Une étude internationale révèle un fossé entre sensibilisation et action face à la montée des cyberattaques liées à l’IA et à l’expansion des outils collaboratifs. Le rapport Mimecast State of Human Risk 2026 révèle un basculement historique : la malveillance interne (42 %) égale désormais la négligence comme menace prioritaire. L’impact financier est colossal, avec un coût moyen de 11 ,4 millions € par incident. L’étude pointe une vulnérabilité face à l’IA : si 69 % des RSSI prévoient une attaque imminente, 60 % ne s’y disent pas préparés. De plus, malgré l’usage intensif d’outils collaboratifs, 64 % des entreprises jugent les protections natives insuffisantes. Enfin, 91 % peinent à assurer la conformité, créant une véritable bombe à retardement juridique.
Tribune – Mimecast, spécialiste de la cybersécurité qui redéfinit la manière dont les organisations sécurisent les risques humains, dévoile aujourd’hui la 9e édition de son rapport annuel State of Human Risk. L’étude révèle un basculement inédit : 42 % des organisations signalent une recrudescence des actes de malveillance interne, rejoignant ainsi, pour la première fois, les 42 % d’incidents liés à la négligence. Cette convergence marque une rupture stratégique pour la sécurité des entreprises : la trahison délibérée devient une menace aussi préoccupante que l’erreur involontaire.
Le paysage de la cybersécurité connaît un tournant majeur : les actes de trahison interne se hissent désormais au même niveau que les erreurs humaines parmi les principales sources d’inquiétude des entreprises. En deux ans, la part des organisations redoutant les menaces internes malveillantes est passée de 33 % à 42 %.
Selon une étude menée auprès de 2 500 responsables et décideurs en sécurité informatique dans neuf pays, ces attaques internes coûtent en moyenne 13,1 millions de dollars par incident, pour six événements recensés chaque mois. Et la tendance risque de s’aggraver : 66 % des entreprises s’attendent à une hausse des pertes de données liées à ce type de menace au cours des douze prochains mois.
L’étude a examiné de nombreux aspects de la gestion des risques humains et, parmi les autres principaux enseignements, figurent notamment :
-
La préparation face aux menaces liées à l’IA demeure insuffisante malgré leur caractère jugé inévitable : 69 % des responsables de la sécurité estiment que leur organisation subira des attaques basées sur l’IA dans les 12 prochains mois, mais 60 % d’entre eux reconnaissent ne pas être totalement prêts à y faire face.
-
Un manque de coordination critique affaiblit les dispositifs de protection : seuls 28 % des répondants associent la formation à la sécurité et à une surveillance continue. Cette absence d’alignement fragilise les défenses et maintient une séparation entre les initiatives centrées sur les collaborateurs et celles orientées vers la technologie.
-
Une surface d’attaque qui s’élargit face à des protections natives insuffisantes : à mesure que les menaces se propagent au travers des messageries électroniques, des plateformes collaboratives et des communications internes, 38 % des organisations s’en remettent encore uniquement aux dispositifs de sécurité intégrés. Pourtant, 64 % des répondants admettent que ces outils ne suffisent pas à répondre efficacement à ces nouveaux risques.
-
Les lacunes en matière de gouvernance représentent un risque réglementaire latent : 91 % des entreprises peinent à garantir la gouvernance et la conformité de leurs données. Par ailleurs, 59 % d’entre elles ne sont pas certaines de pouvoir localiser rapidement les informations requises pour satisfaire aux obligations réglementaires ou juridiques.
« Le risque interne figure désormais parmi les menaces les plus graves et les plus sous-estimées auxquelles les organisations sont confrontées aujourd’hui. Non seulement en raison des pertes de données qu’il provoque, mais aussi parce que les attaquants utilisent de plus en plus les collaborateurs comme point d’entrée intentionnel afin de contourner complètement les défenses périmétriques », commente Leslie Nielsen, RSSI de Mimecast. « Les données montrent que les incidents résultent à la fois d’erreurs d’inattention et d’actes délibérés. Plutôt que de chercher à contrôler le comportement humain, les organisations doivent mettre en place des contrôles adaptatifs capables de repérer les actions à haut risque et d’ajuster les protections en temps réel. Il s’agit notamment d’instaurer des garde-fous lorsqu’un collaborateur accède à des données auxquelles il ne devrait pas avoir accès, même avec des identifiants valides. À mesure que l’IA facilite l’exfiltration massive de données par des employés, la sécurité doit intervenir précisément là où le risque apparaît. »
IA : un accélérateur sur une surface d’attaque en expansion
L’expansion rapide de la surface d’attaque, portée par l’usage intensif de la messagerie, des outils collaboratifs et de l’IA générative, dépasse désormais les capacités de réaction des stratégies de sécurité traditionnelles. Les limites des protections natives sont aujourd’hui manifestes : si 38 % des organisations s’en contentent encore pour sécuriser leurs environnements de travail, 64 % d’entre elles admettent pourtant leur inefficacité face aux menaces actuelles.
En parallèle, l’IA démultiplie la force de frappe des attaquants, qu’ils soient externes ou internes. Pour 69 % des responsables de la sécurité, une offensive pilotée par l’IA est inévitable d’ici un an, alors que 60 % reconnaissent ne pas y être pleinement préparés. Cette technologie permet en effet d’automatiser la reconnaissance, d’affiner l’ingénierie sociale pour la rendre plus crédible et facilite même le recrutement de complices au sein même des entreprises.
Gouvernance, visibilité et bombe à retardement réglementaire
Près de 91 % des organisations peinent à maîtriser la gouvernance et la conformité de leurs données, un obstacle majeur qui freine la détection et la gestion des incidents. Cette carence structurelle limite leur réactivité face aux menaces.
En parallèle, 59 % des entreprises doutent de leur capacité à identifier rapidement les informations nécessaires aux obligations réglementaires ou légales. Dans un contexte de durcissement législatif, ce manque de visibilité constitue une véritable bombe à retardement pour leur sécurité et leur responsabilité juridique.
Défenses fragmentées, menaces coordonnées
Un paradoxe majeur entrave l’efficacité des défenses : 65 % des organisations jugent l’intégration de leurs outils de sécurité trop complexe, une contrainte dont les attaquants sont affranchis. Ces derniers déploient des chaînes d’offensive fluides — combinant phishing sous protection CAPTCHA, injection de JavaScript et détournement d’outils de gestion à distance — pour exploiter les failles entre des systèmes de contrôle trop cloisonnés.
Le manque de coordination reste la norme : seules 28 % des entreprises couplent la sensibilisation des utilisateurs à une surveillance continue. Par conséquent, la détection d’un comportement à risque par l’analyse comportementale ne déclenche que rarement une réponse automatisée et cohérente entre les accès, la prévention des fuites de données (DLP) et les outils de monitoring.
Pourtant, l’unification des systèmes produit des résultats concrets : 40 % des organisations intégrées constatent une résolution plus rapide des incidents et une visibilité accrue. Le défi n’est plus de démontrer la valeur de cette approche, mais de sortir de la paralysie causée par la prolifération d’outils incapables de corréler les menaces entre la messagerie, les plateformes collaboratives et les référentiels de données.
La voie à suivre : coordonner la gestion du risque humain
Le cloisonnement des canaux de communication, des plateformes collaboratives et des comportements des utilisateurs est aujourd’hui une impasse. Les contrôles natifs, conçus à l’origine sans tenir compte d’attaques ciblant massivement l’humain, atteignent leurs limites. La gestion des risques doit désormais s’opérer au plus près des collaborateurs (dans leurs messageries, leurs flux de travail et leurs décisions quotidiennes) à travers une stratégie globale capable d’adresser l’ensemble des menaces de manière unifiée.
La solution exige une action coordonnée sur quatre axes :
-
Une visibilité intégrée sur l’ensemble des canaux de communication et de collaboration
-
Des analyses comportementales et une gestion des comportements de sécurité permettant d’identifier les utilisateurs à haut risque et les activités inhabituelles, tout en générant des changements mesurables dans la manière dont les collaborateurs réagissent aux menaces
-
Une gouvernance et une protection des données garantissant la sécurité des informations sensibles, quel que soit leur emplacement ou leur mode de circulation.
-
Une réponse coordonnée associant les mesures de sécurité axées sur les personnes et sur la technologie.
Les organisations qui mettent en œuvre ces mesures pourront détecter et prévenir les menaces internes avant qu’elles ne provoquent des violations coûteuses. En revanche, celles qui maintiennent des approches fragmentées verront leurs dépenses de sécurité s’accroître, tandis que l’efficacité de leur protection diminuera.
Méthodologie
Mimecast a mandaté Vanson Bourne pour réaliser une enquête auprès de 2 500 décideurs en sécurité informatique et en IT dans neuf pays, entre novembre et décembre 2025. Toutes les organisations interrogées comptaient plus de 250 employés et plus de 250 utilisateurs de messagerie. Leur taille variait de 250 à plus de 10 000 employés.
Couverture géographique : États-Unis (500), Royaume-Uni (300), Allemagne (300), France (300), Espagne (200), Italie (200), Afrique du Sud (200), Singapour (250), Australie (250)
Secteurs couverts : Un large éventail de secteurs privés et publics, notamment les services financiers, la santé (publique et privée), les technologies de l’information et les télécommunications, l’industrie manufacturière, la distribution, le secteur public, l’énergie, les services aux entreprises, la construction, les services aux consommateurs, les médias et le divertissement.
