Comment calculer le coût d’une cyberattaque ?

Le risque cyber reste une préoccupation majeure pour les entreprises européennes. 55 % des organisations craignent avant tout les ransomwares, selon le dernier rapport de l’ENISA, l’Agence de l’Union européenne pour la cybersécurité.

Cette inquiétude, liée à la peur d’être la prochaine victime, ne se traduit toutefois pas toujours par la mise en place de mesures de prévention adaptées. Un décalage qui expose les organisations à des conséquences financières et opérationnelles importantes.

Immatérielle et souvent invisible, une compromission peut entraîner des conséquences telles qu’une extorsion de fonds, une interruption d’activité, une perte de chiffre d’affaires, mais aussi affecter durablement la réputation de l’entreprise.

Dans ce contexte, comment évaluer le coût réel d’un incident cyber ? Quelles conséquences directes et indirectes doivent être prises en compte ?

Pour en savoir plus, nos experts Luc Cottin, Chief Executive Officer (CEO) de Rsecure, et Matthieu Jungers, notre Chief Information Security Officer (CISO), vous apportent des éléments de réponse dans cet article.

Toutes les entreprises peuvent être la cible de cyberattaques

Les statistiques des différents pays européens montrent qu’aucune catégorie d’organisation n’est épargnée. Les petites et moyennes entreprises, les grands groupes et les associations, issus des secteurs privé comme public, peuvent tous être ciblés par des actes de cybermalveillance.

Le niveau d’exposition aux menaces dépend toutefois moins de la taille de l’organisation que de son environnement numérique, des données qu’elle détient et de sa capacité à détecter une intrusion, puis à réagir en cas d’incident.

Les cybercriminels privilégient ainsi les attaques dont le coût de préparation et d’exécution reste inférieur aux gains espérés. Leur choix ne repose pas uniquement sur le profil de l’entreprise, mais aussi sur le niveau de difficulté nécessaire pour accéder à son patrimoine numérique et exploiter ses vulnérabilités.

Plus une entreprise présente un niveau de protection élevé, plus le coût et la complexité de l’attaque augmentent, ce qui peut conduire les cyberattaquants à privilégier une autre cible.

La maturité cyber varie selon la taille et le secteur d’activité

Au Luxembourg, le niveau de préparation face au risque cyber reste très variable. Il dépend des moyens disponibles, mais aussi du secteur d’activité et des obligations auxquelles l’organisation est soumise.

Les professions réglementées, notamment dans le secteur financier, évoluent dans un cadre qui les conduit à structurer davantage leur sécurité informatique. Depuis le 17 janvier 2025, le règlement européen sur la résilience opérationnelle numérique du secteur financier (DORA) renforce par exemple les exigences en matière de gestion des risques numériques, de déclaration des incidents et de contrôle des prestataires technologiques.

Les grands comptes et les entreprises les plus avancées disposent généralement d’une équipe informatique interne et d’un budget consacré à la cybersécurité. Cette organisation leur permet de mieux anticiper les risques et de mettre en place des dispositifs de prévention, de détection et de réponse aux incidents.

La situation est souvent différente dans les structures plus petites. Les dépenses liées à la cybersécurité sont mises en concurrence avec les autres investissements nécessaires à l’activité de l’entreprise. Un budget distinct n’est donc pas toujours prévu.

Pour Matthieu Jungers, cette tendance s’explique : « Les très petites sociétés, qui comptent entre cinq et dix employés, ne considèrent pas encore la cybersécurité comme une priorité. C’est seulement à partir de cent à cent cinquante employés qu’une réflexion plus structurée est généralement engagée. »

Cette différence de maturité est le reflet de la pression réglementaire européenne qui ne cesse de se densifier.

La directive européenne sur la sécurité des réseaux et des systèmes d’information (NIS 2), transposée au Luxembourg en 2026, impose aux organisations concernées de renforcer leur gestion des risques et leurs procédures de notification. Son application varie toutefois selon le secteur, la taille de l’entreprise et la nature de ses activités.

Le règlement général sur la protection des données (RGPD) impose également aux organisations de protéger les données personnelles qu’elles traitent. Le non-respect de ces obligations peut entraîner des sanctions financières, mais la conformité ne se limite pas à cet enjeu. Elle contribue aussi à mieux définir les responsabilités, les procédures internes et les mesures à appliquer lorsqu’un incident survient.

Pour les petites entreprises, la contrainte budgétaire reste réelle. Elle ne les rend pas pour autant moins exposées. Des moyens plus limités peuvent au contraire ralentir la détection d’une attaque, compliquer la reprise d’activité et accroître les conséquences opérationnelles de l’incident.

Une attaque opportuniste peut entrainer un incident majeur

De nombreux incidents de cybersécurité ne résultent pas d’une attaque visant une entreprise en particulier. Au contraire, les cybercriminels lancent souvent des attaques automatisées à grande échelle, sans connaître à l’avance l’identité des organisations qui seront compromises.

Cette méthode, parfois désignée par l’expression « spray and pray », repose sur une logique de volume. Le coût de diffusion de la campagne malveillante restant limité, quelques tentatives réussies suffisent à rentabiliser l’opération pour les malfaiteurs. Les entreprises sont donc compromises avant tout lorsqu’elles présentent un point d’entrée exploitable, indépendamment de leur chiffre d’affaires ou de leur secteur d’activité.

« Pour les PME, les attaques sont souvent opportunistes. Les cybercriminels diffusent des campagnes à grande échelle et, lorsqu’une tentative aboutit, ils poursuivent leur intrusion », rappelle Matthieu Jungers.

Le vol d’identifiants constitue l’un de ces points d’entrée.

Les équipes de Rsecure ont récemment été contactées à la suite d’une campagne d’hameçonnage. « Un compte Microsoft 365 a été compromis. Après avoir récupéré les identifiants d’un collaborateur, le cybercriminel a accédé à sa messagerie professionnelle, puis aux fichiers SharePoint auxquels ce compte était autorisé à accéder. »

À elle seule, la souscription à Microsoft 365 ne suffit pas à protéger une organisation. Le niveau de sécurité des solutions collaboratives en ligne dépend en effet des options de configuration activées, de la gestion des droits et du durcissement des accès, par exemple avec l’activation de l’authentification multifacteur (MFA).

Ainsi, le coût d’une cyberattaque ne dépend pas de sa complexité, mais de son impact sur l’activité de l’entreprise. La compromission d’un seul compte utilisateur peut permettre au cybercriminel d’étendre son accès aux ressources de l’entreprise. Une analyse plus approfondie de l’infrastructure sera alors nécessaire pour identifier les actions menées par l’attaquant, sécuriser à nouveau les outils informatiques et restaurer les données et ressources corrompues. Des actions complexes qui peuvent prolonger les interruptions d’activité.

Les nombreuses conséquences financières liées à une cyberattaque

Les conséquences financières d’une cyberattaque regroupent des dépenses directes à court terme, mais aussi des frais indirects à moyen ou long terme.

Les dépenses directes correspondent aux moyens engagés pour contenir l’incident, restaurer les données sauvegardées et remettre le système d’information en service. Elles incluent notamment les interventions de prestataires externes, les solutions et outils utilisés lors des expertises.

Les pertes indirectes englobent différents types de frais et coûts cachés. Les plus évidents sont l’impact sur le chiffre d’affaires et la perte de productivité. Mais l’atteinte à la réputation génère elle aussi un manque à gagner, en entraînant le départ de clients et la perte d’opportunités commerciales. Le recours à des spécialistes est aussi coûteux.  Les avocats sont souvent sollicités pour la gestion des contentieux, des obligations réglementaires et de certaines démarches administratives. Enfin, la gestion de crise peut peser sur le moral des équipes et les fragiliser.

L’ensemble de ces impacts doit être pris en compte dans le calcul du coût d’une cyberattaque.

Des équipes mobilisées pendant toute la crise

La gestion d’un incident informatique majeur s’organise en trois volets, comme l’explique Matthieu Jungers, Chief Information Security Officer (CISO) de Rsecure : « La gestion de crise s’organise autour de la récupération des données et des services, de l’analyse de l’attaque, mais aussi de la gestion des obligations légales, des communications et notifications. »

Les équipes techniques restaurent les sauvegardes, les serveurs et les applications. En parallèle, les experts en réponse à incident reconstituent le déroulement de l’attaque, tandis que les équipes chargées de la gouvernance préparent les notifications et les communications nécessaires, notamment en cas de violation de données personnelles.

Cette forte mobilisation des collaborateurs et des prestataires sur une courte période entraîne un coût direct pour l’entreprise qui doit rémunérer ce travail supplémentaire et non anticipé.

Réalisés dans l’urgence et sous pression, ces actions peuvent également fragiliser la stabilité des équipes. Un « coût humain » dont les effets sont tangibles, bien qu’il soit plus difficile à estimer.

Un coût qui dépend de l’étendue de l’incident

Une cyberattaque peut parfois durer des jours, parfois des semaines, avant d’être détectée. Les équipes chargées de l’investigation post-incident devront alors examiner un plus large périmètre de comptes, de fichiers, de postes de travail et d’applications, afin de déterminer la progression réelle de l’attaquant.

Pour un parc informatique de taille moyenne, « l’investigation représente près de cinq jours-hommes d’analyse, auxquels s’ajoutent un ou deux jours-hommes consacrés aux notifications », précise Matthieu Jungers. « Sur un périmètre plus large, comme celui d’une ETI ou d’un grand compte, ce travail mobilisera les équipes pendant quelques semaines. »

La qualité des journaux d’événements, aussi appelés logs, joue également un rôle dans la durée des investigations. Ces données retracent les connexions, les accès et les actions réalisées dans le système d’information. Lorsqu’elles sont incomplètes, altérées ou supprimées, les experts disposent de moins d’éléments pour comprendre et contenir l’attaque.

Après l’incident, des dépenses liées à la remédiation

La restauration des données permet de reprendre l’activité, mais ne clôt pas la gestion de crise pour autant. Après une cyberattaque, l’entreprise doit encore corriger les failles repérées et exploitées par l’attaquant, supprimer les accès persistants (backdoors) qu’il aurait installés au sein du réseau interne et renforcer ses mesures de sécurité informatique.

Si les expertises menées sur les équipements compromis et l’environnement informatique de l’entreprise ne permettent pas de le sécuriser, il peut être nécessaire de repartir de zéro. Dans ce contexte, la reconstruction du système d’information devient le principal poste de dépense lié à la cyberattaque.

Même dans le cas d’un incident moins grave, les entreprises victimes devraient engager une démarche d’amélioration continue. C’est pour cela que Rsecure accompagne ses clients dans le renforcement durable de leur posture de cybersécurité.

Selon les vulnérabilités identifiées lors des investigations, nos experts pourront intervenir pour durcir l’authentification des utilisateurs (déploiement du MFA, meilleure gestion des mots de passe), revoir vos configurations de sécurité et vous conseiller les solutions de cybersécurité les plus adaptées à vos besoins et votre budget.

Nos CISO externalisés peuvent renforcer vos équipes techniques sur ces différents sujets. Ils assurent un suivi dans le temps de l’état de votre cybersécurité, supervisent les actions de remédiation et proposent si besoin des formations adaptées aux profils de vos collaborateurs.

Aux coûts directs s’ajoutent des pertes durables

Au-delà des frais de remédiation, du rachat de matériel ou du recours aux experts, une cyberattaque engendre une pluralité de pertes et de coûts cachés.

Pendant la crise, la direction, les managers et les équipes techniques consacrent une part importante de leur temps à coordonner les interventions et à organiser la reprise. « Pendant ce temps, l’entreprise détourne une partie de son attention de son activité », explique Luc Cottin.

Pendant cette période, la productivité baisse, le traitement des commandes, des factures et des demandes est fortement ralenti. Ce fonctionnement dégradé fragilise d’autant plus la confiance que les clients sont souvent des victimes collatérales de l’attaque, lorsque les données les concernant sont compromises, ou que leur activité est affectée par l’incident en cours. Des frais d’avocats sont alors à prévoir, pour la gestion des contentieux et réclamations.

Enfin, le coût de l’assurance cyber est souvent réévalué après l’incident. L’assureur peut demander un audit et un rapport d’investigation avant d’appliquer une surprime ou une hausse des franchises.

Rsecure vous propose d’estimer l’ensemble de ces pertes grâce au calcul suivant :

Coût de l’incident = jours d’arrêt × (perte d’exploitation journalière + salaires et charges) + frais matériels + intervention d’experts + sanctions et pénalités éventuelles

Enfin, l’impact de la gestion de crise sur les équipes impliquées ne doit pas être sous-estimé. Difficile à quantifier, il est pourtant réel, et il n’est pas rare de constater un turnover plus élevé pendant les mois et les années suivant la cyberattaque.  « Certains collaborateurs indiquent clairement qu’ils ne sont pas prêts à vivre une seconde crise de cette ampleur », souligne Matthieu Jungers.

Le retour à une situation stabilisée prend du temps

Après une cyberattaque majeure, la reprise d’activité s’effectue souvent en mode dégradé. Les équipes techniques restaurent progressivement les réseaux, serveurs, environnements de travail et outils métiers de l’entreprise.

La durée de la restauration dépend de plusieurs facteurs, notamment l’importance du volume de données à restaurer, la difficulté à éliminer les traces laissées par l’attaquant et à corriger les vulnérabilités exploitées.  Lorsque certains serveurs compromis doivent être entièrement reconstruits, les délais s’allongent encore.

« Certains dispositifs peuvent être mis en place rapidement, tandis que d’autres nécessitent plus d’une année avant d’être complètement opérationnels », précise Luc Cottin.

Les services identifiés comme critiques, car indispensables au fonctionnement de l’entreprise, sont relancés en priorité. Mais le retour à une situation stabilisée peut prendre entre dix-huit mois et deux ans.

Evaluer et maitriser les risques avant qu’une cyberattaque ne survienne

La gestion du risque cyber passe avant tout par la maîtrise de l’outil informatique. Avant d’investir dans de nouvelles solutions, nous recommandons à nos clients d’évaluer leur niveau de maturité en matière de cybersécurité et de faire le bilan des moyens et des processus à leur disposition.

Chez Rsecure, nous structurons cette démarche grâce à la méthode « HOP », ou Humain, Outils et Processus. Nous pensons qu’il est essentiel de travailler ces trois dimensions dans l’objectif de réduire efficacement l’impact d’une cyberattaque au sein d’une organisation.

La formation des employés, le déploiement d’outils de cybersécurité adaptés et la mise en place de processus clairs et maîtrisés sont donc au cœur de notre stratégie de gestion des risques informatiques.

Former les employés

Le volet humain de la méthode HOP vise à donner aux collaborateurs les connaissances nécessaires pour reconnaître une tentative d’attaque et savoir comment y réagir. Les cybercriminels exploitent régulièrement les erreurs d’inattention, le sentiment d’urgence ou l’effet de surprise pour faire accepter une demande inhabituelle.

Face à ces techniques de manipulation, la formation vise à ancrer les bons réflexes de vigilance et les bonnes pratiques en matière de gestion des identifiants et des mots de passe. En cas de doute, il s’agit d’interrompre l’action et de signaler rapidement l’événement à l’équipe ou au prestataire informatique.

Comme l’explique Luc Cottin : « La sensibilisation des collaborateurs est la première brique sur laquelle nous travaillons avec nos clients. Il faut apprendre à mieux détecter les attaques et à savoir comment réagir. Il ne faut pas simplement fermer son ordinateur et faire l’autruche. Il faut en parler et communiquer. »

Déployer les bons outils

Le deuxième pilier de notre approche repose sur la mise en place de dispositifs de protection, de détection et de remédiation. Rsecure recommande de commencer par une cartographie complète de l’environnement informatique, afin de repérer les vulnérabilités présentes au sein du système d’information.

Cet inventaire servira de base pour évaluer l’impact réel des risques pour l’activité. Cet exercice d’analyse est nécessaire pour choisir des outils cohérents avec la situation et le budget de l’entreprise.

« Il faut s’assurer de disposer du minimum en fonction de l’infrastructure, avec des sauvegardes externalisées et testées, des équipements protégés par un antivirus ou un EDR et une authentification correctement configurée », précise Matthieu Jungers.

Le recours à un service de surveillance continue, comme le SOC de Rsecure, permet de détecter et de neutraliser une cyberattaque, et ce, dès les premières étapes de l’intrusion.

Matthieu Jungers souligne l’intérêt de cette intervention précoce. « Le SOC permet de réagir plus rapidement en cas de suspicion et de bloquer directement une attaque avant qu’elle ait un impact trop important sur l’infrastructure. »

Rsecure décline ce service en deux offres, R-SOC Tranquility pour les PME souhaitant sécuriser leurs postes et leur environnement Microsoft 365, et R-SOC pour les organisations aux infrastructures plus étendues et aux besoins de supervision avancés.

Formaliser la réponse à incident

La réponse à incident se prépare bien avant que l’incident ne survienne. Rsecure préconise de formaliser un plan de gestion de crise, qui précisera les rôles et responsabilités attribués à chaque personne et service.

Ce document doit lister clairement les actions prioritaires à engager en cas de cyberattaque, ainsi que les contacts à joindre en cas d’urgence.

« Nous avons eu le cas d’un client qui ne retrouvait plus le bon numéro à appeler », explique Matthieu Jungers. « Il a perdu une précieuse demi-heure à tenter de joindre son prestataire, alors que la demande aurait pu être prise en charge en cinq minutes si le bon contact avait été communiqué à tout le monde en interne. »

Rsecure accompagne les entreprises dans la détection des cyberattaques et la réponse à incident.

Nos équipes associent des compétences en matière de gouvernance, de réponse à incident et de détection continue des cyberattaques au travers de notre SOC.

Nous intervenons à la fois pour identifier les écarts de conformité, détecter les activités anormales et les cyberattaques et tester les défenses de votre entreprise.

En combinant ces trois expertises, Rsecure vous aide à limiter l’impact d’une cyberattaque et à accélérer significativement la reprise de vos activités.

Vous souhaitez évaluer votre niveau d’exposition aux menaces cyber, ou préparer votre entreprise à la gestion d’une cyberattaque ?

Contactez-nous pour un premier échange avec nos experts.