L'état des risques pour l'humanité en 2026 : quelle est la valeur de vos données ?

Le risque interne n'est pas une menace vague et lointaine. Il s'agit d'une force bien réelle et mesurable qui façonne aujourd'hui le paysage de la sécurité des organisations. Les données de Mimecast ont d'ailleurs montré qu'il ne faut même pas un grand nombre de personnes pour que les risques liés aux acteurs internes aient des conséquences catastrophiques. En réalité, seuls 8% des employés sont à l'origine de 80% des incidents de sécurité au sein d'une entreprise. 

La forte concentration des risques au sein d'une cohorte aussi restreinte témoigne d'un grave déséquilibre. Que ces incidents soient involontaires ou non, les organisations sont confrontées à des fuites et à des violations de données qui leur coûtent cher. Le rapport « The State of Human Risk 2026 », qui vient d'être publié par Mimecast, révèle que, au cours des deux dernières années, les menaces internes malveillantes sont devenues une préoccupation croissante pour les responsables informatiques, avec une augmentation de près de 10%. Mais qu'entend-on par « malveillant » ? 

Il est utile d'aborder cette question en distinguant deux catégories distinctes. Il s'agit tout d'abord des acteurs étatiques, qui sont sophistiqués, difficiles à détecter et à neutraliser avant qu'ils ne constituent une menace sérieuse. Le deuxième facteur concerne les salariés mécontents, un problème plus facile à détecter et à gérer, à condition d'être repéré à temps. Le mécontentement comporte en soi trois éléments caractéristiques : une personne doit ressentir de la colère, se sentir victime et attribuer la responsabilité à autrui, ce qui revient essentiellement à croire que « c’est vous qui m’avez fait cela ». Cette réclamation peut être adressée à une organisation ou à une personne en particulier. Le point de basculement décisif correspond à ce que l'on appelle une réaction inadaptée, c'est-à-dire une réaction disproportionnée face à une offense perçue, qu'elle se traduise par une correction excessive ou par un repli sur soi, de la part de l'individu ou de l'organisation qui l'entoure.

Qu'est-ce qui pousse les employés à divulguer des informations qu'ils ne sont pas censés divulguer ? En février 2026, Mimecast a mené une enquête auprès de 1 000 adultes américains afin d'approfondir la réponse à cette question. Nos données ont mis en évidence certaines différences générationnelles intéressantes, notamment concernant les personnes avec lesquelles ils seraient prêts à partager des informations et les données dont ils estiment être véritablement propriétaires. 

Les risques liés aux initiés ont un coût considérable

Les résultats de notre enquête auprès des consommateurs montrent que 15 % des salariés ont délibérément divulgué des informations confidentielles en dehors de leur entreprise. À première vue, ce chiffre peut ne pas paraître très élevé. 

Mais pensez aux enjeux financiers. Le rapport « The State of Human Risk 2026 » a révélé qu'un single incident causé par un initié entraîne un coût estimé à 13,1 millions de dollars. Même une seule personne, sans parler de 15 % des salariés, peut entraîner une catastrophe se chiffrant en millions de dollars. Ce n'est pas une erreur d'arrondi. Il s'agit là d'un risque existentiel pour de nombreuses organisations.

Qui demande aux employés de lui fournir des données de l'entreprise ? 

Environ un répondant sur cinq (21 %) a admis avoir été approché par une personne ou un groupe extérieur lui demandant de divulguer des informations non publiques concernant son entreprise. Parmi ce groupe de personnes interrogées, voici la répartition des expéditeurs de ces demandes :

• Concurrent – 9 %
• Ancien collègue – 8 %
• Collègue actuel – 8 %
• Fournisseur ou partenaire tiers – 8 %
• Recruteur – 7 %
• Personne anonyme – 6 %
• Une personne prétendant représenter un gouvernement – 5 %
• Journaliste – 4 %
• Chargé(e) du développement commercial – 3 % 

Ce qui frappe ici, c'est la diversité des sources. Les menaces ne proviennent pas uniquement d'acteurs externes obscurs, mais aussi de recruteurs, de collègues et de partenaires qui font déjà partie du réseau de confiance d'une organisation. À mesure que les données ne cessent de croître et d'évoluer, les organisations doivent aller au-delà des défenses périmétriques et s'orienter vers une surveillance comportementale continue.  

Le risque lié aux délits d'initiés est plus élevé chez les tranches d'âge les plus jeunes 

Parmi les personnes interrogées appartenant à la génération Y et à la génération Z, on constate un nombre plus élevé de personnes à qui l'on a demandé de communiquer des données de l'entreprise et qui ont accepté de partager volontairement les informations sollicitées.

Il ne s'agit pas simplement d'une tendance comportementale : cela reflète une réalité économique de plus en plus présente. Les employés de la génération Z, en particulier, sont devenus des cibles de choix dans le cadre de l'économie en pleine expansion du « insider-as-a-service », où des acteurs malveillants « louent » en quelque sorte un employé qui peut ensuite monétiser son accès ou mettre en œuvre des départs de type « terre brûlée ». Considérez cela comme une forme de cybercriminalité s'inscrivant dans l'économie des petits boulots : des barrières à l'entrée moins élevées, des gains potentiels plus importants pour les attaquants.

Face à la menace d'une augmentation des licenciements et à l'instabilité économique persistante, les jeunes salariés peuvent souvent se montrer plus motivés pour trouver une stratégie de survie. Les organisations doivent en tenir compte dans leur approche des cadres de sécurité.

Enrichir vos [données] : les informations sur l'entreprise que les salariés jugent les plus utiles à emporter avec eux

Dans notre enquête auprès des consommateurs, nous avons posé la question suivante aux personnes interrogées : « Si vous deviez quitter votre emploi (de votre plein gré ou non), quelle valeur accorderiez-vous aux types de données suivants ? » 

Les principales catégories révèlent une tendance révélatrice : les employés sont surtout attirés par les données qui leur confèrent un avantage concurrentiel personnel ou qui pourraient leur servir de levier. Le fait que les « informations susceptibles de nuire à l'employeur » figurent parmi les cinq principales préoccupations devrait servir de signal d'alarme pour les organisations comptant des salariés désengagés ou à risque. 

Comprendre les aspects psychologiques liés au risque interne

La question la plus importante que les organisations devraient se poser n'est pas « "» : « Comment sécuriser nos données ? »" C'est ": qu'est-ce qui motive les employés à partager ou à consulter ce contenu ?" 

Chaque génération, chaque individu, peut avoir une conception différente de ce qui est ou n'est pas approprié. Sachez que des générations entières ont grandi sur des réseaux sociaux qui encouragent activement le partage d'informations personnelles en offrant des « j'aime », des abonnés et une reconnaissance. Tout comme les ceintures de sécurité étaient autrefois considérées comme inutiles, voire gênantes, avant de devenir une évidence, ce n'est que maintenant que nous commençons à instaurer une culture favorisant des habitudes numériques plus sûres. Si les gens avaient compris plus tôt les risques liés au fait de diffuser leur vie en ligne, auraient-ils fait des choix différents concernant leur empreinte numérique ? Cette question dépasse le cadre personnel, car les habitudes que les salariés prennent dans leur vie publique ne se limitent pas à ce cadre. 

Ce même instinct qui pousse à partager librement sur Internet peut se répercuter directement sur le lieu de travail, brouillant ainsi les limites quant à ce qu'il est jugé sûr de transmettre. Et, par une cruelle ironie du sort, l'image publique qu'une personne s'est forgée au fil des années sur Internet est peut-être précisément ce qui en a fait une cible au départ. 

Qu'est-ce qui incite les gens à partager des informations sur leur entreprise ?

En matière d'incitations, il existe des offres et des récompenses très claires qui motivent les salariés à partager ou à extraire des données en dehors de leur entreprise.

• 39 % d'entre vous affirment qu'une prime en espèces est ce qui les motive le plus
• 28 % déclarent qu'ils le feraient pour rendre service à un ancien collègue
• 25 % d'entre vous partageraient des informations si cela pouvait déboucher sur une nouvelle opportunité d'emploi ou une recommandation

D'un point de vue générationnel, le contraste est saisissant : 

Les jeunes employés sont principalement motivés par les avantages financiers, tandis que les baby-boomers sont plus enclins à agir par loyauté envers leurs anciens collègues.  Mais voici une chose que les professionnels du renseignement ont compris depuis longtemps : ce n'est jamais vraiment une question d'argent. Ce qui importe, c'est ce que cet argent représente. Pour certains, cela signifie la liberté ; pour d'autres, la sécurité, la stabilité ou la reconnaissance. Comprendre ce à quoi une personne aspire véritablement est bien plus révélateur que ses motivations superficielles.

C'est pourquoi un message single de sensibilisation à la sécurité ne trouvera jamais d'écho auprès de toutes les tranches d'âge. Les organisations ont besoin de stratégies sur mesure qui répondent à des besoins humains plus profonds, et non pas simplement à des stéréotypes générationnels. Tout commence par la culture d'entreprise : attirer des personnes qui partagent vos valeurs, communiquer ces valeurs de manière cohérente et définir clairement les conséquences d'un comportement qui s'en écarte. La plupart des gens sont globalement bienveillants, mais le stress et l'incertitude modifient leur comportement de manière prévisible. Le problème, c'est que la plupart des gens n'ont jamais appris à gérer l'incertitude. Comme toute compétence, cela s'apprend, mais cette mémoire musculaire ne s'acquiert pas du jour au lendemain. 

Les situations qui incitent les salariés à partager ou à obtenir des informations 

La protection de soi et la préservation de ses intérêts semblent être les principaux facteurs qui poussent les salariés à partager ou à obtenir des informations sur l'entreprise. Mais appelons cela plus clairement : il s'agit d'un comportement de survie. Lorsque les gens ont le sentiment que leur subsistance, leur réputation ou leur avenir sont menacés, ils se comportent moins comme des collaborateurs fidèles et davantage comme des civils pris au piège dans une zone de conflit, où la confiance s'effrite et où chacun finit par ne penser qu'à ses propres intérêts. Les données reflètent exactement cela :

• 54 % d'entre eux sont plutôt ou très susceptibles de divulguer ou de détourner des informations de l'entreprise afin de se protéger et de préserver leur carrière
• 45 % d'entre eux déclarent que s'ils n'appréciaient pas la direction ou l'orientation de leur entreprise, ils seraient susceptibles d'agir ainsi
• 41 % d'entre vous seraient susceptibles de recueillir ou de diffuser des informations s'ils pensaient qu'un plan de licenciement était imminent, que leur emploi était menacé ou qu'ils rencontraient des difficultés financières
• 40 % d'entre eux seraient plutôt ou tout à fait enclins à le faire s'ils n'appréciaient pas leur supérieur
• 38 % déclarent que si leur entreprise était rachetée ou s'ils avaient déjà l'intention de partir, ils seraient susceptibles de divulguer ou de transmettre des informations

Le fil conducteur de tous ces scénarios, ce sont les émotions : la peur, la frustration et l'inquiétude financière. Les entreprises qui ne tiennent pas compte des aspects psychologiques et émotionnels expliquant pourquoi leurs collaborateurs adoptent ce type de comportement passent à côté d'un élément essentiel qui devrait être au cœur de leurs stratégies de sécurité. 

Le risque interne exige une nouvelle stratégie de sécurité 

Ces données montrent très clairement une chose : l'exposition au risque lié aux initiés n'est pas répartie de manière homogène, pas plus que les motivations qui la sous-tendent. Une approche de sécurité « universelle » passera à côté de l'objectif, et cet objectif ne consiste pas à éliminer les menaces. Tout comme les risques opérationnels, financiers ou de réputation, le risque lié aux initiés ne peut être totalement éliminé. Cela peut toutefois être géré, et bien géré, dans le cadre d'une stratégie d'entreprise solide.

Les organisations doivent s'orienter vers des stratégies adaptatives et centrées sur l'humain, qui associent l'analyse comportementale, des formations ciblées et un suivi en temps réel afin de détecter les risques à un stade précoce. Cela implique de déterminer qui, au sein de votre organisation, est le plus vulnérable, ce qui pourrait les inciter à agir, et à quel moment le risque est le plus élevé. Les licenciements, les acquisitions et les changements à la tête de l'entreprise constituent autant de tournants qu'il convient de suivre de près. 

Le risque ne disparaît pas pour autant lorsqu'un salarié se déconnecte ou quitte les locaux. Chaque compte de service laissé actif, chaque clé API qui n'a jamais été renouvelée, chaque agent IA déployé avec des autorisations excessives constitue une source de risque humain qui perdure bien au-delà de la vie de la personne qui l'a créé. Les organisations qui prennent au sérieux les risques liés aux initiés doivent tenir compte non seulement de ce que font leurs collaborateurs, mais aussi de ce qu’ils laissent derrière eux.

Lutter contre les risques liés aux initiés n'est pas seulement une stratégie commerciale judicieuse, c'est aussi la bonne chose à faire pour les personnes qui accordent chaque jour leur confiance à votre organisation. Les organisations qui adopteront cette approche, en investissant à parts égales dans la culture d'entreprise, la communication et le suivi continu, seront bien mieux à même d'atténuer l'impact avant que le mal ne soit fait.

Êtes-vous prêt(e) à poursuivre la conversation ? Téléchargez le rapport « The State of Human Risk 2026 » pour accéder à l'ensemble complet des données et à des recommandations concrètes pour votre stratégie de sécurité.