Erreur humaine et cyberattaques : ce que disent vraiment les chiffres

Un mardi après-midi, la comptable d’une PME reçoit un mail de son fournisseur habituel. Même adresse, même signature, même ton. Le fournisseur annonce un changement de banque et joint son nouveau RIB. Elle met à jour la fiche, règle la facture du mois. Trois semaines plus tard, le vrai fournisseur relance : il n’a jamais été payé. Sa messagerie avait été piratée, et l’escroc avait simplement attendu une facture en cours.

On parlera d’erreur humaine. C’est vrai, en partie. La comptable a agi comme on agit cent fois par an. Ce qui a manqué, c’est une règle simple : un changement de coordonnées bancaires se vérifie par téléphone, au numéro déjà connu. Cet article regarde ce que disent vraiment les chiffres sur le facteur humain, les situations où l’erreur se produit, et ce qui permet de la rattraper.

Ce que les chiffres disent, et ce qu’ils ne disent pas

Le chiffre le plus cité vient du rapport annuel de Verizon sur les violations de données. Dans son édition 2026, qui analyse plus de 22 000 violations confirmées, une action humaine (un clic, des identifiants saisis sur un faux site, une erreur de manipulation) intervient dans 62 % des violations. C’est beaucoup, et c’est la raison pour laquelle on répète que « tout part d’une erreur humaine ».

Le même rapport apporte deux nuances qu’on lit moins souvent :

• Le premier point d’entrée des attaquants est technique. L’exploitation de failles logicielles est devenue le premier vecteur d’accès initial (31 % des violations), devant l’usage d’identifiants volés (13 %).
• Dans les petites et moyennes entreprises, la part humaine est plus faible : 45 % des violations. Les failles exploitées y pèsent 26 % des accès initiaux, les identifiants volés 13 %, l’hameçonnage 9 %.

En France, le constat de Cybermalveillance.gouv.fr va dans le même sens. Pour les entreprises et associations, les trois premiers motifs de demande d’assistance en 2025 sont le piratage de compte (21 %), l’hameçonnage (16 %) et la fraude au virement (13,5 %, en hausse de 93 % sur un an). Ces trois menaces passent presque toujours par une personne. En revanche, pour les rançongiciels, le dispositif observe que l’attaque résulte le plus souvent d’une intrusion par une faille sur un accès externe (VPN, bureau à distance, serveur de fichiers) ou sur un équipement de sécurité comme le pare-feu.

La conclusion pratique : former les équipes est indispensable, et ne remplace ni les mises à jour ni la protection des accès. Une entreprise qui mise tout sur la vigilance de ses salariés laisse ouverte une bonne moitié des portes.

Les cinq situations où l’erreur arrive vraiment

Les erreurs qui coûtent cher ressemblent rarement à un clic absurde sur un mail truffé de fautes. Elles surviennent dans des gestes de travail ordinaires.

1. Le changement de RIB

C’est le scénario du début. Selon Cybermalveillance.gouv.fr, la fraude au virement fait suite, dans la majorité des cas, au piratage de la messagerie du client ou du fournisseur. Variantes observées en 2025 : le faux dirigeant qui demande un virement urgent et confidentiel, le logiciel de facturation piraté dont on modifie le RIB, la demande de changement de compte pour le versement d’un salaire.

Le réflexe : toute modification de coordonnées bancaires est confirmée par un appel au numéro que vous aviez déjà, jamais à celui qui figure dans le mail.

2. La fausse page de connexion

Un mail annonce un document partagé ou une boîte pleine. Le lien mène à une page qui imite celle de votre messagerie. Les identifiants saisis partent chez l’attaquant, qui peut alors lire les échanges, préparer une fraude au virement ou rebondir vers d’autres comptes. Les prestataires labellisés par Cybermalveillance.gouv.fr interviennent régulièrement sur des piratages de comptes Microsoft 365 qui ont servi de point d’entrée dans le système d’information.

Le réflexe : on ne se connecte jamais depuis un lien reçu. On ouvre l’outil depuis ses favoris ou en tapant l’adresse.

3. L’appel du « support informatique »

Un interlocuteur se présente comme le service informatique ou le prestataire. Il signale un problème sur votre poste et vous demande d’installer un outil de prise en main à distance, ou de lui lire un code reçu par SMS. Dans son panorama de la menace 2025, l’ANSSI décrit plusieurs cas de faux supports qui ont conduit des employés à installer ce type de logiciel, porte d’entrée de l’attaque.

Le réflexe : vous raccrochez et vous rappelez le support par le numéro interne habituel. Un vrai technicien ne vous demandera jamais de lui communiquer un code de validation.

4. La notification qu’on accepte pour qu’elle s’arrête

Votre téléphone affiche une demande de validation de connexion que vous n’avez pas lancée, puis une autre, puis dix. L’ANSSI cite cette technique, appelée « MFA fatigue » : l’attaquant, qui a déjà votre mot de passe, insiste jusqu’à ce que la victime valide par lassitude ou par erreur.

Le réflexe : une demande de validation que vous n’avez pas déclenchée se refuse, puis se signale. Elle signifie que quelqu’un connaît votre mot de passe : il faut le changer.

5. Le faux captcha qui demande de coller une commande

Une page web vous demande de « prouver que vous n’êtes pas un robot » en appuyant sur quelques touches : ouvrir une fenêtre de commande, coller ce qui a été copié, valider. Cette technique, baptisée ClickFix, a servi en 2025 à installer des logiciels espions selon l’ANSSI.

Le réflexe : aucun site légitime ne demande de coller une commande dans votre ordinateur pour vérifier que vous êtes humain. Fermez la page et prévenez votre référent informatique.

Pourquoi des personnes compétentes se font avoir

Les escrocs construisent des situations où le bon geste paraît être celui qu’ils attendent :

• L’urgence : « le virement doit partir avant 16 h », « votre compte sera bloqué ce soir ».
• L’autorité : un message qui semble venir de la direction, de la banque, du service informatique.
• La routine : une facture qui ressemble à toutes les autres, un partage de document comme on en reçoit dix par jour.
• Le bon contexte : l’attaquant qui a lu la messagerie connaît les noms, les montants, les projets en cours.

Le téléphone et le SMS rendent ces pièges plus efficaces encore. Dans les simulations analysées par Verizon, le taux de clic médian sur les leurres par la voix ou le SMS est 40 % plus élevé que par mail. Les sessions de sensibilisation centrées sur le seul courriel laissent donc de côté une partie du risque.

Ce que la vidéo annuelle ne règle pas

Une étude publiée en 2025 au symposium IEEE sur la sécurité et la vie privée a observé pendant huit mois plus de 19 500 salariés d’un grand établissement de santé américain, soumis à dix campagnes d’hameçonnage simulé. Résultats : aucun lien significatif entre le fait d’avoir terminé récemment la formation annuelle en ligne et le risque de cliquer, une différence moyenne de 1,7 point seulement entre les salariés qui recevaient un module après un clic et les autres, et plus de la moitié des sessions de ce module refermées en moins de dix secondes. Sur la durée de l’étude, plus de 56 % des salariés ont cliqué au moins une fois.

Cette étude porte sur un format précis : la vidéo obligatoire et la page d’information affichée après un faux clic. Sa leçon est ciblée : lire une information ou regarder une vidéo change très peu les gestes. Ce qui protège davantage, d’après les recommandations de l’ANSSI et de Cybermalveillance.gouv.fr, tient en trois couches.

Des procédures qui ne reposent pas sur la vigilance

La règle « un changement de RIB se confirme par téléphone » protège même la personne fatiguée un vendredi à 18 h. Cybermalveillance.gouv.fr le rappelle dans son rapport 2025 : une simple vérification auprès du créancier permet d’éviter la fraude au virement. Écrivez ces règles pour les trois ou quatre opérations sensibles de votre entreprise, et faites-les valider par la direction pour que personne n’ait peur de « déranger » en vérifiant.

Des outils qui rattrapent l’erreur

L’authentification multifacteur limite les dégâts quand un mot de passe a fuité. Une étude de Microsoft Research portant sur des comptes professionnels mesure une baisse du risque de compromission de 99,22 % pour les comptes protégés, avec un meilleur résultat pour les applications d’authentification que pour le SMS. Elle ne bloque pas tout (la « MFA fatigue » en est la preuve), et elle reste la mesure la plus rentable à activer en premier sur la messagerie, la banque et les accès à distance.

Un signalement rapide et sans sanction

Un clic signalé dans les dix minutes se traite en changeant un mot de passe. Le même clic découvert trois semaines plus tard peut coûter un arrêt d’activité. Le rapport de Cybermalveillance.gouv.fr note aussi les conséquences pour la personne qui a effectué un virement frauduleux : culpabilité, parfois sanction. Si votre équipe craint d’être blâmée, elle se tait, et l’attaquant gagne du temps.

La phrase à dire en réunion, mot pour mot :

« Si vous avez cliqué sur un lien, saisi un mot de passe ou validé quelque chose dont vous doutez, prévenez-moi tout de suite. Personne ne sera sanctionné pour un clic signalé. Ce qui nous coûterait cher, c’est de l’apprendre dans trois semaines. »

Indiquez aussi qui prévenir (un nom, un numéro), et quoi dire : ce que vous avez reçu, à quelle heure, ce que vous avez fait.

Les erreurs de management qui aggravent le risque

• Afficher le taux de clic par personne après une campagne simulée. L’effet le plus sûr : les salariés cessent de signaler.
• Demander des contournements : « envoie-moi le fichier sur ma boîte perso », « fais le virement, je validerai après ». Chaque exception que la direction s’accorde devient un scénario pour l’escroc qui l’imite.
• Garder des accès ouverts après un départ ou un changement de poste. Un compte oublié est un compte que personne ne surveille.
• Former une fois et considérer le sujet réglé. Les modes opératoires changent : le faux captcha et la fraude au salaire via un compte bancaire ouvert au nom du salarié font partie des pratiques signalées en 2025 par l’ANSSI et Cybermalveillance.gouv.fr.

L’exercice à faire cette semaine

Réunissez en trente minutes la direction, la comptabilité et la personne qui gère l’informatique (salariée ou prestataire).

1. Listez vos trois opérations sensibles : par exemple modifier un RIB fournisseur, faire un virement hors procédure, réinitialiser un mot de passe.
2. Pour chacune, écrivez la vérification obligatoire : qui confirme, par quel canal, avec quel numéro.
3. Jouez un cas : l’un de vous lit à voix haute un faux mail du dirigeant demandant un virement urgent. L’autre dit ce qu’il ferait. Vous verrez vite où la règle n’est pas claire.
4. Vérifiez que l’authentification multifacteur est active sur la messagerie et la banque en ligne de chaque personne présente.

Pour aller plus loin, le dispositif public SensCyber de Cybermalveillance.gouv.fr propose une sensibilisation gratuite en trois modules, utile comme socle commun avant un travail sur vos propres procédures.

C’est ce travail sur des cas réels que propose la formation Intégrer la cybersécurité dans son entreprise : identifier les vulnérabilités de votre organisation, poser les mesures de protection des données et des accès, puis préparer les bonnes pratiques à diffuser aux équipes, avec des exercices pratiques.

Formations liées à cet article

• Intégrer la cybersécurité dans son entreprise (14 h, présentiel ou distanciel)
• Gestion de l’outil informatique (14 h, présentiel ou distanciel)