Les incidents de cybersécurité liés à l’homme augmentent parallèlement à l’intégration de l’IA
Nous voyons là quelque chose d’important. Alors que les entreprises adoptent l’IA pour la productivité, l’automatisation et l’avantage concurrentiel, un nouveau vecteur de risque s’ouvre, le comportement humain. KnowBe4 signale une augmentation de 90 % des cyberincidents impliquant des éléments humains au cours de l’année écoulée. Ce bond n’est pas le fruit du hasard. Il reflète la façon dont les systèmes d’IA modifient les flux de travail, les outils et la façon dont les gens prennent des décisions quotidiennes.
La plupart des problèmes de sécurité proviennent encore de ce que les gens font, en cliquant sur des liens malveillants, en faisant confiance à des messages électroniques frauduleux ou en configurant mal les systèmes. Maintenant, lorsque vous ajoutez l’IA à cela, le risque s’aggrave. Les employés travaillent de plus en plus avec des systèmes d’IA, mais beaucoup d’entre eux ne comprennent pas comment ces systèmes fonctionnent ou quelles sont leurs limites. Résultat : des jugements erronés, une confiance mal placée ou une confiance excessive dans les algorithmes.
Pour les dirigeants, cette transformation est synonyme d’un nouveau mandat. La cybersécurité traditionnelle se concentrait sur le matériel, les pare-feu et les correctifs logiciels. Cela reste important, mais ce n’est plus suffisant. Vous devez désormais gérer la façon dont vos employés interagissent avec l’IA, car ces interactions peuvent créer de nouvelles vulnérabilités. Le risque comportemental n’est plus un problème mineur, il s’agit d’une infrastructure de sécurité fondamentale.
La résolution de ce problème présente des avantages. Les organisations qui réagissent efficacement, en formant les équipes, en mettant à jour les politiques et en sécurisant l’interface homme-IA, sont en mesure de minimiser les temps d’arrêt, d’éviter les atteintes à la réputation et d’empêcher des pertes financières massives. Bien gérée, la gestion du risque de cybersécurité humaine crée la confiance dans vos systèmes et vos équipes.
Le courrier électronique reste le maillon faible de l’architecture de sécurité
Le courrier électronique n’est pas nouveau. C’est probablement l’outil numérique le plus ancien que la plupart de vos employés utilisent chaque jour. Pourtant, il reste le principal vecteur d’attaques. Les dernières données de KnowBe4 montrent une augmentation de 57 % des incidents liés au courrier électronique et que 64 % des organisations ont été touchées par des menaces externes basées sur le courrier électronique.
Les chiffres montrent clairement la situation. Les attaquants n’ignorent pas la complexité, ils exploitent simplement la familiarité. Le courrier électronique leur donne un accès direct à vos collaborateurs dans un format auquel ils font confiance. Ils n’ont pas toujours besoin de logiciels malveillants avancés lorsque l’ingénierie sociale par le biais d’un courriel simple et bien formulé permet de déjouer la plupart des défenses.
Le phishing est devenu un problème humain. Et maintenant avec le contenu généré par l’IA capable de produire des imitations presque parfaites de messages fiables de produire des imitations presque parfaites de messages fiables, il devient encore plus difficile pour la plupart des gens de distinguer le vrai du faux.
Les dirigeants doivent en prendre conscience : même si vous avez investi dans une infrastructure haut de gamme et dans la protection des points d’accès, si vos employés ne sont pas formés à remettre en question ce qui arrive dans leur boîte de réception, vous avez laissé une porte grande ouverte. Aujourd’hui, la défense contre les courriels dépend moins des filtres anti-spam que de la sensibilisation, de la vigilance et de la formation continue.
Il n’y a pas de solution miracle. C’est une question de cohérence. Renforcez les principes de base. Intégrez la reconnaissance des menaces à votre routine opérationnelle. Les entreprises qui gagnent dans ce domaine ne s’installent pas confortablement, elles restent vigilantes. Le courrier électronique est simple, mais le coût de sa négligence l’est tout autant.
L’erreur humaine et les menaces internes demeurent des risques persistants
Malgré les progrès réalisés en matière d’outils et de surveillance, les erreurs humaines sont toujours à l’origine d’une grande partie des problèmes de cybersécurité. KnowBe4 a constaté que 90 % des organisations ont subi des violations causées par des erreurs commises par des employés. Il ne s’agit pas de mauvaises configurations dans le code, mais d’erreurs simples et évitables commises par des personnes qui ne cherchaient pas à nuire.
Ajoutez à cela la menace interne, où une personne au sein de votre organisation cause délibérément des dommages ou divulgue des données sensibles, et vous avez affaire à des risques qui ne dépendent pas de la découverte d’exploits techniques par des pirates informatiques. Selon KnowBe4, 36 % des organisations ont été confrontées à des incidents impliquant des initiés malveillants. Il s’agit de personnes réelles disposant d’informations d’identification et d’accès, qui agissent contre votre entreprise.
Il ne s’agit pas de blâmer les employés. Il s’agit de reconnaître la réalité fonctionnelle : les gens créent des risques, que ce soit par accident ou intentionnellement. Les organisations ont besoin d’un cadre qui traite le comportement des employés comme quelque chose de mesurable et de gérable, de la même manière que nous traitons la disponibilité ou la performance du système.
La solution commence par la visibilité. Vous devez savoir où les erreurs se produisent généralement et pourquoi. Vous devez ensuite instaurer une culture qui n’ignore pas les erreurs. Le personnel doit être formé, non pas une fois, mais en permanence. Les politiques doivent empêcher les accès excessifs tout en permettant aux personnes de faire leur travail. Enfin, la surveillance des menaces internes doit évoluer sans devenir invasive ou réactive.
Pour les chefs d’entreprise, il s’agit de contrôler les coûts et l’exposition à long terme. Les violations de données ne nuisent pas seulement à la réputation de la marque, elles réduisent votre marge d’exploitation. En gérant efficacement les erreurs humaines et les menaces internes, vous gardez le contrôle de votre profil de risque sans ralentir l’exécution.
Les entreprises doivent investir davantage dans la dimension humaine de la cybersécurité
Les organisations performantes investissent là où se trouve l’impact. À l’heure actuelle, l’écart entre le risque humain et l’allocation budgétaire est trop important. 97% des responsables de la cybersécurité interrogés par KnowBe4 ont confirmé qu’ils avaient besoin de plus de fonds pour gérer les vulnérabilités comportementales.
Il ne s’agit pas de dire que plus de technologie équivaut à de meilleurs résultats. Vous pouvez avoir les meilleurs systèmes de détection, mais si les personnes qui interagissent avec ces systèmes ne sont pas équipées pour reconnaître les menaces, vous êtes exposé. La plupart des organisations continuent à dépenser de manière disproportionnée dans les contrôles techniques tout en sous-investissant dans la formation, la gestion du changement et l’analyse des risques axée sur le comportement.
L’équation change parce que le paysage des risques change. L’IA accélère le rythme, les menaces arrivent plus vite, elles sont plus convaincantes et elles évoluent en temps réel. Cela exige des organisations qu’elles soient tout aussi agiles dans leur manière de former, de communiquer et de renforcer les comportements sécurisés dans tous les départements.
L’intérêt d’investir dans ce domaine est évident. Il ne s’agit pas seulement de réduire la fréquence des violations, mais aussi d’accroître la résilience. Lorsque les employés savent à quoi s’attendre et comment réagir, votre vitesse de récupération s’améliore, les perturbations opérationnelles sont limitées et l’atténuation des risques fait partie des pratiques quotidiennes de l’entreprise.
Si vous voulez vraiment bénéficier d’un avantage concurrentiel et d’une confiance à long terme avec vos clients et partenaires, il s’agit d’une priorité non négociable. Les décisions budgétaires en matière de cybersécurité doivent refléter l’endroit où se trouvent les vraies vulnérabilités, et pour l’instant, il s’agit de la couche humaine.
Les menaces alimentées par l’IA se multiplient et sont plus intelligentes, plus rapides et plus difficiles à détecter.
L’IA n’est pas seulement le moteur de la transformation des entreprises. Elle fait également évoluer les cybermenaces comme la plupart des entreprises ne l’ont jamais fait auparavant. Le rapport KnowBe4 révèle une augmentation de 43 % des incidents liés à l’IA au cours de l’année écoulée. Il ne s’agit pas d’événements isolés, ils concernent l’ensemble de l’industrie, et la plupart des équipes dirigeantes ne sont pas totalement préparées.
Les « deepfakes », en particulier, gagnent du terrain dans les stratégies d’attaque. Près d’une organisation sur trois (32 %) a signalé une augmentation des menaces liées aux « deepfakes ». Ces manipulations ne sont pas évidentes. Elles sont conçues pour tromper même des employés expérimentés en imitant des voix, des visages et des documents avec une précision troublante.
Dans le même temps, l’IA est utilisée pour créer des contenus de phishing qui s’adapte en temps réel. Ces attaques ne sont pas limitées par le volume ou la langue. Elles sont évolutives et hyperciblées, ce qui les rend plus susceptibles de contourner les filtres de détection traditionnels.
Les données de KnowBe4 confirment que 45 % des responsables de la cybersécurité considèrent désormais les menaces alimentées par l’IA comme leur risque numéro un. Ce changement de perception est important. Le défi n’est pas seulement de se défendre contre ces outils ; il s’agit de comprendre comment votre modèle de sécurité doit évoluer lorsque les outils qui attaquent vos systèmes apprennent et itèrent plus rapidement que jamais.
Pour vous, en tant que dirigeant, cela signifie que vos protocoles de sécurité doivent passer d’une approche statique à une approche adaptative. Vos équipes ont besoin du budget et de la flexibilité nécessaires pour tester et déployer des défenses qui évoluent avec le paysage des menaces. Il s’agit notamment d’investir dans des systèmes de détection capables d’identifier les imitations, les manipulations ou les activités anormales des machines avant que la réputation et les finances n’en pâtissent.
L’insatisfaction des employés à l’égard de la politique en matière d’IA alimente l’utilisation de l’IA dans l’ombre
Il existe un fossé croissant entre la manière dont les entreprises mettent en place des politiques d’IA et la manière dont les employés utilisent réellement l’IA. Selon KnowBe4, 56 % des employés ne sont pas satisfaits de l’approche de leur entreprise en matière d’outils d’IA. Il ne s’agit pas d’un problème mineur, mais d’une voie directe vers l’activité fantôme de l’IA.
On parle d’IA fantôme lorsque des employés commencent à utiliser des outils d’IA externes sans approbation ni surveillance. Il s’agit d’un problème de sécurité qui se cache derrière un gain de productivité. Les gens se tournent vers ces outils parce qu’ils sont rapides et utiles, mais lorsqu’ils les adoptent de manière informelle, les équipes de sécurité perdent toute visibilité et tout contrôle.
Les mesures de sécurité ne sont efficaces que si elles correspondent à la façon dont les gens travaillent réellement. Si elles créent des frictions ou semblent déconnectées des objectifs quotidiens, les employés les contourneront. À l’heure actuelle, c’est exactement ce que fait une grande partie de la main-d’œuvre, en créant des flux de travail informels qui incluent des plates-formes d’IA à haut risque.
Les entreprises ne peuvent pas empêcher les employés de rechercher l’efficacité, mais elles peuvent les maintenir sur des plateformes sécurisées en les rencontrant à mi-chemin. La gouvernance de l’IA doit être claire, rapide et alignée sur le mode de fonctionnement des équipes. Vous n’empêchez pas l’IA fantôme en interdisant des outils, vous l’empêchez en offrant à vos équipes de meilleures options qui répondent également à vos normes de sécurité.
Il s’agit d’une question stratégique. Si elle n’est pas contrôlée, l’IA fantôme augmente votre surface de risque et affaiblit votre réponse aux incidents. Traitée à temps, elle devient une opportunité, où les employés, le leadership et l’innovation peuvent fonctionner en toute sécurité, sans perturbation ni exposition à la réglementation. La politique doit correspondre à la réalité. Tout le reste vous ralentit.
Les acteurs de la menace adoptent des tactiques d’attaque multicanal et renforcées par l’IA
Les cybercriminels font évoluer rapidement leurs tactiques, non seulement en utilisant l’IA pour créer des attaques plus intelligentes, mais aussi en combinant plusieurs canaux de communication pour accroître leur efficacité. Le rapport de KnowBe4 montre une augmentation des incidents coordonnés qui intègrent le courrier électronique, les plateformes de messagerie et le phishing vocal (également appelé vishing) dans une stratégie d’attaque unique.
Cela signifie que l’approche classique de l’hameçonnage par courrier électronique uniquement n’est plus adaptée. Les attaquants construisent désormais des campagnes à plusieurs niveaux qui peuvent commencer par un courriel, s’intensifier via une application de messagerie et se terminer par un appel vocal convaincant généré par l’IA. Il en résulte une pression plus forte, une manipulation plus rapide et des résultats plus fructueux pour les attaquants, en particulier lorsque les employés ne sont pas formés pour relier les signaux entre les différentes plateformes.
Ces menaces sont renforcées par l’IA. Les outils d’automatisation aident les attaquants à créer des contenus persuasifs à grande échelle, avec un ciblage personnalisé qui imite les normes de l’entreprise. La précision de ces efforts rend la détection plus difficile et le temps de réponse plus court.
Les dirigeants doivent s’assurer que les équipes de sécurité ne sont pas cloisonnées par canal : la sécurité des courriels, la surveillance des chats et la détection des menaces par téléphone doivent toutes faire partie d’une stratégie unifiée. Les employés doivent être formés à considérer les communications de manière holistique et non isolée. L’accent doit être mis sur la reconnaissance des indices comportementaux plutôt que de s’appuyer uniquement sur des filtres techniques ou des alertes automatisées.
Du point de vue du leadership, la leçon à tirer est structurelle. Votre écosystème de communication est un terrain connecté. Chaque surface est un point d’entrée potentiel. Investir dans la détection des menaces transcanal et la sensibilisation des utilisateurs en temps réel n’est plus facultatif, c’est une infrastructure nécessaire.
Les programmes de sécurité doivent s’adapter pour superviser les comportements humains et ceux de l’IA.
L’environnement des entreprises est en train de changer. Les agents d’IA font désormais partie des opérations quotidiennes dans tous les secteurs d’activité, aux côtés des employés humains. Cette évolution s’accompagne de nouveaux risques. Les décisions basées sur l’IA, les actions automatisées et l’utilisation d’outils non supervisés introduisent des comportements qui ne s’alignent pas toujours sur les politiques organisationnelles ou les cadres de cybersécurité.
Javvad Malik, Lead CISO Advisor chez KnowBe4, l’a clairement exprimé : « Les gains de productivité de l’IA sont trop importants pour être ignorés, de sorte que l’avenir du travail exige une collaboration transparente entre les humains et l’IA. Les employés et les agents de l’IA devront travailler en harmonie, soutenus par un programme de sécurité qui gère de manière proactive le risque des deux. »
À l’heure actuelle, la plupart des architectures de sécurité sont conçues pour gérer l’activité humaine. Ce n’est que la moitié de l’équation. Les agents d’intelligence artificielle ont leur propre logique, leurs propres niveaux d’accès et leurs propres limites. Sans visibilité sur ce que font ces systèmes d’IA ou sur la manière dont ils sont utilisés, les organisations sont essentiellement aveugles à toute une partie de leur paysage opérationnel.
Les programmes de sécurité doivent s’adapter à cette évolution. Cela signifie qu’il faut ajouter des capacités de surveillance pour les résultats de l’IA, personnaliser les contrôles d’accès pour l’utilisation de l’IA et veiller à ce que la journalisation inclue les interactions humaines et les interactions avec la machine. Cela signifie également qu’il faut mettre à jour les modèles de réponse aux incidents pour prendre en compte les erreurs, les mauvais jugements ou les mauvais usages générés par les machines.
Pour les décideurs de haut niveau, le message est clair. Si vos efforts en matière de sécurité ne s’étendent pas à la manière dont l’IA se comporte dans votre infrastructure, vous passez à côté d’un élément majeur de la gestion des risques. Assurez-vous que vos équipes prennent en compte l’ensemble de la situation. Cela inclut non seulement l’erreur humaine, mais aussi les conséquences involontaires des opérations autonomes, pilotées par l’IA, et le mélange des deux fonctionnant ensemble.
Réflexions finales
L’adoption de l’IA progresse rapidement et la plupart des entreprises s’y intéressent pour les bonnes raisons : efficacité, échelle et croissance. Mais à mesure que cette évolution s’accélère, l’exposition aux risques s’accroît. Les vulnérabilités les plus critiques ne se trouvent pas dans le code ou les systèmes, mais dans les personnes, les comportements et les décisions négligées à la périphérie.
Les dirigeants doivent faire preuve de clarté dans ce domaine. L’erreur humaine, l’IA fantôme et les menaces multicanal ne sont pas des problèmes temporaires. Ce sont des défis structurels qui accompagnent l’avenir du travail. Vous ne pouvez plus isoler la sécurité de la stratégie. La façon dont vous sécurisez votre main-d’œuvre, humaine et IA, a un impact direct sur la confiance dans la marque, la stabilité opérationnelle et la résilience concurrentielle.
Les stratégies de sécurité doivent se moderniser pour refléter la façon dont le travail se déroule réellement. Cela signifie un budget accru, de meilleurs outils, une formation continue et une gouvernance claire en matière d’utilisation de l’IA. Pas une fois par an, en permanence.
L’opportunité est réelle : des équipes plus fortes, des systèmes plus intelligents et moins de perturbations. Mais cela ne se fera pas par défaut. Il faut une implication directe, une définition précise des priorités et une volonté de considérer la cybersécurité comme une fonction de direction, et non comme une simple préoccupation informatique.
