La fraude cybernétique est aujourd’hui la principale menace en matière de cybersécurité
La fraude cybernétique a dépassé le Ransomware en tant que principale préoccupation des chefs d’entreprise. Et à juste titre. Les attaques ne sont pas moins nombreuses, mais plus intelligentes et plus ciblées. La fraude ne fait pas toujours les gros titres de la même manière que le Ransomware, mais elle cause discrètement plus de dégâts que vous ne l’imaginez. Ces attaques sont simples de par leur conception, mais suffisamment efficaces pour contourner plusieurs couches de défense traditionnelle. Les dirigeants doivent faire face à des pertes financières réelles, à des interruptions de service et à des atteintes à la réputation, tout cela à cause de simples tactiques d’hameçonnage, de compromission des courriels professionnels et d’usurpation d’identité.
Le changement important ici est d’ordre psychologique. Les cadres ont vu ces escroqueries fonctionner trop souvent. C’est une exposition directe. Et cela a changé la façon dont le risque est perçu au sommet des entreprises. Si le Ransomware reste une source d’inquiétude, c’est la fraude cybernétique qui nuit activement aux entreprises, tant dans les écosystèmes technologiques développés que dans les marchés émergents.
Ce qui est important ici, c’est que nombre de ces attaques ne reposent pas sur un code sophistiqué. Elles exploitent les faiblesses humaines, la confiance mal placée, la distraction, l’urgence. Il est donc plus difficile d’y remédier par un simple surcroît de technologie. La véritable solution est plus large : il s’agit de combiner la détection de première ligne avec une sensibilisation interne plus intelligente et un engagement plus clair des dirigeants. Les équipes dirigeantes doivent cesser de considérer la fraude comme un problème mineur et commencer à la traiter comme un risque central de cybersécurité qui affecte directement le bilan.
Selon les perspectives cybernétiques du Forum économique mondial pour 2026, les chefs d’entreprise considèrent désormais la fraude cybernétique comme leur principale menace en matière de sécurité, devant les vulnérabilités de l’intelligence artificielle et les systèmes logiciels obsolètes. Ce changement s’est produit rapidement. L’année précédente, la fraude partageait la vedette avec le Ransomware et les perturbations de la chaîne d’approvisionnement. L’orientation des préoccupations est donc claire.
Les niveaux de cyber-résilience ont un impact direct sur la hiérarchisation des menaces
Toutes les organisations n’envisagent pas les cyberrisques de la même manière. Et c’est logique. La cyber-résiliencec’est-à-dire sa capacité à se préparer à une cyberattaque, à y répondre et à s’en remettre, détermine la manière dont ses dirigeants perçoivent le risque. Ce qui est intéressant, c’est que plus une entreprise est résiliente, plus elle se préoccupe de l’avenir et non du présent. C’est un bon signe.
Voici ce que le Forum économique mondial a constaté : les dirigeants d’organisations très résilientes placent les vulnérabilités liées à l’IA en tête de leurs préoccupations. Ils accordent également une attention particulière à la fraude et aux risques liés à la chaîne d’approvisionnement. Cela signifie que ces entreprises sont allées au-delà de la défense de base. Elles pensent à long terme, surveillent les menaces avancées liées aux nouvelles technologies et s’adaptent rapidement.
Comparez cela aux organisations peu résilientes. Leurs principales préoccupations restent la fraude et le Ransomware. Il s’agit là d’un raisonnement réactif, qui consiste à lutter contre les incendies au lieu de mettre en place un système à l’épreuve du feu. Cela nous renseigne sur le fonctionnement de la maturité des risques. Si vous vous concentrez encore sur l’application de correctifs aux logiciels ou sur la récupération de la dernière attaque, vous ne vous préoccupez pas de l’évolution des menaces. C’est une lacune qu’il faut combler, et vite.
Pour les équipes dirigeantes, la conclusion est simple : il faut investir dans la résilience. Cela signifie qu’il faut aligner l’informatique, les opérations, la stratégie et la gouvernance par le biais d’une approche axée sur la sécurité. La résilience permet à votre organisation de penser plus loin, d’anticiper plutôt que d’absorber. Les dirigeants qui comprennent cela ne se contentent pas de protéger les systèmes, ils créent un avantage stratégique à long terme.
Les données du WEF confirment cette différence. Les entreprises à forte résilience considèrent l’IA comme une préoccupation majeure. Les entreprises à faible résilience classent toujours le Ransomware et la fraude plus haut. La résilience n’est pas seulement une question de défense, elle change la façon dont les dirigeants perçoivent l’ensemble du paysage de la cybersécurité.
Les vulnérabilités de l’IA sont désormais une préoccupation majeure en matière de sécurité
L’intelligence artificielle change tout, du développement de produits aux opérations, mais elle élargit aussi la surface d’attaque des cyberattaques. Les dirigeants commencent à comprendre que chaque capacité d’IA ouvre également un nouveau vecteur de risque. Ce n’est plus de la théorie. Les systèmes d’IA sont mis en œuvre partout, et les attaquants exploitent déjà les lacunes.
Selon le Forum économique mondial, 30 % des chefs d’entreprise considèrent les fuites de données provenant des systèmes d’IA comme leur principale préoccupation. Il ne s’agit pas seulement de fuites accidentelles. Les modèles d’IA peuvent exposer par inadvertance des données sensibles par le biais de sorties, de journaux ou d’une mauvaise utilisation des données d’entraînement. Il s’agit d’une menace importante, en particulier dans des secteurs tels que la finance, la santé ou la logistique, où les dommages causés aux données deviennent un véritable gâchis sur le plan juridique et de la réputation.
Viennent ensuite les inquiétudes liées à l’intelligence des pirates informatiques. Environ 28 % des chefs d’entreprise ont déclaré que l’évolution des techniques d’attaque pousse leurs équipes à repenser les risques liés à l’IA plus rapidement que prévu. Et puis il y a les problèmes structurels, 15% ont signalé des failles dans les systèmes d’IA eux-mêmes. La plupart des organisations ne comprennent pas pleinement comment leurs modèles d’IA se comportent en production. C’est un angle mort. En l’absence de contrôle ou d’explication, il est difficile de détecter si quelque chose de malveillant s’est glissé à l’intérieur ou à l’extérieur du système.
Ce qui est frappant, c’est que peu d’entre eux, à peine 6 %, ont mentionné la chaîne d’approvisionnement du code de l’IA, alors même que les dépendances à l’égard d’outils et de plugins tiers augmentent. Ce manque d’attention est important. Les outils d’IA devenant de plus en plus modulaires et ouverts, le fait d’ignorer leurs origines ou leurs dépendances ouvre de véritables voies d’attaque.
Les dirigeants doivent être plus proactifs dans ce domaine. L’IA ne devrait pas être déployée sans une piste d’audit claire, des seuils de risque définis et des modes de défaillance testés. L’IA n’est pas prête à l’emploi, et des configurations erronées ou des accès non contrôlés peuvent entraîner des problèmes à long terme. Les équipes dirigeantes doivent considérer la sécurité de l’IA comme une fonction essentielle de l’entreprise, et non comme une simple responsabilité informatique.
Les changements géopolitiques remodèlent la cyberstratégie
Les événements mondiaux ne restent pas hors ligne. Ils influencent la façon dont les cyberattaques sont planifiées, lancées et évoluent. C’est pourquoi les dirigeants placent la volatilité géopolitique au centre de leurs conversations sur la stratégie de cybersécurité. Ils constatent aujourd’hui que les acteurs de la menace ne sont pas seulement des individus ou des gangs, mais qu’ils sont de plus en plus soutenus par des États, coordonnés et stratégiques.
Le rapport du WEF met clairement en évidence cette évolution : 66 % des PDG en 2026 ont déclaré que l’instabilité géopolitique avait directement influencé leurs cyber-stratégies. Ce chiffre est en baisse par rapport aux 87 % de 2024, mais la menace n’a pas disparu, elle s’est simplement transformée. Les organisations ne réagissent plus seulement aux gros titres, elles intègrent l’intelligence géopolitique dans leurs opérations et stratégies quotidiennes.
Un tiers des entreprises accordent la priorité aux renseignements sur les menaces concernant spécifiquement les acteurs étatiques. Un autre tiers collabore plus étroitement avec les gouvernements et les groupes d’échange d’informations. C’est essentiel. Si une cyberattaque est planifiée au niveau d’un État, aucune entreprise n’a l’empreinte ou la visibilité nécessaire pour l’affronter seule. L’alignement sur les agences publiques et les partenaires multinationaux n’est peut-être plus optionnel, il devient un enjeu de taille pour opérer en toute sécurité.
Les principaux moteurs de ce changement stratégique ? Les attaques d’États-nations contre les infrastructures, les campagnes de désinformation intentionnelles et la fusion des technologies de l’information avec les technologies opérationnelles. Chacun de ces éléments entraîne un type de pression différent. Les attaques contre les infrastructures peuvent mettre les entreprises hors ligne. La désinformation sape la confiance. La convergence des technologies de l’information et des technologies opérationnelles crée des vulnérabilités uniques qui ont des conséquences physiques. Il ne s’agit pas de risques lointains, mais de problèmes actifs.
Pour les conseils d’administration et les équipes de direction, le message est direct : la stratégie de cybersécurité ne peut ignorer les dynamiques mondiales. Qu’il s’agisse de tensions dans des régions spécifiques, de changements dans les politiques nationales en matière de cybersécurité ou de campagnes agressives soutenues par des États, l’impact se fait sentir, même pour les entreprises qui opèrent bien en dehors des zones de conflit immédiates. Plus vite les organisations intégreront la dimension géopolitique dans leur planification, mieux elles seront en mesure de réagir au prochain incident.
La confiance dans la cyberpréparation nationale est faible et inégale
Les cadres supérieurs commencent à se demander si leur pays est vraiment prêt à se défendre contre des cyberattaques de grande ampleur. La confiance a chuté. Dans de nombreuses régions, elle n’a jamais existé au départ. L’inquiétude porte désormais sur les infrastructures critiques, les réseaux énergétiques, les systèmes financiers, les chaînes d’approvisionnement. Ces systèmes n’ont pas seulement un impact sur une entreprise, mais sur des économies entières.
Les derniers chiffres du Forum économique mondial montrent que seuls 37 % des chefs d’entreprise ont confiance dans la capacité de leur gouvernement à répondre à des cyberincidents majeurs visant des infrastructures critiques. C’est à peine plus que les 31 % qui ont déclaré n’avoir que peu ou pas confiance. Le déclin est visible si l’on compare avec l’année précédente, où 42 % des chefs d’entreprise avaient confiance en 2025, et où ils étaient moins nombreux (26 %) à exprimer des doutes. En d’autres termes, la confiance va dans la mauvaise direction.
Cela est important pour une raison simple : si les équipes dirigeantes ne croient pas que la réponse nationale tiendra, elles doivent transférer des ressources pour combler le fossé elles-mêmes. Cela modifie la priorité accordée par les entreprises à la couverture d’assurance cybernétique, à la protection des données transfrontalières et aux collaborations entre les secteurs public et privé. Et sans la confiance dans le soutien national, les acteurs du secteur privé supportent une plus grande part du fardeau de l’endiguement et du rétablissement.
La différence entre les régions est très nette. Au Moyen-Orient et en Afrique du Nord, la confiance est élevée : 84 % des entreprises croient en l’état de préparation de leur pays en matière de cybersécurité. En Amérique latine et dans les Caraïbes, elles ne sont que 13 %. Cet écart reflète la maturité des politiques, les investissements dans les infrastructures et l’expérience du secteur public en matière de gestion des cyberrisques.
La conclusion est claire. La cybersécurité ne peut pas être considérée uniquement comme une question d’opérations internes. Elle doit s’inscrire dans un écosystème plus large, qui englobe les capacités des gouvernements nationaux et la coordination des réponses au niveau international. Les dirigeants avisés évalueront ces dépendances externes aussi sérieusement qu’ils évaluent leurs défenses internes.
La sécurité des technologies opérationnelles (OT) souffre d’un manque criant de développement
La technologie opérationnelle est exposée, et la plupart des organisations ne font pas assez pour y remédier. Alors que la sécurité informatique a attiré l’attention au cours des deux dernières décennies, la technologie opérationnelle s’est tranquillement étendue sans bénéficier d’une protection proportionnelle. Aujourd’hui, c’est un problème. Les usines, les services publics, les systèmes de transport dépendent tous de l’informatique de terrain. Et la plupart d’entre eux n’ont jamais été conçus pour faire face aux menaces modernes de cybersécurité.
Selon l’étude du WEF, seules 32 % des entreprises contrôlent le niveau de sécurité de leurs actifs informatiques. Cela signifie que près de 7 entreprises sur 10 pourraient ne pas être au courant d’une intrusion active dans les systèmes physiques. Elles sont encore moins nombreuses (20 % seulement) à disposer d’équipes dédiées à la sécurité des systèmes informatiques. Et seulement 16 % d’entre elles rendent régulièrement compte à leur conseil d’administration des questions relatives à la sécurité des technologies de l’information et de la communication. Ces chiffres sont très révélateurs : Les technologies de l’information sont négligées et ne sont pas intégrées dans les mesures de sécurité de l’entreprise.
Pour les équipes de direction, cela représente un véritable risque opérationnel. Les systèmes qui font fonctionner les chaînes de production, gèrent les installations ou guident les opérations logistiques n’ont pas d’ordinateurs de bureau ou de serveurs conventionnels. Mais ils peuvent être piratés, et dans de nombreux cas, avec des outils qui ne nécessitent pas de compétences avancées. L’impact d’un système OT compromis est différent : il perturbe la disponibilité, endommage les actifs et ralentit ou interrompt les activités principales. Cela se traduit directement par des pertes financières.
La plupart des conseils d’administration sont encore sous-informés sur les vulnérabilités des technologies de l’information. Cela doit changer. Les dirigeants doivent insister pour que la sécurité des systèmes informatiques bénéficie du même niveau de surveillance que celle des technologies de l’information. Cela implique des rapports réguliers, une responsabilité liée aux principales parties prenantes et des équipes de sécurité intégrées dotées d’une expertise spécifique. Le sous-investissement dans les technologies de l’information n’est pas seulement un angle mort, c’est une responsabilité. Et les attaquants savent déjà comment l’exploiter.
Combler le manque de visibilité dans le domaine des technologies de l’information n’est plus facultatif. C’est une exigence si les organisations veulent rester opérationnelles dans un paysage de menaces qui ne fait plus de distinction entre les cibles numériques et physiques.
Les dirigeants soutiennent les cyber-réglementations, malgré la complexité régionale
La plupart des dirigeants reconnaissent aujourd’hui le rôle que jouent les réglementations en matière de cybersécurité dans l’amélioration des normes au sein de leur organisation. Ces règles ne sont pas seulement des listes de contrôle de la conformité, ce sont des mécanismes de pression qui obligent les entreprises à améliorer leur façon de gérer les risques. C’est une bonne chose. Elle favorise la prise de conscience au niveau du conseil d’administration et donne aux RSSI plus de poids en interne pour donner la priorité à la sécurité dans tous les départements.
Selon le Forum économique mondial, près de 60 % des chefs d’entreprise ont déclaré que les réglementations en matière de cybercriminalité avaient contribué à sensibiliser leur entreprise à la sécurité. Plus de la moitié d’entre eux sont allés plus loin en déclarant que ces réglementations avaient directement contribué à renforcer les résultats globaux en matière de cybersécurité. Un tel consensus n’est pas courant dans les cercles de direction. Il nous indique que la réglementation, lorsqu’elle est bien conçue, fonctionne à la fois comme un facteur de motivation et comme un cadre.
Cependant, toutes les régions ne voient pas la réglementation de la même manière. Le soutien est plus faible en Amérique du Nord et en Europe, régions où les lois sur la cybersécurité et les organes de contrôle sont les plus développés. La raison en est claire. Des règles complexes et qui se chevauchent peuvent ralentir la mise en œuvre, créer des problèmes de conformité et obliger les équipes juridiques à interpréter des exigences ambiguës. Même les organisations bien préparées finissent par consacrer plus de temps à la documentation qu’à une défense efficace.
Pourtant, le sentiment n’est pas contre la réglementation en tant que concept. Il s’agit d’un appel à une conception intelligente de la réglementation, à des mesures de sécurité qui s’adaptent au risque, simplifient l’intégration et évitent l’accumulation administrative inutile. Les dirigeants des marchés à forte réglementation demandent de la précision et de la coordination, et non moins de règles.
Ce qu’il faut retenir pour les dirigeants : n’attendez pas que la conformité réglementaire soit à l’origine de votre programme de sécurité. Utilisez-la comme un plancher et non comme un plafond. Les réglementations peuvent inciter à l’action, mais le leadership stratégique en matière de sécurité doit aller plus loin. Gardez une longueur d’avance sur les lignes de base, simplifiez vos contrôles internes et veillez à ce que votre équipe de conformité soutienne, au lieu de ralentir, votre capacité à avancer rapidement et à rester en sécurité.
Dernières réflexions
Le risque cybernétique n’est pas statique. Ce qui importe le plus aux dirigeants aujourd’hui n’était pas en tête de liste il y a tout juste un an. Ce changement nous indique une chose : les dirigeants doivent rester agiles. Les menaces, la fraude, les vulnérabilités de l’IA, les tensions géopolitiques ne sont pas des problèmes de surface. Elles frappent la continuité opérationnelle, la force de la réputation et la résilience à long terme.
Les organisations les plus performantes n’attendent pas de réagir. Elles agissent maintenant, investissent dans la visibilité, alignent la sécurité IT et OT, intègrent la résilience dans leur architecture et traitent la complexité réglementaire comme un apport stratégique, et non comme une simple charge de conformité.
Pour les chefs d’entreprise, la feuille de route est claire. Donnez la priorité à la cybernétique en tant que moteur de l’activité. Faites de la place pour la sécurité à la table où se joue la stratégie. Rapprochez-vous de votre RSSI. N’attendez pas qu’un incident révèle ce qui aurait pu être évité. Le cyberrisque n’est pas un problème informatique, c’est une responsabilité du conseil d’administration qui a un impact sur les résultats.
Les organisations qui y parviennent bien ne se contenteront pas de rester en sécurité. Elles avanceront plus vite, prendront des décisions plus intelligentes et garderont le contrôle alors que les autres se démèneront pour les rattraper.
