Trois travailleurs européens sur quatre sont confrontés à des courriels et des liens suspects, selon un rapport.
infohightech ·
L’hameçonnage reste la cybermenace la plus courante : seulement une personne interrogée sur deux affirme être capable de repérer une vidéo truquée (deepfake).
D’après une enquête Eurobaromètre publiée par la Commission européenne le 30 septembre, trois travailleurs sur quatre dans l’Union européenne ont déjà été confrontés à des courriels, des messages ou des liens suspects au travail.
L’Autorité hellénique de protection des données (HDPA: Hellenic Data Protection Authority) a profité de ces chiffres, publiés à l’occasion du Mois européen de la cybersécurité (ECSM: European Cybersecurity Month), pour rappeler aux organismes publics et aux entreprises privées que la protection des données personnelles est essentielle pour lutter contre les cybermenaces.
L’enquête suggère que les cybermenaces font désormais partie intégrante de la vie professionnelle et qu’il existe un décalage évident entre ce que les employés savent des risques numériques et ce qu’ils font réellement.
Le phishing est en tête.
L’hameçonnage demeure la menace la plus courante. Environ 39 % des employés déclarent avoir reçu des messages frauduleux ou avoir été redirigés vers de faux sites web conçus pour voler des données ou obtenir un accès non autorisé.
Viennent ensuite les tentatives de vol de données personnelles, signalées par 18 % des répondants, suivies des attaques de logiciels malveillants (17 %) et des tentatives d’obtention de mots de passe (16 %).
Quinze pour cent des personnes interrogées déclarent avoir déjà été victimes d’escroqueries utilisant l’intelligence artificielle (IA). Cette dernière catégorie prend de l’importance, car l’IA fournit aux escrocs les outils nécessaires pour produire des messages, des images, des voix et des vidéos toujours plus convaincants.
Savoir versus faire
Les employés comprennent globalement les risques, mais cette prise de conscience ne se traduit pas toujours par des habitudes sûres.
Environ 83 % des employés affirment qu’une cyberattaque peut avoir de graves conséquences, et 72 % disent pouvoir repérer un courriel suspect.
Pourtant, seulement 54 % vérifient qui a envoyé un message avant de cliquer sur un lien.
Les contenus générés ou manipulés par l’IA constituent un angle mort encore plus important. Moins de la moitié (48 %) des personnes interrogées affirment pouvoir reconnaître une vidéo truquée (deepfake).
Au-delà de la solution technique
La HDPA profite du Mois européen de la cybersécurité pour rappeler aux responsables du traitement des données, aux organisations publiques et privées chargées du traitement des informations personnelles, leurs obligations en cas de violation de données.
Conformément à l’article 33 du Règlement général sur la protection des données (RGPD), ils doivent en informer l’autorité de contrôle compétente. Toutefois, la résolution du problème technique et l’alerte de l’autorité de contrôle ne constituent pas toujours la fin du processus.
Dans certains cas, les organisations doivent également en informer les personnes concernées.
Quand les citoyens doivent savoir
L’article 34 du RGPD exige que les organisations informent sans délai indu les personnes lorsqu’une violation est susceptible de mettre leurs droits et libertés en danger.
Ce risque peut inclure la fraude financière, le vol d’identité ou la divulgation d’informations personnelles sensibles.
L’information rapide a un but pratique : donner aux gens la possibilité de se protéger avant que les dégâts ne s’étendent.
Selon les cas, cela pourrait impliquer de changer ses mots de passe, d’annuler ou de remplacer ses cartes bancaires, de surveiller les messages suspects ou de prendre d’autres mesures ciblées.
Pourquoi la transparence est importante
Informer le public d’une violation de données n’est pas seulement une obligation légale en vertu du RGPD. C’est également un élément essentiel pour gérer les conséquences d’une cyberattaque.
Dissimuler un incident ou retarder sa notification sans raison valable peut rendre les personnes concernées plus vulnérables, car cela les prive de la possibilité de se protéger à temps.
La transparence est également le fondement de la confiance entre une organisation et les citoyens, clients ou employés dont elle détient les données.
Un appel à se préparer
La HDPA exhorte les organismes publics et les organisations privées à faire le point sur leur niveau de préparation face à un incident de cybersécurité.
Cela implique de mettre à jour les plans de réponse aux incidents, de former régulièrement le personnel et d’intégrer la protection des données à chaque étape de la gestion d’un incident.
Alors que trois employés sur quatre sont déjà exposés à des messages ou des liens suspects, la HDPA affirme que la cybersécurité ne peut plus être considérée comme une simple question technique. Il s’agit d’une responsabilité quotidienne pour les organisations et d’un élément essentiel de la protection du public.