Un nouveau rapport révèle que 43 % des professionnels de la sécurité utilisent encore des mots de passe.
infohightech ·
Le rapport 2026 sur l’état mondial de l’authentification révèle que 43 % des professionnels de la sécurité utilisent encore des mots de passe au travail malgré la sensibilisation aux mots de passe et la montée des menaces d’hameçonnage par l’IA.
Les professionnels de la cybersécurité comprennent les risques liés à l’authentification par mot de passe, mais cette connaissance ne modifie pas nécessairement leur façon d’accéder aux systèmes de leur lieu de travail.
Le rapport 2026 Global State of Authentication ou Etat mondial de l’authentification en 2026 a révélé que 43 % des professionnels de la sécurité utilisent encore des noms d’utilisateur et des mots de passe pour travailler, même si 87 % connaissent les clés d’accès.
Ces résultats mettent en lumière un problème que la formation à la sensibilisation à la sécurité ne peut à elle seule résoudre. Des politiques d’authentification obsolètes perpétuent l’accès par mot de passe, tandis que des pratiques d’intégration traditionnelles instaurent des habitudes qui peuvent persister tout au long de la carrière d’un employé.
La sensibilisation aux mots de passe dépasse leur adoption en milieu de travail
Le rapport a interrogé 1 890 professionnels des technologies et de la sécurité dans neuf pays, dont les États-Unis.
Interrogés sur les méthodes d’authentification offrant la meilleure protection, 31 % ont choisi les clés d’accès matérielles. Les applications d’authentification mobile arrivent en deuxième position avec 29 %, tandis que 27 % ont opté pour les clés d’accès synchronisées.
Cependant, seulement 25 % ont déclaré utiliser des clés d’accès matérielles pour l’authentification quotidienne sur leur lieu de travail.
L’intégration des employés semble contribuer à ce décalage. Plus de la moitié des personnes interrogées (52 %) ont reçu des identifiants de connexion classiques (nom d’utilisateur et mot de passe) lors de leur prise de fonction, faisant du mot de passe leur méthode d’authentification par défaut dès le premier jour.
L’incohérence des exigences d’authentification constitue un autre défi. Selon le rapport, 76 % des organisations utilisent des méthodes d’authentification différentes selon leurs applications internes, tandis que 23 % n’exigent pas l’authentification multifacteurs (AMF) pour l’ensemble de leurs applications et services d’entreprise.
Malgré ces lacunes, 88 % des répondants estimaient que leur organisation était sécurisée.
Le phishing par IA rend les attaques plus difficiles à détecter.
Le rapport souligne également comment l’intelligence artificielle (IA) rend les défenses traditionnelles contre le phishing moins fiables.
Soixante-dix pour cent des répondants ont signalé une augmentation des tentatives d’hameçonnage visant leur organisation au cours de l’année précédente. De plus, 44 % ont indiqué que leur organisation avait subi au moins une attaque réussie utilisant l’intelligence artificielle durant cette période.
Les attaquants utilisent également des techniques d’usurpation d’identité pour cibler les organisations. Environ 43 % des personnes interrogées ont signalé des tentatives suspectes d’usurpation d’identité par vidéo ou par voix visant des dirigeants ou des clients.
Pour déterminer si les professionnels de la sécurité pouvaient reconnaître les communications générées par l’IA, les chercheurs ont présenté aux participants des messages rédigés par des humains et des messages générés par l’IA.
Seuls 36 % ont correctement identifié la question rédigée par un humain, tandis que 39 % n’ont pas reconnu la question générée par l’IA.
La sécurité des agents d’IA exige une supervision humaine.
À mesure que les organisations adoptent des agents d’IA autonomes , la vérification de l’identité des entités non humaines devient une priorité de sécurité majeure. Selon une enquête, 91 % des personnes interrogées considèrent la vérification de l’identité et de l’authenticité des agents d’IA comme essentielle, et 57 % comme critique.
Par ailleurs, 91 % des personnes interrogées ont déclaré qu’une étape d’approbation humaine devrait être maintenue avant que les agents d’IA n’exécutent des actions en leur nom.
Ce contrôle devient particulièrement important lorsque les agents peuvent effectuer des opérations sensibles, telles que l’élévation des privilèges de compte ou l’initiation de transactions financières.
Les États-Unis en tête de la dépendance aux mots de passe
Parmi les marchés étudiés, les États-Unis ont affiché le plus grand écart entre la sensibilisation à l’authentification et l’utilisation des mots de passe en milieu de travail.
Bien que 40 % des répondants américains aient identifié les clés d’accès matérielles comme la méthode d’authentification la plus sûre, 50 % utilisaient encore des noms d’utilisateur et des mots de passe au travail.
La dépendance aux mots de passe s’étend également aux comptes personnels, 56 % des répondants américains utilisant des identifiants et des mots de passe en dehors du travail.
Que doivent faire les équipes de sécurité ensuite ?
Les organisations devraient commencer par examiner comment les identifiants sont délivrés lors de l’intégration.
Fournir des authentificateurs résistants au phishing dès la première connexion d’un employé peut contribuer à empêcher l’établissement de flux de travail basés sur les mots de passe.
Les équipes de sécurité doivent également identifier les applications qui dépendent encore de mots de passe et exiger une authentification résistante au phishing lorsque cela est possible.
Les organisations doivent également vérifier les identités non humaines (INH) et obtenir l’approbation humaine pour les actions sensibles.
https://www.esecurityplanet.com/news/passkey-vs-password-authentication-report