Une nouvelle étude de WatchGuard Technologies, leader mondial de la cybersécurité unifiée pour les fournisseurs de services managés (MSP), révèle que le comportement des employés crée un risque de cybersécurité important et souvent invisible pour les petites et moyennes entreprises (PME).
Selon le 2026 Cybersecurity Hygiene Report, 64 % des employés admettent utiliser des outils d'IA non autorisés dans le cadre de leur travail, alimentant un problème de Shadow AI en pleine expansion que la plupart des organisations n'ont pas les moyens de surveiller ni d’endiguer.
Parallèlement, des habitudes de travail courantes continuent d'amplifier le risque : en effet, l’étude montre que 76 % des employés réutilisent leurs mots de passe, 70 % utilisent le Wi-Fi public pour le travail, et 50 % accèdent aux ressources de l'entreprise sans protection VPN, exposant les organisations au vol d'identifiants, à l’interception et au vol de données, ainsi qu'à des accès non autorisés.
« Les organisations investissent dans des outils de sécurité, mais beaucoup manquent encore de visibilité sur la façon dont leurs employés travaillent réellement », explique Marc Laliberte, Director of Security Operations chez WatchGuard. « Les comportements quotidiens, de l'utilisation de l'IA aux pratiques de gestion des mots de passe, créent des risques que les contrôles traditionnels ne sont pas conçus pour traiter. »
Le fossé de visibilité s'élargit avec l'accélération de l'adoption de l'IA
Les outils d'IA grand public ont fait émerger une catégorie de risques de sécurité en croissance rapide, que la plupart des organisations n'ont pas encore traitée au moyen d'une gouvernance formelle. Comme le souligne le rapport :
- Moins de 30 % des répondants estiment que leur organisation maintient un inventaire précis des logiciels utilisés,
- Et près de 40 % ont déclaré que leur entreprise fonctionne sans visibilité complète sur les applications utilisées par ses employés.
Ce manque de gouvernance — notamment l'absence de directives organisationnelles relatives aux outils approuvés et aux informations susceptibles d’être transmises à l'extérieur — crée un angle mort dangereux pour les équipes informatiques et de cybersécurité.
Des habitudes de travail à risque largement répandues et non maîtrisées
Au-delà du Shadow AI, des comportements largement répandus chez les employés continuent de fragiliser les protocoles de sécurité des organisations et créent des opportunités pour les pirates informatiques, notamment :
- 76 % des employés admettent réutiliser leurs mots de passe sur plusieurs comptes, ce qui signifie qu'un seul identifiant compromis rend une organisation vulnérable à la prise de contrôle de comptes, aux mouvements latéraux et à une exfiltration massive de données sur plusieurs systèmes, plateformes et applications. De plus, 30 % des répondants déclarent partager leurs mots de passe avec d'autres personnes.
- 70 % utilisent le Wi-Fi public pour le travail, tandis que 50 % accèdent aux ressources de l'entreprise sans protection VPN. Cela élargit considérablement la surface d'attaque d'une organisation et accroît l'exposition à l'interception de données, au vol d'identifiants et aux accès réseau non autorisés, via des attaques de type « homme du milieu » et d'autres menaces ciblant les connexions non sécurisées.
- 55 % utilisent leurs appareils professionnels à des fins personnelles, ce qui accroît le risque d'infection par des logiciels malveillants, d'attaques de phishing et d'exposition à des applications ou sites web susceptibles de contourner les contrôles de sécurité de l'organisation. L'adoption massive du travail hybride et à distance a brouillé les frontières entre vie personnelle et professionnelle, créant de nouvelles opportunités pour les attaquants de compromettre les données de l'entreprise, ce qui complique la tâche des équipes de sécurité pour atténuer efficacement les risques.
Les MSP, meilleurs alliés des PME pour répondre à ce risque croissant lié aux employés
La pression croissante sur la productivité, l'évolution des environnements de travail et l'adoption rapide de nouvelles technologies favorisent des comportements à risque au sein des effectifs.
Cela crée une opportunité claire pour les fournisseurs de services managés (MSP) d'aider les PME à combler les lacunes en matière d'hygiène cyber avant qu'elles ne se traduisent par des incidents graves.
Pascal Le Digol, Country Manager France de WatchGuard, commente : « Ces résultats mettent en évidence une évolution plus large du risque en matière de cybersécurité. À mesure que les organisations adoptent de nouvelles technologies et soutiennent le travail distribué, la gestion du comportement humain devient une exigence fondamentale. Pour les MSP, c'est l'occasion de dépasser le cadre purement technologique pour s'orienter vers une visibilité sur le risque utilisateur, la gouvernance des politiques et une sensibilisation continue à la sécurité ».
Pour réduire leur exposition, WatchGuard recommande aux PME et à leurs partenaires MSP de se concentrer sur 6 mesures concrètes, notamment : imposer des gestionnaires de mots de passe et l'authentification multifacteur (MFA),identifier les technologies non autorisées ou de Shadow IT, établir des politiques claires d'utilisation acceptable de l'IA, étendre la protection au-delà du bureau grâce à une approche Zero Trust, et mettre en place une formation continue à la sécurité tout en suivant des indicateurs de risque humain aux côtés des indicateurs techniques.
Accédez aux résultats complets du 2026 Cybersecurity Hygiene Report.