Riot : 20 millions d'euros de revenus, 1 euro de burn, et l'ambition de faire de Paris le hub mondial de la cybersécurité humaine

Un serial entrepreneur français passé par Y Combinator

Pour comprendre Riot, il faut commencer par son fondateur. Benjamin Netter n'est pas un primo-entrepreneur. Avant de lancer Riot, il a cofondé October (anciennement Lendix), une plateforme de crédit aux PME européennes qui a intégré le Next40, le programme phare de la French Tech, et a prêté plus d'un milliard d'euros à des entreprises sur le continent. C'est un profil atypique dans l'écosystème cyber français : un entrepreneur fintech reconverti dans la sécurité informatique, avec une culture produit et distribution forgée dans le crédit aux PME.

En 2020, Netter intègre Y Combinator, l'incubateur californien par lequel sont passés OpenAI, Airbnb, Stripe et Dropbox. Le timing est cruel : le programme démarre, le Covid frappe, et Netter rentre en France avec un premier chèque de 2 millions de dollars et une intuition. « 90% des failles résultent d'erreurs humaines », rappelle-t-il dans FrenchWeb (février 2023). Le marché de la cybersécurité investit massivement dans les pare-feu, les EDR, les SOC. Presque personne ne s'occupe du maillon le plus fragile : le salarié qui clique sur un lien de phishing un mardi matin.

À ses côtés, Louis Cibot, CTO et cofondateur, construit l'architecture technique. Ensemble, ils développent une plateforme SaaS qui ne vend pas de la protection logicielle, mais du changement comportemental. La nuance est fondamentale : Riot ne bloque pas les attaques. Riot entraîne les humains à ne pas se faire piéger.

Le produit : transformer le salarié en première ligne de défense

Le fonctionnement de Riot repose sur un principe simple, décrit par Benjamin Netter dans L'Usine Digitale (février 2025) : « Nous commençons toujours notre relation avec les utilisateurs en lançant une attaque de phishing sur le renouvellement d'un mot de passe Google. Cette attaque va permettre de déterminer un score de vulnérabilité, qui va évaluer le niveau des équipes. » Le test initial est volontairement réaliste. L'objectif n'est pas de piéger pour punir, mais de mesurer pour former.

La plateforme analyse ensuite en continu la posture cyber des collaborateurs. Elle détecte les vulnérabilités concrètes : absence d'authentification à deux facteurs, réutilisation de mots de passe compromis, comportements à risque sur les outils collaboratifs. Les alertes et recommandations arrivent en temps réel via Slack ou Microsoft Teams, directement dans l'environnement de travail du salarié. Pas de module e-learning que personne ne termine. Pas de QCM annuel pour cocher une case conformité. Un assistant IA, baptisé Albert, intervient au moment où le risque se matérialise.

Ce positionnement produit explique en grande partie la liste de clients qui s'allonge : Mistral AI, Alan, L'Occitane, Le Monde, Deezer, Orange, Veolia figurent parmi les 1 500 entreprises clientes, couvrant plus de 2 millions de salariés. Le segment cible principal reste les entreprises de 200 à 2 000 salariés, c'est-à-dire exactement les PME et ETI qui n'ont ni le budget d'un SOC dédié, ni l'expertise interne pour former leurs équipes.

45 millions levés, 1 million brûlé : l'anomalie financière

C'est le chiffre qui arrête la lecture. En février 2025, Riot boucle une Série B de 30 millions de dollars menée par Left Lane Capital, fonds new-yorkais. Le tour inclut Y Combinator, Base10 et FundersClub, portant le total des fonds levés à 45 millions de dollars, d'après Le Monde Informatique. Un an plus tard, Benjamin Netter déclare à Maddyness (février 2026) : « Sur les 30 millions d'euros levés l'an passé, 1 seul a été brûlé. C'est assez inhabituel pour une startup qui fait 100% de croissance. »

Le contraste avec le reste de l'écosystème est saisissant. D'après le dernier rapport ScaleX Invest, en 2024, les faillites post-Série A en France ont pour la première fois dépassé les nouvelles levées en Série A. Le profil type de la startup défaillante, selon la Banque de France (rapport publié en janvier 2026), affiche un CA médian de 3,1 millions d'euros, une cinquantaine de salariés, et surtout des fonds propres insuffisants et une trésorerie trop faible pour absorber les chocs. Riot, à 20 millions de revenus et un burn quasi nul, se situe aux antipodes de ce profil.

La discipline financière n'est pas accidentelle. Netter a vécu l'expérience October, une entreprise qui a levé plus de 50 millions d'euros et traversé des cycles de marché difficiles. La leçon est intégrée : chaque euro levé doit financer de la croissance rentable, pas de l'expansion spéculative. C'est cette philosophie, « gérer en bon père de famille » selon les termes de Netter, qui permet de croître de 100% tout en conservant 97% du capital levé en réserve.

Le pari parisien : un hub européen sans bureaux à l'étranger

La stratégie d'internationalisation de Riot est probablement ce qui la distingue le plus de ses concurrents. Plutôt que d'ouvrir des bureaux à Milan, Madrid et Londres, Riot recrute des talents locaux (italiens, espagnols, britanniques) et les fait venir à Paris. Le modèle, comparé par Maddyness à celui de la chaîne de restaurants Big Mamma (qui fait venir des cuisiniers italiens en France), repose sur une conviction : la cohésion culturelle et la vitesse d'exécution valent plus que la proximité géographique avec le client.

Concrètement, 16 recrutements sont prévus pour le marché italien en 2026, 16 pour l'Espagne et 12 pour le Royaume-Uni, tous basés à Paris. Pour attirer ces profils, Riot finance le premier mois de loyer, offre une prime de déménagement et paie des cours de français. « On accueille des gens de partout en Europe. L'idée, c'est de créer un vrai hub parisien », explique Benjamin Netter. Au total, 150 embauches sont prévues en 2026, dont un tiers de profils internationaux.

Le pari est calculé. Netter a vécu l'inverse chez October, avec plusieurs bureaux en Europe. « Avant Riot, j'ai créé October et on avait plusieurs bureaux en Europe », rappelle-t-il dans Maddyness (juin 2025). Le coût opérationnel de bureaux multiples, la fragmentation culturelle, la difficulté à maintenir une exécution cohérente : il a vu ce que ça coûtait. Le modèle hub unique réduit les coûts fixes à l'étranger, mais impose une capacité élevée à gérer des ventes multi-pays et multi-langues depuis un seul site. Si l'année 2026 est concluante à l'international, Riot envisage de se déployer dans cinq nouveaux pays en 2027, ce qui pourrait passer par une nouvelle levée de fonds.

KnowBe4 : le benchmark à 4,6 milliards que Riot regarde dans le rétroviseur

Le marché mondial de la formation à la cybersécurité est dominé par un acteur : KnowBe4, fondé en 2010 en Floride par Stu Sjouwerman. Racheté en 2022 par Vista Equity Partners pour 4,6 milliards de dollars, KnowBe4 génère environ 246 millions de dollars de revenus annuels, sert plus de 70 000 clients dans 35 langues, et emploie plusieurs milliers de personnes.

La comparaison avec Riot est instructive à plusieurs niveaux. En termes de produit, KnowBe4 s'appuie sur une bibliothèque de plus de 1 000 modules de formation et des simulations de phishing trimestrielles. L'approche est structurée, méthodique, orientée conformité. Riot, en revanche, mise sur l'intervention en temps réel dans les outils du quotidien (Slack, Teams) et sur un assistant IA qui contextualise le risque au moment où il se présente. C'est une différence philosophique : KnowBe4 forme par programme, Riot forme par l'usage.

En termes de marché, KnowBe4 cible les mid-market et grands comptes américains. Riot est né en France, sur un segment PME/ETI que KnowBe4 adresse mal en Europe. Les entreprises françaises de 200 à 2 000 salariés n'ont ni le budget ni la patience pour déployer une plateforme américaine à 1 000 modules. Elles veulent un outil qui s'intègre à leur Slack en 15 minutes et qui donne un score de vulnérabilité le jour même. C'est exactement ce que Riot propose.

Le ratio financier est parlant. Riot fait aujourd'hui environ 8% du CA de KnowBe4, avec une fraction de ses effectifs et un taux de croissance deux à trois fois supérieur. Si Riot atteint les 100 millions de revenus visés fin 2027, l'entreprise se rapprocherait de 40% du niveau actuel de KnowBe4, sur un marché en expansion rapide. D'après le secteur de la cybersécurité (Daf-Mag), le nombre d'incidents de hameçonnage a augmenté de 1 265% en deux ans sous l'effet de l'IA générative. Le marché ne rétrécit pas.

Les business angels comme signal stratégique

La table de capitalisation de Riot mérite une analyse à part entière. Au-delà des fonds institutionnels (Y Combinator, Base10, Left Lane Capital), la liste des business angels raconte une histoire stratégique. Lors de la Série A en 2023, d'après FrenchWeb, ont investi : Guy Podjarny (fondateur de Snyk, leader de la sécurité applicative, valorisé 7,4 milliards de dollars), Charles Gorintin (cofondateur d'Alan, licorne de l'assurance santé), Severin Hacker (cofondateur de Duolingo, coté en bourse), Ilkka Paananen (cofondateur de Supercell, vendu 8,6 milliards à Tencent), Alex Bouaziz (cofondateur de Deel, valorisé 12 milliards) et Tamar Yehoshua (ancienne CPO de Slack).

Ce n'est pas une liste d'investisseurs financiers. C'est une liste d'opérateurs qui ont bâti des entreprises B2B de classe mondiale. Quand le fondateur de Snyk investit dans une startup de cybersécurité, il ne parie pas sur un pitch deck. Il a évalué le produit, la distribution, l'équipe. Quand le cofondateur de Deel investit, il reconnaît le potentiel de Riot à scaler sur le segment PME international, celui que Deel a lui-même conquis. Chaque nom sur cette liste est un signal de validation produit plus fiable qu'un rapport d'analyste.

Ce que le modèle Riot signifie pour votre PME B2B

Au-delà de la cybersécurité, l'histoire de Riot porte trois enseignements applicables à toute PME B2B en France.

Le premier concerne la discipline financière comme avantage concurrentiel. Dans un écosystème où les startups post-Série A brûlent en moyenne 70% de leur trésorerie en 18 mois (profil type des défaillances identifiées par la Banque de France), Riot démontre qu'on peut croître de 100% en conservant son capital intact. Pour un dirigeant de PME, la leçon est directe : le taux de croissance ne justifie jamais un burn disproportionné. La croissance rentable est plus lente à communiquer, mais c'est la seule qui survit aux retournements de cycle.

Le deuxième enseignement porte sur l'internationalisation centralisée. Le modèle « hub parisien » de Riot, où des commerciaux italiens, espagnols et britanniques opèrent depuis la France, est réplicable à l'échelle d'une PME de 50 salariés. Recruter un commercial bilingue allemand basé à Lyon pour adresser le marché DACH coûte infiniment moins cher que d'ouvrir un bureau à Munich. La condition : un produit qui se vend en mode SaaS, avec un cycle de vente court et une démonstration à distance efficace.

Le troisième est le choix du segment. Riot cible les entreprises de 200 à 2 000 salariés, un segment que KnowBe4, depuis la Floride, adresse mal en Europe. C'est une stratégie classique de flanquement : ne pas attaquer le leader sur son terrain (les grands comptes américains), mais verrouiller un segment adjacent qu'il néglige. Pour une PME B2B française qui se demande comment coexister avec un concurrent américain dix fois plus gros, Riot fournit le modèle : être meilleur sur un segment local que le géant ne peut pas servir avec la même proximité.

Questions fréquentes