Nous avons constaté cette tension centrale dans Oh, Behave! Le rapport annuel sur les attitudes et comportements en matière de cybersécurité 2026-2027, de la National Cybersecurity Alliance (NCA) et CybSafe. Ce sixième rapport annuel a interrogé 5 000 adultes aux États-Unis, au Royaume-Uni, en Inde, au Brésil et à Singapour entre le 28 avril et le 19 mai 2026.

À bien des égards, les résultats sont encourageants ! La plupart des personnes interrogées (83 %) ont déclaré que la sécurité numérique est une priorité absolue, et 70 % pensent qu'il est possible de rester en sécurité en ligne.

Cependant, ces attitudes ne se traduisent pas toujours dans les habitudes des gens. La moitié des personnes interrogées ont déjà été victimes d'une escroquerie. Des personnes qui savent comment créer des mots de passe forts continuent d'en utiliser de prévisibles ! Plus de la moitié n'utilisent pas régulièrement l'authentification multifacteur (MFA). Et à mesure que l'IA s'intègre dans la vie quotidienne, les gens partagent des informations sensibles.

En d'autres termes, le problème de la cybersécurité ne vient pas simplement du fait que les gens n'en savent pas assez. C'est que savoir ne suffit pas toujours.

Le fossé entre le savoir et l'action est bien réel 

En ce qui concerne les mots de passe, 73 % des personnes interrogées affirment savoir comment en créer un fort. Pourtant, 46 % utilisent encore des mots du dictionnaire, tandis que 38 % intègrent des informations personnelles dans leurs mots de passe. Pour ce qui est de la gestion de ces mots de passe, la commodité reste reine. Les gens sont plus de deux fois plus enclins à noter leurs mots de passe dans un carnet papier (28 %) ou à se fier à leur mémoire (23 %) qu'à utiliser un gestionnaire de mots de passe (11 %). 

Pour la MFA, c'est une histoire similaire. La plupart des personnes interrogées (53 %) n'utilisent pas régulièrement la MFA. Parmi elles, 21 % savent comment l'utiliser et choisissent simplement de ne pas le faire ! 

Ce qu'il faut en retenir, c'est que de nombreuses personnes connaissent les meilleures pratiques ! Mais le fossé se situe entre le fait de savoir quoi faire et le fait de faire systématiquement le choix le plus sûr. 

C'est important car cela signifie que les efforts de sensibilisation ont leurs limites. Dire aux gens que la MFA est importante ne fait pas nécessairement de la MFA le choix le plus simple. Expliquer la sécurité des mots de passe ne permet pas de surmonter automatiquement la commodité de réutiliser un mot de passe familier. 

Comment l'IA change la donne

L'essor de l'IA grand public et des grands modèles de langage (LLM) complique le fossé entre le savoir et l'action. Quatre personnes interrogées sur cinq utilisent désormais des outils d'IA, et 44 % les utilisent à la fois dans leur vie professionnelle et personnelle. L'IA n'est plus quelque chose que les gens rencontrent occasionnellement ou exclusivement au travail. Pour beaucoup, elle fait partie de la routine quotidienne.

Les conseils et la formation n'ont cependant pas suivi le rythme de l'adoption. Cinquante-six pour cent des utilisateurs d'IA n'ont reçu aucune formation sur la sécurité ou la confidentialité liée aux outils qu'ils utilisent.

Près d'un tiers (32 %) des employés qui utilisent l'IA au travail déclarent avoir partagé des informations professionnelles sensibles avec un outil d'IA à l'insu de leur employeur. Les informations les plus souvent partagées comprennent des documents internes, des données clients et des données financières.

Nous avons également découvert que les gens traitent de plus en plus les outils d'IA comme des confidents – 18 % des personnes interrogées déclarent avoir confié un secret à un chatbot d'IA qu'elles n'avaient jamais révélé à personne d'autre. De plus, 40 % ont partagé des informations de santé, tandis que 32 % ont partagé des sentiments personnels.

Mais les gens s'inquiètent également des risques : plus de 2 personnes sur 3 disent craindre les escroqueries basées sur l'IA. Cette contradiction est importante : les gens reconnaissent que l'IA engendre des risques tout en confiant à ces outils des informations hautement sensibles.

La solution ne consiste pas simplement à dire aux gens d'arrêter d'utiliser l'IA, mais à les guider sur ce qu'il convient de partager ou non, et sur la manière d'utiliser ces outils en toute sécurité.

La cybercriminalité n'est plus une hypothèse pour beaucoup d'entre nous 

Pour la moitié des personnes interrogées, les conséquences d'un mauvais comportement en matière de cybersécurité ne sont pas théoriques ; elles ont déclaré avoir déjà été victimes d'une escroquerie. 

Le phishing était le type d'incident le plus courant, représentant 16 % des incidents signalés. Les fausses offres d'emploi, l'usurpation d'identité et les escroqueries sur les plateformes de vente en ligne figurent également en bonne place.  

Pourtant, l'inquiétude face à la cybercriminalité ne se traduit pas toujours par un sentiment de vulnérabilité personnelle. Aux États-Unis, 66 % des adultes craignent d'être victimes de cybercriminalité, mais seulement 37 % pensent que cela leur arrivera réellement. 

Il semble s'agir d'une autre facette du fossé entre le savoir et l'action. Il est plus facile de prendre un risque lorsque les conséquences semblent abstraites, même si nous savons qu'elles sont bien réelles. 

De plus en plus, ces risques impliquent des escroqueries assistées par l'IA. Plus d'un tiers des personnes interrogées déclarent avoir reçu un appel téléphonique ou vidéo deepfake. Parmi elles, 40 % affirment avoir perdu de l'argent ou des données à la suite de cela. 

L'éducation doit évoluer avec les menaces. On ne demande plus seulement aux gens de reconnaître les e-mails suspects ; ils doivent également se demander si une voix ou une vidéo familière est authentique. 

La formation est une bonne défense… quand les gens y ont accès

Nous avons constaté que la formation en cybersécurité semble faire la différence. Une grande majorité (88 %) des personnes interrogées ayant suivi une formation en cybersécurité l'ont jugée utile. Parmi celles qui ont reçu une formation, 54 % ont réussi à mieux repérer le phishing, 49 % ont configuré la MFA et 46 % ont adopté un gestionnaire de mots de passe.

Mais l'accès reste un défi, d'autant plus que de nombreux programmes de formation en sécurité sont liés au milieu professionnel. Moins de la moitié des personnes employées dans le monde (47 %) reçoivent une formation obligatoire en cybersécurité. Aux États-Unis, 55 % des adultes actifs signalent que leur entreprise n'exige pas une telle formation.

Même lorsque la formation est disponible, les gens n'y participent pas toujours. Comme on pouvait s'y attendre, la raison la plus courante pour ignorer la formation est le manque de temps (21 %), suivie par la conviction d'en savoir déjà assez (19 %). Cela suggère que les équipes de sécurité doivent franchir deux obstacles de taille : rendre la formation efficace et rapide, et donner envie aux gens de la suivre.

Les formations annuelles longues et génériques auront du mal à capter l'attention. Des approches plus courtes, plus pertinentes et interactives ont de meilleures chances d'aller à la rencontre des gens là où ils se trouvent.

Les employeurs jouent un rôle important dans cet écosystème. Des politiques claires sont primordiales. Une formation pratique qui explique non seulement ce que les employés ne doivent pas faire, mais aussi ce qu'ils peuvent faire en toute sécurité, est essentielle. Comment pouvons-nous tous faciliter les comportements sécurisés ?

Transformer la sensibilisation en habitudes simples

Les conclusions d'Oh, Behave! ne décrivent pas des personnes qui ne se soucient pas de la cybersécurité. C'est en fait tout le contraire. Mais le défi consiste à transformer cette sensibilisation en habitudes.

Nous pensons que cela implique de concevoir la sécurité autour du comportement humain réel plutôt que d'attendre des gens qu'ils agissent comme des manuels scolaires. Réfléchissons à la manière de rendre les produits et les plateformes sécurisés dès la conception. Comment pouvons-nous réduire la dépendance à la MFA et aux gestionnaires de mots de passe ? Et comment proposer une formation efficace que les gens ont le temps de suivre et qui suscite leur intérêt ?

Plus important encore, nous pensons que ce rapport nous montre que les individus ne sont pas le maillon faible de la cybersécurité, car ce sont eux qui, en fin de compte, doivent faire fonctionner la sécurité !

Lisez le rapport Oh, Behave! 2026, et si vous souhaitez plus de ressources de sécurité, inscrivez-vous à notre newsletter gratuite par e-mail !