L'état des risques liés au facteur humain en 2026 : quand des collaborateurs de confiance deviennent une menace

Il est 17 h 47, un vendredi. Un analyste financier — en qui l'on a confiance, titulaire d'un poste permanent et disposant d'un accès privilégié à vos systèmes les plus sensibles — télécharge 10 gigaoctets de données confidentielles relatives aux fusions-acquisitions sur un espace de stockage personnel dans le cloud. Lundi matin, elle avait déjà remis sa démission. Dès mercredi, ces données se retrouvent entre les mains d'un concurrent. Aucun pare-feu n'a été contourné. Aucune vulnérabilité n'a été exploitée. Pendant six ans, cette menace franchissait chaque matin la porte d'entrée.

Ce n'est pas une hypothèse. C'est la nouvelle normalité.

Les acteurs internes malveillants ont atteint un niveau équivalent

Pour la première fois dans l'histoire de la cybersécurité, les menaces internes intentionnelles ont rattrapé les menaces accidentelles. D'après les données recueillies par Mimecast dans le cadre de nos recherches pour le rapport « The State of Human Risk 2026 », les incidents malveillants commis par des initiés représentent désormais 42% de l'ensemble des incidents impliquant des initiés, soit autant que ceux causés par négligence. Ce n'est pas une erreur d'arrondi. Il s'agit d'un changement fondamental dans le paysage des menaces.

La proportion d'organisations signalant une augmentation des activités malveillantes commises par des initiés est passée de 35 % en 2024 à 44 % en 2026, soit une hausse de 26 % en seulement deux ans. Il ne s'agit pas d'un pic passager. Il s'agit d'un changement structurel dans la manière dont les personnes ayant accès aux données interagissent avec celles qu'elles sont chargées de protéger.

Et le coût est astronomique. Les entreprises signalent désormais en moyenne six incidents liés à des personnes internes par mois, pour un coût mensuel cumulé de 13,1 millions de dollars.

L'économie de la trahison

Qu'est-ce qui explique cette forte hausse ? Les pressions financières — licenciements, stagnation des salaires, hausse du coût de la vie — ont rendu les salariés plus enclins à accepter des offres d'emploi extérieures. Mais le changement le plus significatif est d'ordre structurel : les cybercriminels ont industrialisé le recrutement d'initiés.

Bienvenue dans l'ère de l'« insider-as-a-service ».

Sur les places de marché du dark web, les cybercriminels recrutent activement des employés au sein des organisations ciblées, en leur proposant des paiements en espèces en échange d'identifiants, d'un accès aux données ou de l'installation de malware. Plutôt que de passer des semaines à rechercher des failles dans un réseau, les pirates se contentent d'engager une personne qui dispose déjà des clés d'accès.

Ces publicités ciblent les employés de certaines entreprises et leur proposent des milliers de dollars en échange d'actions qui ne prennent que quelques minutes : exporter une base de données clients, partager des identifiants VPN ou désactiver un dispositif de sécurité. Ce modèle inverse la chaîne d'attaque traditionnelle. Au lieu de franchir le périmètre et de se déplacer latéralement, les attaquants s'appuient d'emblée sur un initié de confiance qui sait déjà où sont stockés les « joyaux de la couronne ». C'est plus rapide, moins cher et bien plus difficile à détecter.

Le déficit de détection

Bien que 66 % des entreprises s'attendent à une augmentation des menaces internes, seules 59 % d'entre elles ont mis en place l'analyse comportementale, la technologie la mieux adaptée pour détecter les activités malveillantes menées par des initiés avant que les données ne quittent l'entreprise.

La sécurité périmétrique traditionnelle a été conçue pour empêcher les attaquants extérieurs de pénétrer dans le système. Il n'a jamais été conçu pour surveiller les personnes qui se trouvent déjà à l'intérieur. Les politiques statiques de prévention des pertes de données permettent certes de détecter les erreurs dues à la négligence, mais elles s'avèrent largement inefficaces face à un employé qui connaît les règles et sait comment les contourner.

Les initiés malveillants savent s'adapter. Ils testent les limites. Ils utilisent des outils homologués de manière non conforme. Ils transfèrent les données par petits incréments afin de ne pas déclencher les seuils. Pour détecter cela, il faut comprendre les schémas de comportement au fil du temps, et non pas se contenter d'appliquer des règles à single point de contact.

De la détection à la prévention

Les programmes de gestion des risques liés aux initiés les plus efficaces passent d'une approche d'enquête réactive à une approche de détection proactive, en s'appuyant sur des indices comportementaux pour identifier les risques avant qu'ils ne se concrétisent.

Concrètement, cela se traduit par une évaluation des risques en fonction du contexte, qui prend en compte simultanément des dizaines de variables : quel fichier a été consulté, quand, depuis quel endroit, par qui et où il a été envoyé. Un collaborateur qui télécharge un fichier sensible à 2 heures du matin à partir d'un appareil non identifié génère un signal de risque très différent de celui émis par ce même collaborateur lorsqu'il accède à ce fichier pendant les heures de travail à partir d'un ordinateur portable de l'entreprise.

Cette analyse contextuelle permet aux équipes de sécurité d'adopter une réponse adaptée à la situation, qu'il s'agisse d'une simple mise en garde à caractère pédagogique, d'une mesure de confinement en temps réel ou d'une escalade immédiate.

Mettre en place un programme solide de gestion des risques liés aux initiés

La technologie à elle seule ne suffit pas. Les programmes les plus résilients associent les services des ressources humaines, du service juridique, de l'informatique et de la sécurité, car le risque interne ne se limite pas à un single service.

La protection de la vie privée doit être intégrée dès la conception. Une surveillance efficace repose sur des métadonnées légères — les schémas de déplacement des fichiers, les anomalies de connexion, la fréquence d'accès — et non sur une surveillance intrusive de chaque frappe au clavier. Les organisations qui parviennent à trouver le juste équilibre mettent en place des programmes auxquels les salariés peuvent faire confiance, tout en protégeant l'organisation contre les salariés qui ne sont pas dignes de confiance.

Le délai touche à sa fin

Les deux tiers des entreprises s'attendent à ce que les menaces internes continuent d'augmenter. L'économie du « insider-as-a-service » ne cesse de se perfectionner.

Les organisations qui sauront s'adapter à cette évolution sont celles qui agissent dès maintenant : en déployant des outils d'analyse comportementale capables de détecter des tendances subtiles d'intention, en harmonisant les signaux provenant des e-mails, des terminaux, des systèmes d'identité et des plateformes de collaboration, et en mettant en place des cadres de réponse suffisamment rapides pour agir avant que les données ne soient perdues.

La menace interne n'est pas un problème futur. Il s'agit d'une crise actuelle qui creuse un fossé de plus en plus grand entre ceux qui y sont préparés et ceux qui ne le sont pas.

Découvrez comment Mimecast Incydr détecte, hiérarchise et traite automatiquement les risques liés aux acteurs internes, sans qu'il soit nécessaire de configurer des règles ni d'altérer les performances des terminaux. Demandez votre période d'essai Incydr de 30 jours.