Cybersécurité cognitive : comment les cybercriminels exploitent les failles du cerveau humain

Fatigue, stress, surcharge cognitive : les cyberattaquants ne ciblent pas seulement vos systèmes, ils ciblent votre cerveau. Dans ce CyberTalk de Riskintel Media en partenariat avec SoSafe, Arnaud Loubatière, Directeur France & Europe de SoSafe, et Cécilia Jourt-Pineau, experte en cybersécurité cognitive, décryptent les mécanismes psychologiques qui font de l'humain la première porte d'entrée des cyberattaques et comment en faire une véritable ligne de défense.
‍

La cybersécurité dépend désormais autant des systèmes que des réactions humaines. En effet, la cybersécurité s’est progressivement déplacée vers une dimension plus invisible mais centrale : le fonctionnement humain. Cécilia Jourt-Pineau, experte en cybersécurité cognitive, décrit cette évolution comme une superposition de niveaux. “La cybersécurité cognitive, ce sont des couches qui se sont ajoutées sur les couches d’infrastructures, les couches de data et puis il y a les couches d’utilisateurs.” Cette logique de superposition montre que la sécurité ne s’arrête pas aux systèmes eux-mêmes, puisqu’elle intègre désormais directement l’utilisateur. Cela inclut même des représentations plus diffuses de l’individu, “les persona, nos jumeaux numériques”, preuve que l’humain devient un objet central de la cybersécurité. 

Cette évolution ne peut pas être séparée du contexte global dans lequel elle s’inscrit. Les menaces se multiplient, notamment à travers les fuites de données, et s’insèrent dans un environnement international instable. C’est ce qui conduit à “une prise de conscience”. Autrement dit, la cyberattaque est une continuité, à la fois professionnelle et personnelle, dans un espace numérique devenu familier, donc plus vulnérable. Dans ce cadre, la question centrale est celle de la vigilance humaine, qui constitue désormais le principal point d’entrée des attaques. 
‍

Une vigilance cognitive limitée et constamment fluctuante 
‍

Pour comprendre pourquoi l’humain est devenu une cible, il faut d’abord revenir sur la manière dont fonctionne sa vigilance. “La vigilance c’est deux principes fondamentaux, c’est l’attention et la mémoire de travail”, explique Cécilia Jourt-Pineau. Ces deux éléments constituent la base de toute capacité à détecter un risque ou à prendre une décision éclairée. Mais cette base est fragile. L’attention, tout d’abord, est décrite comme “une fonction cognitive qui va être variable au fur et à mesure de la journée et qui va nous permettre de filtrer les informations que l’on va recevoir”. Elle n’est donc jamais stable. Effectivement, elle fluctue en fonction de la fatigue, du moment de la journée et de la surcharge informationnelle. Dans un environnement saturé de notifications et de sollicitations, ce filtre devient progressivement moins fiable.

À lire aussi : Alain Juillet au Risk Summit : la guerre hybride, clé du nouvel ordre mondial ?

À cela s’ajoute le mémoire de travail, “une mémoire fonctionnelle qui va nous permettre d’effectuer des tâches, mais elle est limitée”. Elle permet de traiter une information, de la comprendre et d’agir en conséquence, mais seulement jusqu’à un certain seuil. C’est précisément ces deux limites qui rendent la vigilance difficile à maintenir. Dans un environnement où les menaces augmentent et où le climat est anxiogène, il devient alors difficile “d’être vigilant à 100% toute la journée.” Et c'est dans ces variations que les cyberattaques s’insèrent. 

Quand le cerveau passe en mode automatique 
‍

Lorsque la vigilance diminue, le cerveau ne s’arrête pas, il change de fonctionnement. Sous pression ou sous stress, il bascule vers un mode plus rapide et plus automatique. Comme l’explique Cécilia Jourt-Pineau, “notre cerveau va réagir avec ce qu’on appelle le système 1, qui est le système de Kahneman.” Ce fonctionnement, théorisé par le psychologue Daniel Kahneman, repose sur des réactions rapides, basées sur l’intuition et les automatismes. Mais celles-ci nous empêchent de réfléchir ou d’analyser la situation dans son ensemble.
‍

Ce mécanisme est d’autant plus exploité qu’il s’appuie sur des habitudes déjà installées. En effet, dans leur travail, les individus développent des automatismes qui leur permettent d’aller vite et d’être efficaces. Et bien sûr, les cybercriminels l’ont compris. Ils ne cherchent pas à créer des situations incohérentes, mais au contraire à reproduire des environnements parfaitement familiers. Ils procèdent en premier à une analyse préalable des usages. “Ils vont faire une reconnaissance autour du métier, autour de la terminologie pour que tout le scénario ressemble à un vrai échange professionnel”, exprime l’experte en cybersécurité cognitive. Ainsi, le message frauduleux ne déclenche pas de méfiance. 

À lire aussi : Thierry Breton au Risk Summit 2026 : régulation numérique, souveraineté européenne et rapport de force

Cette continuité est renforcée par un autre élément : le timing. Les cyberattaques ciblent des moments précis de la journée, notamment avant le repas ou après. Pourquoi ? Parce que ces périodes correspondent à des phases naturelles de baisse d’attention. Dans ces moments, les décisions sont prises plus rapidement et les vérifications sont moins rigoureuses. La capacité de concentration n’est pas illimitée. Comme le rappelle Arnaud Loubatière : “le maximum qu’on a de capacité de concentration, ça doit être 25 minutes, 30 minutes.” Au-delà de ce seuil, l’attention décroît progressivement sans que l’on s’en rende compte. 
‍

La personne ne commet pas forcément une erreur consciente, il agit simplement dans un état cognitif moins mobilisé et où l’analyse est donc réduite. L’attaque arrive alors à s’insérer pendant une continuité d'actions déjà automatisées, ce qui la rend difficile à détecter.

Un impact psychologique souvent sous-estimé
‍

Lorsque l'attaque réussit, ses répercussions dépassent largement l'aspect technique. Le choc est immédiat : l'organisation se retrouve brutalement à l'arrêt, les outils ne répondent plus, les accès disparaissent. Mais ce qui frappe en premier, c'est le choc humain. "C'est violent. En terme de métier, en terme d'émotion aussi", témoigne Cécilia Jourt-Pineau, qui a accompagné des équipes en situation post-attaque.
‍

La stupéfaction laisse rapidement place à la culpabilité. Les questions s'enchaînent : est-ce que j'ai mal fait ? Est-ce moi qui ai laissé passer l'attaque ? Même sans que le responsable soit nommé, les investigations internes suffisent à créer des tensions. La cyberattaque ne touche pas seulement des systèmes, elle atteint la perception de soi et la cohésion des équipes.

À lire aussi : Cybersécurité : pourquoi l'humain est devenu la principale cible des cyberattaques dopées à l'IA

Vient ensuite ce que Cécilia Jourt-Pineau appelle le "syndrome du cheval blanc" : les équipes techniques, portées par un sentiment d'honneur et de responsabilité, ne dorment plus, ne mangent plus, pour faire remonter les systèmes le plus vite possible. Une réaction humaine compréhensible, mais épuisante, d'autant que le retour à la normale prend rarement quelques heures. Il faut compter des semaines, parfois un mois, pour retrouver un mode de fonctionnement dégradé, avant de remonter progressivement vers une nouvelle zone de confort. Différente de l'ancienne, construite par étapes successives.

Vers une culture cyber qui intègre l'humain
‍

Face à ce constat, la réponse ne peut pas se limiter à la technique. Arnaud Loubatière le résume clairement : "La technique aujourd'hui ne peut pas tout stopper." Ce qui manque dans la plupart des organisations, c'est une culture de cybersécurité qui prenne réellement en compte le facteur humain, pas comme une faille à corriger, mais comme une ressource à former et à protéger.

À lire aussi : ChatGPT et la publicité : OpenAI suit-il vraiment le modèle Google ?

Cela passe par un apprentissage actif, contextualisé et répété. Le micro-format, le cas réel, l'entraînement régulier, autant d'approches qui s'appuient sur les sciences du comportement pour ancrer durablement les bons réflexes. Et cela passe aussi par une meilleure collaboration entre les équipes SOC et les équipes Awareness, trop souvent cloisonnées alors qu'elles poursuivent le même objectif.
‍

La résilience, elle, ne se décrète pas. Elle se construit, collectivement, avec le temps, et avec l'aide d'intervenants extérieurs. "On n'est pas tout seul quand il y a une cyberattaque", rappelle Cécilia Jourt-Pineau. C'est peut-être là le message le plus important de cet échange : la cybersécurité est l'affaire de tous, et se préparer ensemble reste la meilleure des défenses.