Il existe un biais cognitif auquel nous, humains, sommes tous sujets, et il se trouve au cœur de nombreux défis quotidiens des professionnels de la cybersécurité. Il s'agit du biais de normalité, ce que le Dr Lauren Braithwaite définit comme « notre tendance à sous-estimer la possibilité d'un désastre et à croire que la vie continuera normalement, même face à des menaces ou crises significatives ». C'est ce qui explique pourquoi les gens hésitent après le déclenchement d'une alarme incendie, ou tardent à réagir dans d'autres situations critiques : tant que les choses paraissent gérables, le réflexe est de ne pas bouger.

Ce biais nous pousse à confondre familiarité et sécurité, à prendre des hypothèses pour des preuves, et il entrave de plus en plus notre capacité à faire face à la réalité cyber. Il conduit à sous-estimer la probabilité d'une cyberattaque, ou à interpréter l'absence de problèmes visibles comme la preuve que les risques sont maîtrisés. Concrètement, de nombreuses organisations considèrent l'absence d'alertes de leurs plateformes de protection comme la preuve que tout va bien. D'autres n'agissent pas assez vite sur les signaux d'alerte, partant du principe que les affaires continueront comme si de rien n'était.

C’est d’ailleurs l’un des points incontournables identifiés dans notre enquête “Panorama ESET 2026 de la Cybersécurité des PME” menée auprès d’entreprises partout dans le monde y compris en France : leur confiance dans la résilience cyber demeure forte. 75% des organisations, en France comme dans le monde, estiment être en mesure de faire face à une cyberattaque et d’en limiter les impacts

Pourtant, les fuites se succèdent dans les grandes entreprises — Free, Auchan, ou encore la Caisse d'Épargne en France ont été touchées (et la plupart des incidents n'atteignent jamais la une des journaux). Malgré les recommandations répétées du secteur et des autorités, le nombre d'incidents majeurs continue d'augmenter à un rythme vertigineux.

Le NCSC (l'équivalent britannique de l'ANSSI) fait état de 204 cyberattaques « d'importance nationale » dans son bilan annuel 2025, couvrant les 12 mois jusqu'à août 2025 — soit une hausse de 130 % par rapport aux 89 recensées l'année précédente. Sur 429 incidents totaux, 18 ont été classés comme « hautement significatifs », marquant une augmentation de 50 % des incidents graves. En France, l'ANSSI confirme cette tendance avec 4 239 incidents signalés en 2025. Les taux de compromission restent obstinément élevés, ce qui pourrait refléter une normalisation rampante du risque de fuite — le biais de normalité à l'échelle : plus les divulgations deviennent fréquentes, moins chacune d'elles suscite d'urgence.

Des leçons ont-elles vraiment été tirées ?

Il y a une formule que les gouvernements et les entreprises ressortent systématiquement après une catastrophe, y compris une fuite de données : « Les leçons ont été tirées ».

Mais le sont-elles, vraiment ? La hausse de 130 % des incidents significatifs entre 2024 et 2025 contredit sévèrement cette affirmation. Au niveau macro, force est de constater que les leçons n'ont pas été tirées. La réponse est clairement non.

L'année dernière, j'évoquais dans un article l'état psychologique qui suit une compromission. Je soutenais que de nombreuses entreprises sont, dans un sens, à la fois piratées et non piratées, simultanément — une situation que je comparais au chat de Schrödinger. Tant qu'on n'ouvre pas la boîte en interrogeant les logs ou en recherchant activement une compromission, le confort du « nous n'avons pas été piratés » reflète simplement le fait que personne n'a vraiment vérifié. Cette réticence à regarder la réalité en face pourrait bien être l'œuvre silencieuse du biais de normalité.

« Les leçons ont été tirées » est ce qu'on déclare après avoir ouvert la boîte, découvert le chat malheureusement mort, en affirmant : « nous savons ce qui s'est passé, nous maîtrisons la situation, ne vous inquiétez pas ». C'est une narration, pas la preuve d'un changement d'approche significatif.

En réalité, l'apprentissage véritable est un processus proactif qui modifie en profondeur le comportement des organisations. Cela devrait se traduire par des changements dans les budgets, les politiques, les règles, la planification de la reprise d'activité, la vérification des fournisseurs, la journalisation, la supervision, la formation et la tolérance à l'erreur (pour n'en citer que quelques-uns). Et tout cela devrait être fait avant que la compromission inévitable ne se produise. Après tout, il est bien plus difficile d'atteindre une cible en mouvement.

Si nous acceptons que le biais de normalité est une condition cognitive courante et profondément humaine, nous pouvons progresser vers une attitude qui évite la complaisance avant l'incident et en minimise l'impact. « L'erreur est humaine », mais maintenant que nous connaissons cette faiblesse, nous avons le devoir d'agir en conséquence et de faire les choses différemment.

En bout de course : que se passe-t-il si nous refusons toujours de reconnaître ce biais ? Ces « auditeurs » criminels comptent sur l'erreur humaine. C'est d'ailleurs pour cela que le phishing reste l'un des vecteurs d'attaque les plus répandus. Dans le domaine de la cybersécurité, deux scénarios s'opposent.

Soit nous nous auditons régulièrement, à travers des tests d'intrusion, exercices Red/Blue/Purple Team, simulations d'attaque, réévaluation périodique du paysage des menaces, et investissement dans notre dispositif de sécurité dans le cadre d'une stratégie de cyber-résilience.

Soit nous laissons les cybercriminels faire « l'audit » à notre place. Ils comptent sur un faux sentiment de sécurité (au sens littéral), et c'est la brèche dans l'armure qu'ils exploitent.

Se faire « auditer » par des criminels peut être brutal, coûteux, dévastateur et, dans bien des cas, fatal pour une organisation. Voilà pourquoi cette métaphore est importante : les cybercriminels découvrent l'écart entre ce qu'une organisation croit de sa sécurité et ce qu'elle est réellement.

Pour mettre les choses en perspective, la veille de menaces d'ESET traite 750 000 échantillons suspects, analyse 2,5 milliards d'URL et en bloque 500 000, chaque jour. Les acteurs malveillants sont implacables et à mesure que leurs attaques gagnent en sophistication, nous devons abandonner toute pensée d'invulnérabilité. Nous devons accepter l'existence du biais de normalité et agir en conséquence.

Face à plusieurs fuites très médiatisées dans le commerce de détail au Royaume-Uni, ESET a mené une étude auprès de 2 000 consommateurs. Le rapport qui en résulte révèle notamment que 46 % des acheteurs estimeraient avoir besoin de plus de 5 mois pour reconstruire leur confiance après une fuite de données. Un audit qui coûte cher ! Il suffit de faire le calcul pour estimer l'impact financier direct, si ce n'est que cela intéresse la direction. Ce chiffre devrait suffire à lui seul, même s'il ne représente souvent que la partie émergée d'un iceberg très douloureux.

Que retenir de tout cela ?

Ce qui me fascine dans le biais de normalité, c'est que malgré la sophistication, la vitesse, le volume et la diversité croissants des vecteurs d'attaque que nous connaissons tous, notre approche des stratégies de cyber-résilience reste souvent ancrée dans le passé, même s'il s'agit d'un passé récent. Mais le temps passe vite en cybersécurité : pendant les 4 ou 5 minutes qu'il vous a fallu pour lire cet article, ESET aura traité plus de 2 000 échantillons suspects et scanné environ 7 millions d'URL, dont elle en aura bloqué près de 1 500.

Quand on se demande pourquoi il faut réévaluer ses services de cybersécurité, prend-on en compte tous les paramètres qui ont changé (à l'échelle mondiale comme locale) ces dernières années, et la manière dont ils pourraient affecter notre posture de sécurité actuelle ? Sans même y réfléchir, vous pourriez probablement en citer au moins quelques-uns :

  • L'essor de la fraude dopée à l'IA et autres menaces
  • La guerre en Ukraine
  • L'Iran
  • L'augmentation du coût de la cybercriminalité dans le monde
  • Les deepfakes
  • L'intensification des attaques d'ingénierie sociale
  • La persistance du phishing comme vecteur d'attaque principal
  • La complexification des solutions et services de cybersécurité
  • Le déficit de compétences cyber, toujours préoccupant

Il y en a bien d'autres, sans aucun doute. Et ce n'est pas un hasard si le niveau de protection offert par les éditeurs il y a seulement quelques années est progressivement abandonné, au profit des services et solutions MDR/XDR/MXDR qui deviennent la norme.

Les « auditeurs » criminels, eux, ne se sont certainement pas reposés sur leurs lauriers pendant ce temps. Si l'utilisation de nouveaux outils comme l'IA ne signifie pas nécessairement un meilleur code, elle leur permet en revanche de massifier leurs attaques et de scanner les vulnérabilités à une vitesse sans précédent.

Quelques derniers conseils à emporter :

  • Si vous n'investissez pas dans l'audit, les tests, la sensibilisation cyber et les technologies de prévention, vous ne faites pas des économies. Vous sous-traitez simplement la vérification de votre sécurité aux criminels.
  • Le moment où la direction s'intéresse le plus à la cybersécurité, c'est juste après une fuite coûteuse. Une fois que la normalité a volé en éclats. Faites-les réagir plus tôt.
  • Les criminels travaillent 24 heures sur 24, 7 jours sur 7, avec l'IA agentique à leurs côtés. Vos solutions sont-elles assez résilientes pour faire face ? Vérifiez.
  • Quelle que soit la taille de votre organisation, vous devez examiner constamment votre profil cyber et votre résilience.
  • Ne prenez pas le silence (d'incident) pour de la sécurité : investissez dans des services MDR/MXDR 24/7.
  • Vous connaissez désormais le piège du « biais de normalité ». Maintenant, il vous faut l’éviter.