Dans les années 2000-2010, les attaquants exploitaient massivement les vulnérabilités techniques : failles dans Windows, bugs des navigateurs, défauts des serveurs web. Avec le temps, les éditeurs ont musclé leurs produits (patches automatiques, sandboxing, ASLR, EDR, MFA par défaut sur les clouds). Le coût d'exploitation d'une faille technique a explosé : un 0-day iOS s'achète plusieurs millions de dollars sur le marché noir, un 0-day Windows plusieurs centaines de milliers.

À l'inverse, le coût d'exploitation de l'humain reste bas : un email de phishing coûte quasiment rien à envoyer (frais d'infrastructure marginaux), peut être généré en masse par IA, et un seul clic sur 10 000 suffit à rentabiliser largement l'opération. Économiquement, l'humain est devenu la cible la plus rentable. C'est ce qui explique le glissement massif des attaques techniques vers les attaques par ingénierie sociale ces 10 dernières années.

« Il est plus facile de tromper quelqu'un que de craquer un mot de passe robuste protégé par MFA. La meilleure attaque ne casse rien — elle obtient gentiment l'accès. »

— Kevin Mitnick, hacker reconverti, dans The Art of Deception (2002, toujours d'actualité)

L'ingénierie sociale repose sur l'exploitation de biais cognitifs universels — c'est-à-dire des raccourcis de la pensée que nous utilisons tous, et qui peuvent être détournés contre nous. Les principaux :

• Biais d'autorité : on obéit plus facilement à quelqu'un présenté comme un dirigeant, un policier, un avocat (« le PDG vous demande... »)
• Biais d'urgence : la pression temporelle court-circuite la réflexion (« action requise dans l'heure »)
• Biais de réciprocité : on rend volontiers service à qui nous aide (« j'ai trouvé votre clé USB, pouvez-vous m'aider en retour... »)
• Biais de conformité sociale : on suit ce que font les autres (« 87 % de vos collègues ont déjà cliqué pour activer cette nouvelle fonction »)
• Biais de rareté : la peur de manquer pousse à agir vite (« plus que 2 jours pour valider votre prime »)
• Biais d'engagement : ayant accepté une petite chose, on en accepte une plus grande (technique du « pied dans la porte »)
• Biais émotionnel : la peur, la honte, la culpabilité font perdre le sens critique (« nous avons surpris votre activité illégale... »)

Ces biais ne sont pas des défauts : ils sont efficaces dans la vie quotidienne (on n'a pas le temps de tout analyser rationnellement). Mais ils deviennent des vulnérabilités quand un attaquant les exploite délibérément. La conscience de ces biais est une partie de la défense — on les neutralise en se forçant à prendre du recul dans les situations où ils sont activés.

Au-delà du phishing pur, voici les erreurs humaines les plus courantes en milieu professionnel, identifiées par les SOC (Security Operations Centers) et CSIRT :

1. Réutilisation de mots de passe entre le compte pro et 10 services personnels — quand l'un fuit, tous tombent
2. Envoi accidentel d'un fichier sensible au mauvais destinataire (auto-complétion de l'email, copier-coller erroné de la liste de diffusion)
3. Branchement d'une clé USB inconnue trouvée sur un parking ou laissée sur un bureau (attaque BadUSB, exfiltration silencieuse, ransomware caché)
4. Discussion d'informations confidentielles en public (train, café, ascenseur, vol d'avion) — ingénierie sociale par écoute
5. Connexion à un Wi-Fi public non sécurisé sans VPN, exposant tout le trafic à l'opérateur du hotspot

Pendant longtemps, les RSSI ont parlé du salarié comme du « maillon faible » de la sécurité — une expression devenue stigmatisante et démobilisante. La doctrine moderne, portée par l'ANSSI, le NIST et les principaux frameworks (NIST CSF 2.0, ISO 27001:2022), inverse la perspective : l'humain bien formé devient le maillon fort, capable de détecter ce qu'aucun outil technique ne voit.

Concrètement, un salarié sensibilisé peut :

• Repérer un phishing que les filtres anti-spam ont laissé passer
• Détecter une anomalie dans une demande pro (changement de RIB d'un fournisseur, urgence atypique du PDG)
• Signaler rapidement un incident pour limiter sa propagation
• Refuser une exigence inhabituelle d'un interlocuteur même haut placé
• Alerter sur un comportement suspect d'un collègue ou d'un prestataire

Les études (Proofpoint State of the Phish 2024, KnowBe4 reports) montrent qu'un programme de sensibilisation continu (formations + simulations de phishing + communication régulière) divise par 3 à 10 le taux de clic sur les emails de phishing en 12-18 mois. Le ROI est l'un des plus élevés de toute mesure de sécurité.

Une bonne culture sécurité dans l'entreprise se reconnaît à plusieurs marqueurs concrets, et déborde largement le simple respect des règles :

• Signalement bienveillant : on signale un clic accidentel sans crainte de sanction (« no blame culture »)
• Direction exemplaire : les dirigeants suivent eux-mêmes les formations et appliquent les règles (pas de « le PDG est exempté »)
• Communication régulière : newsletter cyber, alertes sur les arnaques en cours, partage des incidents évités
• Recrutement et accueil : la sensibilisation cyber est intégrée à l'onboarding dès le premier jour
• Reconnaissance positive : les bons réflexes (signalement d'un phishing, refus d'une demande suspecte) sont valorisés
• Drills et exercices : simulations de phishing régulières, exercices de table-top sur scénarios d'incident

Les organisations à culture forte (banques mature, opérateurs de service essentiel, défense) ont des taux d'incident 10 à 30 fois inférieurs aux organisations à culture faible, à infrastructure technique pourtant comparable.

Voici 5 réflexes simples qui, appliqués systématiquement, neutralisent la grande majorité des attaques visant les utilisateurs :

1. Avant de cliquer : passer la souris sur le lien, lire l'URL réelle, vérifier qu'elle correspond bien à ce qui est annoncé. En cas de doute : ne pas cliquer.
2. Avant de virer / partager / divulguer : si la demande sort de l'ordinaire (montant inhabituel, urgence, changement de RIB), vérifier par un canal indépendant (téléphone à un numéro connu, pas celui figurant dans l'email).
3. Pour chaque compte : un mot de passe unique généré par gestionnaire, MFA activé, idéalement Passkey ou FIDO2.
4. En cas de doute : signaler immédiatement à la DSI/RSSI, sans attendre. La rapidité de signalement est la première ligne de défense.
5. Dans la routine : verrouiller son poste à chaque déplacement (Win+L sur Windows, Ctrl+Cmd+Q sur Mac), ne jamais laisser un document sensible visible, ne pas discuter cyber dans les espaces publics.