes : Les amendes réglementaires, en particulier en cas de violation du RGPD (Règlement général sur la protection des données), peuvent être très lourdes.
• Frais juridiques : Les frais liés aux éventuelles poursuites judiciaires intentées par des clients ou des partenaires.

Coûts indirects
• Augmentation des primes d’assurance :
Après une attaque, les primes des assurances cyber augmentent considérablement.
• Pertes d’exploitation :
L’interruption de l’activité, qui peut durer plusieurs jours ou semaines, et qui génère une perte de chiffre d’affaires. C’est souvent le poste de coût le plus important.
• Perte de données :
Le coût de la récupération ou de la reconstitution des informations perdues, qu’il s’agisse de données clients, de propriété intellectuelle ou de documents internes.
• Atteinte à la réputation : La dégradation de l’image de l’entreprise et la perte de confiance des clients, des fournisseurs et des investisseurs, qui peut entraîner une érosion du chiffre d’affaires sur le long terme.

Nous écouterons Julien CHAMONAL nous dire ce qu’il en pense. Je trouve que les dates de cette réponse de Gemini remontent à plusieurs années. Aujourd’hui, les chiffres sont en hausse. Pour 2024, j’ai le chiffre de 129 milliards de dollars.

Inscrivez-vous (mail à [email protected])

Gérard Péliks

Copyright © 2025 Les « Lundi de la cybersécurité », All rights reserved.