Les erreurs de sécurité les plus courantes des collaborateurs

Pourquoi les collaborateurs font des erreurs, et pourquoi ce n'est pas une question d'incompétence

Un réflexe courant après un incident consiste à dire que le collaborateur était « inattentif », « n'aurait pas dû cliquer » ou « aurait dû savoir mieux ». Ce cadrage est faux et démontrablement nocif en 2026. Les attaques modernes ne sont plus le prince nigérian avec fautes de frappe. Ce sont des messages parfaitement formulés, en contexte, souvent dans la vraie charte graphique d'un fournisseur ou d'un collègue, qui arrivent au mauvais moment.

Le modèle de comportement de B.J. Fogg aide à voir les vraies causes : une erreur résulte d'une combinaison de motivation, capacité et connaissance. Une collaboratrice finance pressée avec dix mails ouverts, un manager fatigué un vendredi soir, un nouvel arrivant qui cherche encore ses marques dans des systèmes inconnus : tous des gens qui prendraient la bonne décision un jour plus calme. Le problème n'est pas entre les oreilles, il est dans la combinaison de charge, de design et de contexte.

Reconnaître cela change la façon de regarder les erreurs : non comme infractions, mais comme signaux qu'un processus ou une formation ne correspond pas au réel. Une organisation qui cartographie ses erreurs courantes apprend plus vite où renforcer son programme que n'importe quelle analyse de risque.

Les sept erreurs les plus courantes en 2026

Un top sept utilisable, non comme reproche, mais comme carte des points où votre programme mérite attention :

• Cliquer sur un message suspect. Toujours le point d'entrée le plus fréquent. Depuis le phishing généré par IA, même des collaborateurs expérimentés peuvent y tomber, non par inattention mais parce que la demande colle parfaitement à quelque chose qu'ils attendaient.
• Réutiliser des mots de passe. Un mot de passe volé via une fuite privée est essayé immédiatement sur le compte professionnel. Sans gestionnaire de mots de passe, erreur quasi inévitable.
• Approuver une invite MFA inattendue. Le push bombing est routinier en 2026. Un collaborateur qui à quatre heures du matin reçoit une invite et tape à moitié endormi sur « approuver » donne à l'attaquant, qui avait déjà le mot de passe, un accès complet.
• Partager des données au mauvais destinataire. Une pièce jointe avec données clients à la mauvaise Jeanne, un lien Teams partagé externalement par erreur, un document sensible dans un dossier public. Le partage accidentel est une source majeure de fuites et est sous-estimé parce qu'il ne ressemble pas à un « hack ».
• Utiliser du shadow IT et des outils IA non approuvés. Traduire un document via un outil gratuit en ligne ou résumer un rapport confidentiel via un service IA externe, c'est partager sans le savoir des informations sensibles avec un tiers.
• Supprimer un message suspect au lieu de le signaler. L'attaquant profite du silence. Celui qui clique pour fermer une mail dont il doute prive l'équipe sécurité de la chance d'avertir d'autres collègues.
• Laisser des appareils sans surveillance et non verrouillés. Au bureau, dans le train, dans un café. Quelques minutes suffisent pour lire, copier ou emporter des données sensibles.

Comment contexte et charge causent les erreurs

Presque toutes les erreurs du top sept partagent un trait : elles surviennent sous pression. Quelqu'un qui lit une mail calmement repère généralement les signaux. La même personne, dix minutes avant une réunion, l'esprit ailleurs, un client qui appelle, clique sur le même message sans réfléchir. L'attention est rare dans une journée de travail moderne, et les attaquants le savent.

Un deuxième facteur est l'attente sociale. Une demande du « chef », un fournisseur amical connu de longue date, une collègue en difficulté : dans tous ces cas, l'instinct social normal (aider, répondre vite, ne pas poser de questions gênantes) travaille contre le réflexe de sécurité. Ce n'est pas de l'incompétence, c'est de l'humain.

Un troisième facteur est l'absence d'une alternative claire. Celui qui ne sait pas quel comportement est sûr choisit le chemin de la moindre résistance. Formez donc non seulement à ce qui est faux, mais surtout à la bonne alternative : rappel sur un numéro connu, demande sur un autre canal, utilisation du service approuvé.

Pourquoi une culture du blâme aggrave le problème

Quand les erreurs entraînent visibilité, entretiens ou mesures, les collaborateurs apprennent une chose : cacher les erreurs. Celui qui clique par accident puis se fait reprendre par son manager ne signale plus le mail suspect suivant. Et si ce n'était pas du phishing, il aurait attiré l'attention pour rien.

Résultat : une organisation qui paraît sûre sur le papier (faible taux de clic en simulation) mais qui est en réalité aveugle. L'attaquant entre via une vraie mail que personne ne signale et progresse pendant des jours ou des semaines avant que quelqu'un donne l'alerte. Le taux de signalement, pas le taux de clic, est le vrai indicateur de défense.

Règle pratique : une erreur est un moment d'apprentissage, pas une infraction. Celui qui clique reçoit une courte explication et continue. Celui qui signale reçoit un remerciement. Celui qui signale régulièrement est mis en avant comme modèle. Ces trois règles simples transforment la culture en profondeur plus que n'importe quelle formation.

Ce que la formation peut et ne peut pas résoudre

La sensibilisation n'est pas une baguette magique. Ce qu'elle fait : elle réduit le risque pour les erreurs où la reconnaissance aide (phishing, vishing, ingénierie sociale), elle bâtit des routines pour la bonne réaction (vérifier, signaler), elle renforce la culture où signaler va de soi.

Ce qu'elle ne fait pas : elle ne corrige pas les processus structurellement non sûrs (paiement sans règle des quatre yeux), elle ne compense pas une technique manquante (pas de gestionnaire de mots de passe, pas de bouton de signalement dans le client mail), et elle n'efface pas une charge trop forte pour un travail attentif. Miser seulement sur la formation, c'est régler un tiers du problème.

La bonne combinaison est donc triple : technique qui rend l'erreur plus difficile (filtres, MFA, gestionnaire, passkeys), processus qui rattrape l'erreur (règle des quatre yeux, routines de vérification) et sensibilisation qui aide quand technique et processus ne suffisent pas.

Comment ancrer cela dans un programme de sensibilisation

Analysez les erreurs survenues dans votre propre organisation au cours des douze derniers mois. Quels incidents, quel type d'erreur à la racine, quels services reviennent ? Ce motif vous dit mieux où mettre le focus qu'un top sept générique.

Traduisez cette analyse en modules concrets. Une organisation avec beaucoup d'envois au mauvais destinataire a un autre agenda qu'une avec beaucoup de push bombing. Un hôpital a un autre profil d'erreurs qu'une entreprise logistique, une mairie un autre qu'un cabinet d'avocats. Le contenu « tout pour tous » laisse ce potentiel sur la table.

Et enfin : rendez les erreurs visibles comme donnée positive. Une nouvelle disant « ce mois-ci, la finance a signalé rapidement quatre mails suspects dont un véritable cas de fraude au président » apprend plus que dix affiches génériques. Elle confirme que signaler fonctionne et normalise le fait que même des collaborateurs expérimentés rencontrent du suspect. Vous déplacez la conversation de « qui fait des erreurs » vers « comment nous protégeons les uns les autres », ce qui est exactement la direction d'un bon programme.

Articles connexes

• Pourquoi les employés cliquent sur le phishing
• Signaler les incidents sans blâme
• Comment construire une culture de sécurité
• Bonnes pratiques de gestion des mots de passe

Sources

• Verizon Data Breach Investigations Report (DBIR)
• NCSC NL : sensibilisation et facteur humain
• ENISA: Threat Landscape

FAQ

Quelle erreur les collaborateurs commettent-ils le plus ?

Cliquer sur un message suspect reste le point d'entrée le plus fréquent en cas de fuite. En 2026 les e-mails de phishing générés par IA sont si convaincants que même des collaborateurs expérimentés peuvent être pris. Juste derrière : la réutilisation de mots de passe et l'approbation d'invites MFA inattendues.

Un collaborateur qui clique sur du phishing est-il négligent ?

Généralement non. Le phishing moderne joue sur la charge, l'autorité et l'instinct social. Un collaborateur pressé face à une demande crédible ne le détecte pas, non par inattention mais parce que le message ne sort pas comme déviation.

Comment éviter que les collaborateurs cachent leurs erreurs ?

En traitant les erreurs comme moments d'apprentissage, pas comme infractions. Celui qui clique reçoit une courte explication et continue. Celui qui signale reçoit un remerciement. Pas de chiffres individuels aux managers, pas de re-formation obligatoire. Seule voie durable vers une culture de signalement élevée.

Quel rôle jouent la charge et le contexte ?

Un grand rôle. Presque toutes les erreurs courantes surviennent sous pression temporelle ou attention interrompue. Un collaborateur calme repère presque toujours un mail suspect. La même personne avec dix tâches ouvertes clique sans réfléchir.

La sensibilisation résout-elle toutes les erreurs ?

Non. La formation fonctionne pour les erreurs où la reconnaissance aide (phishing, vishing, ingénierie sociale) et pour bâtir des routines de signalement. Elle ne corrige pas les processus non sûrs et ne compense pas une technique manquante. Combinez-la à la technique (MFA, gestionnaire) et au processus (règle des quatre yeux).

Qu'est-ce que partager des données par erreur ?

Une pièce jointe avec données clients au mauvais collègue, un lien Teams partagé publiquement par erreur, un document sensible dans un dossier public. Cela ne ressemble pas à un hack, mais c'est une source majeure de fuites et tombe souvent sous l'obligation de notification RGPD.

Qu'est-ce que le shadow IT et pourquoi est-ce un risque ?

Le shadow IT, c'est l'usage d'outils et de services non approuvés, comme un traducteur en ligne gratuit ou un service IA externe pour résumer un document confidentiel. Le risque : des données sensibles finissent chez un tiers sans que l'organisation en ait le contrôle.