Mythes en cybersécurité : sept questions pour notre équipe de sécurité

Octobre, c’est le Mois de la cybersécurité, une campagne mondiale qui a un rôle simple : aider les gens à prendre quelques habitudes qui les rendent vraiment plus en sécurité en ligne. Les conseils changent rarement ; mettez les logiciels à jour, cessez de réutiliser les mots de passe, réfléchissez avant de cliquer. Le plus difficile, c’est que beaucoup d’entre nous pensent déjà le faire.

Nous portons tous un mythe ou deux en cybersécurité. En octobre dernier, nous avons demandé à la communauté quels mythes en cybersécurité vous agacent le plus. Ceux que les gens récitent sans réfléchir ont rempli la liste : une entreprise trop petite pour qu’on prenne la peine de la pirater, un anti-maliciel comme stratégie déjà terminée, un expéditeur connu comme preuve qu’un courriel est sûr, un VPN comme confidentialité totale.

Cette année, nous avons demandé aux collègues quels mythes en cybersécurité ils entendent encore, ou auxquels ils croient encore à moitié. Nous avons recueilli ces réponses et en avons choisi sept pour David Grandolfo, coordonnateur en sécurité défensive. Chaque section ci-dessous garde le mythe dans les mots qui nous sont arrivés. Ses réponses sont dans les encadrés, à part des questions.

Un mot de passe complexe suffit

Les conseils sur les mots de passe ont passé des années sur la même leçon : plus c’est long, mieux c’est, les symboles valent mieux, et un mot de passe que personne ne pourrait mémoriser est un mot de passe que personne ne pourrait deviner. Plusieurs collègues ont décrit cette leçon comme un mythe qu’ils entendent encore, ou auquel ils croyaient.

Un mot de passe de 50 caractères, avec des lettres, des chiffres et des caractères spéciaux, me rend intouchable.

Un mot de passe très complexe suffit, à lui seul, à protéger mon compte.

Longtemps, quand j’étais plus jeune et plus naïf, je pensais qu’un mot de passe très complexe était tout ce dont mes comptes avaient besoin.

Une phrase de passe est plus sûre qu’un seul mot bourré de caractères spéciaux.

Les trois premiers traitent la complexité comme toute la défense. L’un d’eux est présenté comme une ancienne croyance, du genre qui semble évidente jusqu’à ce qu’elle ne le soit plus. Le quatrième discute de la forme du mot de passe, une phrase plutôt qu’un mot bourré de symboles, et place encore le mot de passe lui-même au centre.

La question pour notre équipe de sécurité : un mot de passe très complexe, ou une phrase de passe, protège-t-il un compte à lui seul ?

Non. Un mot de passe complexe, ou une phrase de passe aléatoire, ne protège pas un compte à lui seul. La suite est prévisible. L’authentification multifacteur ne protège pas non plus un compte à elle seule, et c’est vrai bien au-delà d’un code SMS de base, plus facile à intercepter pour un attaquant.

Il existe plusieurs techniques d’attaque, et l’une d’elles est le password spraying. Un mot de passe complexe réduit ce type d’attaque, ou l’empêche même de découvrir votre mot de passe. En 2026, toutefois, les attaquants capturent le mot de passe. C’est pourquoi l’hameçonnage (vous demander de remplir un formulaire avec votre compte et votre mot de passe) est l’une des stratégies les plus populaires. Une fois que l’attaquant vous a fait entrer le mot de passe, la longueur n’a plus d’importance. Il l’a, et il connaît votre pays. Il ouvre alors un VPN dans votre pays, pour contourner les contrôles de sécurité de Microsoft, et il colle simplement votre mot de passe.

L’authentification multifacteur ne vous protège pas entièrement pour la même raison. Durant la même technique, les attaquants plus solides vont plus loin. Ils vous demandent de vous connecter « normalement » sur le site de Microsoft, puis capturent votre jeton de session. Ce jeton peut nommer le compte, souvent votre courriel, et il indique que l’invite d’authentification multifacteur a déjà réussi. Il ne contient pas votre mot de passe. Le rejouer leur permet d’agir à votre place tant que la session reste valide, et seulement dans ce que ce compte a le droit d’ouvrir. Un mot de passe long et complexe aide. Ajoutez l’authentification multifacteur. Plus important encore, faites attention à l’endroit où vous entrez vos informations.

Nous allons tous nous faire prendre

Quelques collègues ont décrit une façon plus discrète de laisser tomber : le sentiment que cela arrivera de toute façon, ou qu’ils sont trop ordinaires pour que cela vaille la peine.

Nous allons tous nous faire prendre, tôt ou tard.

Si quelqu’un de compétent veut vraiment entrer dans mon compte, ou dans mon ordinateur, il entrera, même si j’ai un anti-maliciel.

Je n’ai rien à cacher, donc je n’ai pas vraiment à m’inquiéter des données que les entreprises recueillent sur moi, de ce qu’elles en font ou avec qui elles les partagent.

Personne ne voudrait pirater mon compte. Il n’y a rien d’intéressant.

Je n’ai rien qui vaille la peine d’être volé.

Les deux premiers traitent une intrusion comme une question de temps. Dans ce tableau, un attaquant compétent passe quand même, anti-maliciel compris. Les trois autres traitent la personne comme trop petite, ou trop irréprochable, pour compter. Le collègue qui a transmis « je n’ai rien à cacher » n’était pas d’accord. Si les gens voyaient tout ce que les entreprises peuvent recueillir, partager et vendre, ils seraient beaucoup moins à l’aise. Cela va plus loin que la plupart d’entre nous le pensent, et même la personne qui l’écrivait se doutait qu’elle serait surprise par la liste complète.

La question pour notre équipe de sécurité : « nous allons tous nous faire prendre un jour » est-il une description juste, ou une raison d’arrêter d’essayer ? Si l’attaquant est assez compétent, l’anti-maliciel change-t-il le résultat ? Et n’avoir rien à cacher, ou rien d’intéressant, garde-t-il vraiment une personne ou un compte hors de la liste ?

Pas du tout. Il est vrai que nous, ou l’entreprise avec laquelle nous faisons affaire pour nos données sécurisées, ou notre propre entreprise, se fera avoir un jour ou l’autre. Ce n’est pas une raison de publier son numéro de carte de crédit ou de laisser la porte de la maison ouverte.

La plupart des attaques de 2025 étaient opportunistes. Si c’est facile, ce sont les premières cibles : celles qu’un attaquant vise pour l’information et, surtout, pour l’argent. C’est exactement pour cela qu’il faut faire attention. Pas au point d’en devenir malade, mais jusqu’à un niveau de confort avec lequel on peut vivre tout en protégeant ses données personnelles, pour ne pas paniquer quand le jour arrive. Dans le meilleur des cas, soyez prêt. Ayez quelqu’un à appeler qui pourra vous guider, ou des étapes déjà écrites pour le jour où tous vos mots de passe, ou vos informations bancaires, seront pris. Soyez préparé, plutôt que de paniquer le moment venu.

Rien n’est vraiment sécurisé à 100 %

D’autres collègues sont partis du plafond, puis ont nommé ce qu’ils mettraient encore en travers du chemin.

Rien n’est vraiment sécurisé à 100 %. L’objectif pratique est de mettre autant d’obstacles que possible sur le chemin d’un attaquant, pour qu’il perde intérêt et passe à autre chose.

En 2026, un bon VPN et un anti-maliciel sur chaque appareil comptent encore.

Activer l’authentification multifacteur est l’une des choses les plus efficaces que je puisse faire pour protéger mes comptes.

Un mot de passe solide, à lui seul, ne suffit pas. L’authentification multifacteur est essentielle, même si elle ne peut pas arrêter chaque attaque.

La première réponse pose la limite : une sécurité parfaite n’est pas offerte, donc le travail est la friction. Les autres nomment les outils sur lesquels les gens comptent encore sous cette limite. Un VPN et un anti-maliciel, sur chaque appareil, encore en 2026. L’authentification multifacteur comme l’une des étapes les plus utiles. Et, dans le même souffle, un avertissement : elle est essentielle et n’est toujours pas une garantie.

La question pour notre équipe de sécurité : si rien n’est entièrement sûr, lesquels de ces obstacles changent vraiment le résultat ? Où un VPN, un anti-maliciel et l’authentification multifacteur ont-ils encore leur place, et où leur demande-t-on plus qu’ils ne peuvent faire ?

Rien n’est infaillible. Cela dit, chaque outil vous protège jusqu’au niveau de confort et d’attente que vous fixez. Commencez par identifier où un coup ferait le plus mal. Quelqu’un qui apprend votre localisation. Un virus qui vous empêche de travailler pendant deux semaines. Perdre vos informations bancaires et vous faire frauder. Une fois ce point faible nommé, ajoutez des contrôles de sécurité autour.

Le minimum est simple : un mot de passe complexe ou une longue phrase de passe, et ne jamais utiliser le même mot de passe deux fois. L’authentification multifacteur sur chacun de ces comptes (vive les gestionnaires de mots de passe gratuits). Un anti-maliciel qui ne ralentit pas votre travail (oui, cela existe quand il est bien configuré). Mettez-y un peu d’énergie, et vous pourrez retourner à votre café ou à votre thé en sachant que vous êtes protégé à la mesure de l’effort que vous avez choisi de fournir, et que vous êtes à l’aise avec le point où vous êtes arrivé.

Ingénierie sociale

Plusieurs collègues ont mis la faille principale sur la personne, pas sur le produit.

La meilleure protection, c’est de faire attention.

La faille principale de chaque système informatique, c’est l’humain, et la façon dont il tient face à l’ingénierie sociale.

Le plus grand risque n’est jamais la technologie. C’est l’habitude. Nous investissons dans des outils sophistiqués et nous oublions qu’environ 90 % des intrusions commencent encore par un clic un peu trop rapide.

L’ingénierie sociale sera toujours la plus grande porte d’entrée.

L’humain est le maillon central.

Une réponse traite l’attention comme le vrai contrôle. D’autres appellent l’ingénierie sociale la porte qui reste ouverte, et l’humain le point faible que chaque système a encore.

La question pour notre équipe de sécurité : l’ingénierie sociale est-elle encore la principale porte d’entrée, même quand les outils sont déjà en place ?

L’hameçonnage est le moyen le plus populaire pour obtenir un accès, et l’hameçonnage est lui-même une forme d’ingénierie sociale. Malheureusement, c’est celui qui fonctionne le mieux. Il existe toutefois plusieurs niveaux d’attaque. Pour une attaque sophistiquée, ou pour une étape avancée dans un scénario particulier, d’autres techniques d’ingénierie sociale, au-delà du message d’hameçonnage, produisent le plus de résultats.

Déjà en vente sur le dark web

Quatre réponses cette fois, toutes sur l’information personnelle une fois qu’elle n’est plus seulement à vous : déjà en vente, accessible à l’IA, encore en ligne après une suppression, ou jamais partagée au départ.

Nos informations personnelles sont déjà en vente sur le dark web.

L’IA ne pourra jamais accéder à mes informations personnelles sans mon consentement.

Une fois qu’une chose est mise en ligne, elle existe pour toujours, même si on la supprime ensuite. La vie privée disparaît en ligne.

Mettre aussi peu d’information personnelle que possible sur Internet est un bon début pour garder une vie privée. Cela comprend le courriel, les documents stockés dans le nuage et les conversations de messagerie.

La première traite la vente comme un fait. Votre information est déjà dehors. La deuxième dit que le consentement est ce qui tient l’IA à l’écart. La troisième dit que supprimer une publication ne la reprend pas, donc la vie privée en ligne est déjà partie. La quatrième cherche une empreinte plus petite dès le départ : moins de courriels, moins de fichiers dans le nuage, moins de clavardages laissés en ligne.

La question pour notre équipe de sécurité : l’information personnelle est-elle déjà en vente pour une personne ordinaire, et que veut vraiment dire « déjà en vente » ? L’IA peut-elle atteindre ces données sans consentement ? Supprimer quelque chose en ligne l’efface-t-il ?

Beaucoup d’information est disponible sur les sites d’attaquants, mais tout le monde ne peut pas y accéder. Il y a le deep web et le dark web. Le deep web est beaucoup plus facile d’accès. Si vos informations s’y retrouvent, les ennuis arrivent plus vite et frappent plus fort. Dans les attaques sophistiquées, l’information aboutit sur le dark web et reste cachée la plupart du temps, parce qu’elle vaut de l’argent à la revente. Elle sera utilisée, oui. Avec de bonnes protections, comme une protection de votre dossier de crédit, vous pouvez réagir, ou même bloquer ces transactions frauduleuses. Une bonne protection n’est jamais quelque chose à laisser de côté : elle vous épargne beaucoup d’ennuis.

Si le paramètre est à off, l’application s’arrête

Un collègue a mis sa confiance dans une case à cocher qui était juste là : il l’a désactivée, et dans son esprit l’application doit obéir.

Si je mets un paramètre à OFF, il n’y a aucune façon que l’application continue de le faire. N’est-ce pas ?

Un paramètre réglé à off devrait vouloir dire quelque chose. Le mythe, c’est de traiter l’interrupteur comme toute l’histoire.

La question pour notre équipe de sécurité : quand ce paramètre est désactivé, que peut encore faire l’application ?

Si la fonction de l’application est à off, l’application ne peut pas effectuer l’action que vous avez désactivée. Nous avons toutefois souvent vu, dans des outils (surtout des SaaS), des fonctions en retrait volontaire devenir des fonctions d’adhésion. Lisez les notes de version, ou vérifiez régulièrement, pour confirmer que les contrôles de sécurité que vous avez mis en place le sont toujours. La plupart des entreprises sont sensibles à la sécurité et ne vous mettront pas en danger sans vous le dire clairement et précisément.

Ne faire confiance à personne

Un collègue a répondu par une règle plutôt que par un mythe : ne faites confiance à rien de ce qu’on vous dit, vérifiez, gardez une sauvegarde et exploitez le service vous-même.

Ne faire confiance à personne, toujours vérifier, tout sauvegarder, s’auto-héberger.

C’est toute une façon d’être en ligne : douter du message, le vérifier ailleurs, garder une copie et garder le service entre ses mains. Une règle stricte peut encore être suivie au-delà du point où elle aide.

La question pour notre équipe de sécurité : où « ne faire confiance à personne, toujours vérifier, tout sauvegarder, s’auto-héberger » tient-il pour une personne, et où cela crée-t-il un nouveau problème ?

L’assiduité vaut mieux que la croyance, évidemment. Une vérification de quelques minutes peut économiser plusieurs milliers de dollars à une entreprise. Une sauvegarde bien faite, c’est une sauvegarde de la sauvegarde, conservée à l’extérieur de l’entreprise, sans chemin de retour vers cette copie depuis l’entreprise. C’est ce qu’il faut pour une vraie copie en sûreté. L’hébergement local est plus sécuritaire seulement si vous avez des contrôles de protection plus forts sur votre propre plateforme. Un serveur local que vous ouvrez sur Internet sans un WAF haut de gamme devant n’est pas une grande protection. Ce n’est certainement pas plus fort qu’une entreprise qui vend un produit SaaS avec plusieurs couches de protection au-dessus de l’application, des couches destinées à protéger vos données. Cela dit, un serveur local avec un accès seulement local est beaucoup mieux protégé que n’importe quoi exposé à Internet. Cette partie-là est certaine.

S’il y a une seule chose à retenir

Dans les sept réponses, le motif est le même. Aucun contrôle, à lui seul, ne termine le travail, et aucun n’est inutile. Un mot de passe long, l’authentification multifacteur, un anti-maliciel, une sauvegarde et un paramètre désactivé tiennent chacun jusqu’à un certain point. Ce qui revient, c’est l’attention : où vous tapez un mot de passe, si un contrôle est encore activé, et qui vous appelez quand quelque chose tourne mal, comme David Grandolfo le dit dans ses mots :

La cybersécurité ne repose pas sur un seul outil, ni sur une promesse de protection parfaite. Elle repose sur des habitudes simples, appliquées avec constance. Utilisez des mots de passe longs et uniques dans un gestionnaire de mots de passe, activez l’authentification multifacteur, tenez vos appareils à jour et restez attentif avant de cliquer, de vous connecter ou de partager une information. Les anti-maliciels, un VPN, les sauvegardes et les paramètres de confidentialité ajoutent des couches utiles, mais ils ne remplacent ni votre jugement ni un minimum de préparation si un incident arrive. Les attaques visent souvent les occasions faciles. Rendre l’attaque plus difficile, vérifier ce qui semble inhabituel et savoir vers qui se tourner quand quelque chose cloche : cela reste la meilleure défense.