Drift Protocol : 285 millions de dollars volatilisés. Pas de zero-day. Pas de faille smart contract. Pas de brute force. Juste six mois de patience, des sourires en réunion et des signatures obtenues par la confiance. Hims & Hers : des milliers de dossiers médicaux exposés via un agent de support trompé par un appel téléphonique. Die Linke : un parti politique du Bundestag mis à genoux par Qilin, avec 1,5 téraoctet de données internes exfiltrées. Point commun entre ces trois incidents d'avril 2026 : le vecteur d'attaque n'est pas technique, il est humain. Et tant que les organisations continueront à investir 90 % de leur budget cyber dans des outils et 10 % dans la formation de leurs équipes, ces scénarios se répèteront à l'identique, trimestre après trimestre, avec des montants toujours plus vertigineux.

Le pare-feu humain n'existe pas encore

Soyons honnêtes : la plupart des programmes de sensibilisation cyber sont une farce. Un quiz annuel de 20 minutes, un faux phishing envoyé une fois par trimestre, et on coche la case « awareness » dans le registre de conformité. Pendant ce temps, les attaquants DPRK passent six mois à construire des relations personnelles avec leurs cibles, déposent un million de dollars de leurs propres fonds pour paraître légitimes, et envoient des intermédiaires en chair et en os à des conférences. Ce n'est plus du phishing — c'est du renseignement humain de niveau étatique appliqué au secteur privé.

Le problème n'est pas que les employés sont « bêtes » ou « négligents ». Le problème est que les kill chains modernes exploitent des mécanismes psychologiques fondamentaux : la réciprocité, l'autorité perçue, l'urgence fabriquée, la preuve sociale. Un signataire multisig qui voit un partenaire de confiance depuis quatre mois lui demander une pré-autorisation « de routine » n'a aucune raison rationnelle de refuser. Le système est conçu pour que la confiance fonctionne — et c'est exactement ce que les attaquants exploitent.

Le budget cyber est à l'envers

En 2025, le marché mondial de la cybersécurité a atteint 200 milliards de dollars. La part consacrée à la formation et à la sensibilisation des collaborateurs ? Environ 5 milliards, soit 2,5 %. Le reste va dans des firewalls next-gen, des EDR, des SIEM, des SOAR, du XDR, du CNAPP et une soupe d'acronymes qui ne protègent contre rien quand l'attaquant entre par la porte d'entrée avec un badge visiteur et une poignée de main chaleureuse.

Je ne dis pas que ces outils sont inutiles. Je dis qu'ils sont nécessaires mais radicalement insuffisants. Les organisations qui ont été compromises par ingénierie sociale ces derniers mois avaient toutes des stacks de sécurité de plusieurs millions de dollars. Drift avait des audits de smart contracts. Hims & Hers utilisait une plateforme de support professionnelle. Die Linke avait probablement un antivirus. Ce qui leur manquait, c'est un processus de vérification humain robuste pour les demandes sensibles — et la culture organisationnelle pour l'appliquer même quand « ça ralentit les choses ». Les entreprises qui réalisent des audits de sécurité réguliers intègrent de plus en plus cette dimension humaine.

Ce qu'il faut changer concrètement

Premièrement, arrêtons les formations génériques. Un RSSI n'a pas les mêmes risques qu'un développeur ou qu'un responsable financier. La formation doit être spécifique au rôle, basée sur des scénarios réels issus de la threat intelligence, et pratiquée régulièrement — pas une fois par an. Deuxièmement, implémentons des procédures de vérification out-of-band pour toute action sensible. Un virement, une modification de droits, une pré-autorisation multisig : chaque action critique doit être confirmée par un canal distinct de celui par lequel la demande est arrivée.

Troisièmement, intégrons le red teaming social dans les programmes de test d'intrusion. Un pentest réseau qui ne teste pas l'ingénierie sociale ne teste que la moitié de la surface d'attaque. Quatrièmement, acceptons que la confiance zéro (zero trust) ne concerne pas seulement le réseau — elle concerne aussi les relations humaines au sein de l'organisation. Chaque demande sensible doit être vérifiable indépendamment, quelle que soit la relation de confiance avec le demandeur. Les cadres réglementaires comme NIS 2 commencent d'ailleurs à l'exiger.

Mon avis d'expert

En vingt ans de terrain, je n'ai jamais vu autant de méga-brèches causées par l'ingénierie sociale qu'en ce premier trimestre 2026. Et la tendance va s'accélérer : les outils d'IA générative permettent désormais de créer des prétextes hyper-personnalisés à grande échelle. La solution n'est pas technique — elle est organisationnelle et culturelle. Les organisations qui survivront sont celles qui traiteront la résilience humaine avec le même sérieux que leur infrastructure technique. Celles qui continueront à empiler des appliances en ignorant le facteur humain paieront la facture, littéralement.

Conclusion

Les trois incidents majeurs de cette semaine racontent la même histoire : des organisations techniquement bien protégées, compromises par des humains qui faisaient confiance à d'autres humains. La cybersécurité en 2026, ce n'est plus seulement un problème de patches et de configurations — c'est un problème de processus, de culture et de vigilance quotidienne. Il est temps de rééquilibrer les budgets et les priorités en conséquence.

Besoin d'un regard expert sur votre sécurité ?

Discutons de votre contexte spécifique — y compris la dimension humaine de votre posture de sécurité.

Prendre contact