La cybersécurité en entreprise ne passe plus seulement par la formation. Pour Benjamin Netter, CEO de Riot, il est temps de recentrer les efforts sur la posture cyber plutôt que sur la seule sensibilisation.
Les entreprises multiplient les formations et les simulations, mais les résultats peinent à suivre l’évolution des menaces. L’exemple d’UnitedHealth montre que des identifiants compromis suffisent à contourner les défenses. L’IA accélère la collecte d’information et la personnalisation des attaques. Il est donc urgent de compléter la sensibilisation par des mesures concrètes de réduction d’exposition et d’authentification renforcée.
Quand la formation frôle l’épuisement collectif
Les sessions, simulations et serious games se succèdent au rythme des « cyber mois » et des newsletters. Le problème n’est pas l’intention : ces dispositifs élèvent le niveau de conscience. Mais ils génèrent aussi une forme de saturation. Les salariés reçoivent des messages anxiogènes, des rappels continus et des modules obligatoires qui finissent par se fondre dans le bruit informationnel du quotidien. Résultat : près d’un salarié sur deux ne sait toujours pas définir ce qu’est le phishing, et l’efficacité pédagogique plafonne face à des scénarios de plus en plus personnalisés.
Attaques sans interaction : la posture qui laisse passer les assaillants
L’exemple de l’attaque contre UnitedHealth est éclairant. Des identifiants qui circulent dans une fuite ont suffi à ouvrir la porte, sans interaction directe du collaborateur. Au-delà des erreurs individuelles, l’enquête a mis en évidence des lacunes systémiques : absence d’alerte sur la fuite de données, authentification faible et visibilité publique excessive des salariés. Autrement dit, même un employé vigilant demeure vulnérable si la configuration personnelle et les contrôles techniques sont défaillants. « Mieux le former n’y aurait rien changé », note Benjamin Netter. Il rappeleque la sécurité repose d’abord sur des choix d’architecture et des contrôles automatisés.
Réduire l’exposition : petits gestes, grands effets
Renforcer la posture passe par des mesures pragmatiques et directement applicables. Limiter la visibilité de son profil LinkedIn, configurer les paramètres de confidentialité des applications de messagerie, ou choisir un code de verrouillage robuste sont autant d’actions qui réduisent l’empreinte numérique exploitable par un attaquant.
Ces réflexes, simples en apparence, compliquent la phase de repérage qui précède la plupart des campagnes ciblées. Ils ne remplacent pas une politique de sécurité centralisée, mais la complètent : moins d’informations publiques, moins d’accès faciles, moins de chemins pour franchir le périmètre.
L’irruption de l’intelligence artificielle change profondément l’équation. L’automatisation de la collecte d’informations rend la phase de reconnaissance quasi instantanée et les attaques personnalisées incroyablement crédibles. Les modèles linguistiques permettent déjà de générer des prétextes multilingues et adaptés en quelques secondes, et de nouveaux protocoles annoncent une automatisation encore plus poussée.
Par conséquent, la réponse ne peut plus reposer sur une simple multiplication des formations : elle doit intégrer la réduction de l’exposition, des mécanismes d’alerte proactifs, une authentification renforcée et une gouvernance qui limite les points d’entrée. Adapter les usages des collaborateurs, durcir les configurations par défaut et automatiser la protection : voilà, selon Benjamin Netter, la feuille de route pour ne pas laisser l’innovation criminelle dicter les règles du jeu.
Article basé sur un communiqué de presse reçu par la rédaction.
