Le rapport 2025 sur l’état du risque humain montre une augmentation des incidents liés au facteur humain ainsi que des violations impliquant des applications d’IA.
Tribune – KnowBe4, la plateforme spécialisée dans la gestion des risques liés à l’humain et à l’IA agentique, dévoile un nouveau rapport : « The State of Human Risk 2025: The New Paradigm of Securing People in the AI Era ». Ce rapport révèle que les responsables de la sécurité subissent une pression croissante pour gérer les risques comportementaux en cybersécurité, dans un contexte de transformation de la main-d’œuvre incluant désormais l’IA.
Cette étude, menée auprès de 700 responsables en cybersécurité et de 3 500 personnes ayant connu un incident de sécurité, au cours de l’année écoulée, indique une augmentation de 90 % des incidents liés au facteur humain. Ces incidents peuvent résulter d’attaques par ingénierie sociale (phishing ou compromission d’email professionnel, BEC), de comportements risqués ou malveillants, ou encore d’erreurs humaines.
Le rapport met en lumière un paysage de menaces complexe, où les organisations doivent se protéger à la fois contre des vecteurs d’attaque connus et émergents :
- 93 % des responsables interrogés ont signalé des incidents causés par des cybercriminels exploitant des collaborateurs.
- Les incidents liés aux emails ont augmenté de 57 %, ce qui confirme que le courriel reste le principal enjeu.
- 64 % des organisations ont été victimes d’attaques externes ayant exploité des collaborateurs, via des emails.
- L’erreur humaine demeure une vulnérabilité critique : 90 % des organisations ont signalé des incidents causés par des fautes de leurs salariés.
- Les menaces internes malveillantes continuent de poser problème, représentant 36 % des incidents.
- Une majorité écrasante (97 %) des responsables en cybersécurité estiment que leur budget doit être augmenté pour renforcer la sécurité autour du facteur humain.
Qui paie en cas d’incident ?
Être victime d’un cybercriminel ou commettre une erreur sont des actions involontaires. Dans les deux cas, toutefois, les personnes concernées sont plus susceptibles d’être sanctionnées que de subir toute autre conséquence. Les conséquences varient également de manière significative selon les pays, en particulier en ce qui concerne les sanctions disciplinaires à l’encontre des collaborateurs. En Afrique du Sud, 70 % des responsables de la cybersécurité déclarent avoir sanctionné des personnes ayant été victimes d’attaques par hameçonnage (phishing). D’autres pays affichent également des taux nettement supérieurs à la moyenne mondiale de 44 %, notamment le Mexique (60 %), les États-Unis (54 %) et le Japon (51 %).
Les pays les moins enclins à sanctionner les collaborateurs sont : le Danemark (24 % tant pour les attaques par hameçonnage que pour les incidents accidentels), la Suède (30 % pour le phishing ; 27 % pour les accidents), le Royaume-Uni et l’Irlande (30 % pour le phishing ; 42 % pour les accidents), ainsi que la France (33 % pour le phishing ; 34 % pour les accidents).
À mesure que les outils d’IA s’intègrent dans les processus de travail quotidiens, ils deviennent à la fois des leviers de productivité et des vecteurs importants de risques :
- Les incidents liés aux applications d’IA ont augmenté de 43 % au cours des 12 derniers mois, ce qui en fait la deuxième catégorie d’incidents en plus forte hausse tous canaux confondus.
- Bien que 98 % des organisations aient pris des mesures contre les risques liés à l’IA, les responsables en cybersécurité considèrent les menaces pilotées par l’IA comme leur principal défi : 45 % évoquent l’évolution constante de ces menaces comme le plus grand obstacle dans la gestion des risques comportementaux.
- 32 % des organisations ont signalé une augmentation des incidents liés aux deepfakes.
- Malgré les mesures prises contre les risques liés à l’IA, 56 % des répondants se disent insatisfaits de la manière dont leur entreprise gère ces outils, ce qui peut les pousser à utiliser des plateformes non autorisées et engendrer des risques de « shadow AI ».
L’étude prédit que l’email restera le plus à risque pendant plusieurs années. Toutefois, l’essor des attaques multi-canaux via des applications de messagerie ou des appels vocaux frauduleux (vishing), combiné à l’utilisation croissante d’outils d’IA par les cybercriminels pour mener des attaques plus sophistiquées à grande échelle, oblige les organisations à s’adapter rapidement, au risque de rester exposées.
« Les gains de productivité apportés par l’IA sont trop importants pour être ignorés. L’avenir du travail nécessitera une collaboration fluide entre les humains et l’IA », explique Javvad Malik, conseiller principal CISO chez KnowBe4. « Les collaborateurs et les agents d’IA devront fonctionner en synergie, appuyés par un programme de sécurité capable de gérer proactivement les risques liés aux deux. La gestion du risque humain doit évoluer pour intégrer la couche IA, avant que les activités critiques ne migrent vers des plateformes non surveillées et à haut risque. »
Méthodologie
Les données de ce rapport proviennent d’une enquête indépendante menée par Arlington Research auprès de 700 responsables en cybersécurité et de 3 500 collaborateurs n’ayant pas de responsabilité directe en cybersécurité. Les pays couverts par l’étude sont l’Argentine, l’Australie, le Brésil, la région DACH, le Danemark, la France, l’Inde, le Japon, le Mexique, la Nouvelle-Zélande, l’Afrique du Sud, la Suède, le Royaume-Uni, l’Irlande et les États-Unis. Les secteurs couverts incluent les services financiers (banque, investissement, assurance), l’industrie, la santé, le retail, le transport et la logistique, les technologies de l’information, l’éducation et les services sociaux, les agences gouvernementales, les télécommunications, les infrastructures critiques / énergie / pétrole et gaz, le commerce de gros, l’hôtellerie et le tourisme.
