Propositions de sujets et accroches pour vos réseaux sociaux
Conscio Technologies est un éditeur français de logiciel spécialisé dans la sensibilisation à la cybersécurité, fondé en 2007 et basé à Plescop dans le Morbihan, avec un second bureau au Campus Cyber à Paris. Vous éditez la plateforme Sensiwave, qui combine plus de 150 modules de formation et plus de 200 scénarios de tests d'hameçonnage, avec une approche sectorielle pointue (santé, collectivités, industrie, retail, assurances). Votre conviction de fond : le collaborateur n'est pas le maillon faible, c'est un capteur de risques qu'on n'a jamais formé. La sensibilisation efficace ne culpabilise pas, elle outille, elle réactive, elle mesure son impact jusqu'au transfert de compétences.
Une pédagogie scientifique structurée en 4 étapes (Interpeller, Expliquer, Appliquer, Réactiver) et adossée aux 5 lois neuroscientifiques de l'apprentissage. Un dispositif unique de mesure d'impact qui va jusqu'au transfert de compétences : NPS +28,2, +51% de montée en compétences individuelle, 7,5/10 d'impact 360°. Et une R&D 100% française, à contre-courant des acteurs anglo-saxons et des contenus délocalisés.
Le collaborateur n'est pas le maillon faible, c'est un capteur de risques. 80 à 90% des incidents ont une origine humaine, la technologie seule ne protège jamais durablement. Combat frontal contre l'effet « wow » sans pédagogie réelle, refus du test d'hameçonnage punitif, et défense d'une culture digitale responsable où cybersécurité, RGPD, Green IT et éthique de l'IA forment un même socle.
Responsables Sécurité, Directeurs des Systèmes d'Information et Délégués à la Protection des Données d'ETI privées françaises de 250 à 5 000 salariés. Souvent des ingénieurs de formation entre 40 et 55 ans, qui ont vu leur métier muter en quelques années d'un poste technique discret à un poste exposé politiquement au comité de direction.
Les boîtes mail saturées de campagnes commerciales et de sollicitations LinkedIn agressives qui promettent toutes la même chose. La hantise de la formation « case cochée » qui ne change rien aux comportements. La pression constante de prouver à la direction que les investissements cyber servent à quelque chose de concret.
Qu'une plateforme à bel effet « wow » suffit à transformer les comportements. Qu'une formation annuelle bien conçue forme une équipe pour l'année. Qu'on peut mesurer l'efficacité d'une sensibilisation au seul taux de complétion ou au seul score de satisfaction, sans regarder ce qui change vraiment dans le quotidien.
Les contre-intuitions qui démontent un dogme (« le collaborateur n'est pas le maillon faible »), les chiffres concrets de transfert de compétences mesurés à froid plusieurs mois après une formation, et les références sectorielles très précises : un autre Responsable Sécurité de mutuelle, un Directeur des Systèmes d'Information d'industrie qui a déployé tel programme avec tel résultat.
Les sujets que vous allez découvrir ne sont pas des idées sorties d'un chapeau. Ils sont le résultat d'un processus de recherche systématique conçu pour maximiser l'impact de chaque vidéo sur votre audience.
Chaque axe a été adapté spécifiquement à la sensibilisation cybersécurité et à votre cible Responsables Sécurité, Directeurs des Systèmes d'Information et Délégués à la Protection des Données. Voici les principaux :
Chaque sujet est évalué sur 25 points selon 4 critères qui mesurent son potentiel de performance sur les réseaux sociaux :
Est-ce que l'accroche empêche le scroll dans les 3 premières secondes ? C'est le critère le plus important : sans rétention, rien d'autre ne compte.
Les gens vont-ils réagir, commenter, donner leur avis ? Est-ce que ça touche une croyance assez ancrée pour déclencher un vrai débat ?
Quelqu'un va-t-il envoyer ça à un collègue en disant « regarde ça » ? Est-ce assez surprenant ou utile pour être partagé ?
C'est assez éducatif ou actionnable pour que quelqu'un le garde ? Est-ce qu'on apprend quelque chose d'utile à retenir ?
24
23-25 Excellent — Potentiel viral exceptionnel. À traiter en priorité.
21
20-22 Très fort — Fort potentiel d'engagement. Recommandé.
18
17-19 Solide — Sujet de qualité, bon complément au calendrier éditorial.
Cliquez sur un sujet pour le dérouler. Cochez les accroches qui vous parlent. Ajoutez vos commentaires.
Février 2024, Hong Kong. Un employé du géant britannique Arup reçoit un mail apparemment signé du directeur financier basé à Londres, qui l'invite à une visioconférence Teams urgente. Sur l'écran, il reconnaît son patron et six collègues, leurs voix, leurs visages, leurs gestes. Il valide quinze virements pour un montant total de 200 millions de dollars hongkongais, soit 25 millions de dollars. Tous les participants étaient des deepfakes générés en temps réel par intelligence artificielle.
On ne demande plus aux collaborateurs de repérer une faute d'orthographe dans un mail, on leur demande de douter d'un visage qu'ils connaissent. C'est exactement pourquoi le collaborateur n'est pas le maillon faible mais un capteur de risques qu'il faut équiper. Sans rappel régulier sur ces nouvelles menaces, le réflexe de vérification disparaît en quarante-huit heures.
Pendant vingt ans, on a répété aux salariés qu'il fallait changer son mot de passe tous les trois mois. Résultat : les gens passent de "Été2025" à "Automne2025", puis "Hiver2025", des variations parfaitement prévisibles pour un attaquant. En août 2024, le NIST, l'organisme américain qui fixe les standards de cybersécurité dans le monde, a publié sa nouvelle norme et interdit officiellement la rotation périodique imposée. La vraie sécurité tient à la longueur du mot de passe, pas à sa fréquence de changement.
La sensibilisation cyber a longtemps répété des règles devenues fausses, et c'est exactement ce qu'on refuse chez Conscio. Quand 80 à 90% des incidents viennent du facteur humain, on ne peut pas continuer à entraîner les collaborateurs sur des automatismes périmés. Réactiver les bons réflexes suppose d'abord de désapprendre les mauvais, c'est la cinquième loi des neurosciences appliquée à la formation.
Le rapport Verizon 2025, qui analyse chaque année des dizaines de milliers d'incidents dans le monde, a mis le doigt sur un chiffre qui change tout. Une petite minorité de collaborateurs, autour de 8%, concentre la grande majorité des clics sur les liens piégés. Autrement dit, on ne forme pas une entreprise contre le phishing comme une masse uniforme, on forme avant tout ces 8 personnes sur 100 qui font basculer la sécurité. Ce constat renverse le débat sur le fameux "maillon faible".
Le collaborateur n'est pas le maillon faible, c'est l'angle mort de la formation de masse. Plutôt qu'une vidéo générique envoyée à 1 000 personnes, on entraîne précisément ceux qui en ont besoin, avec un parcours interpeller-expliquer-appliquer-réactiver adapté. La mesure d'impact à la Kirkpatrick montre que la sensibilisation ciblée transforme bien plus qu'une campagne uniforme.
L'outil VALL-E publié par Microsoft puis affiné en 2024 a divisé par cent le temps nécessaire pour cloner une voix humaine. Trois secondes d'audio suffisent désormais pour fabriquer un message vocal convaincant qui imite votre patron, votre collègue ou votre conjoint. Et ces trois secondes, on les trouve partout : un message vocal WhatsApp, une interview LinkedIn, un message d'attente d'entreprise, un podcast. La fraude au président par téléphone n'a plus besoin de comédien, elle a juste besoin d'un fichier audio.
Quand l'attaque se déguise en voix familière, le collaborateur ne peut plus se fier à son oreille, il a besoin d'un protocole. C'est exactement le travail de la sensibilisation : transformer un réflexe émotionnel en réflexe procédural, par exemple le rappel sur un autre canal. Sans réactivation régulière, ce réflexe s'efface en quarante-huit heures, c'est ce que démontre la recherche en neurosciences appliquée à la formation.
Entre février et mars 2024, France Travail a vu fuiter les données de 36,8 millions de personnes : numéros de sécurité sociale, identités complètes, coordonnées. Les attaquants n'ont pas forcé un système informatique, ils ont usurpé les comptes de conseillers Cap Emploi en se faisant passer pour eux par téléphone et par mail. C'est ce qu'on appelle l'ingénierie sociale, la manipulation humaine pure. La CNIL a sanctionné l'organisme de cinq millions d'euros en 2025, l'une des amendes les plus lourdes prononcées en France.
Aucun pare-feu n'arrête un escroc qui appelle un conseiller en se faisant passer pour son responsable, seul un humain entraîné le peut. Le collaborateur devient alors le capteur de risques que les outils ne voient pas, à condition d'avoir vécu le scénario en formation. Interpeller, expliquer, appliquer, réactiver, ce sont les quatre piliers qui transforment un agent exposé en ligne de défense.
Le rapport LayerX 2025 a analysé l'usage réel de l'intelligence artificielle dans les entreprises et le résultat fait froid dans le dos. 77% des messages envoyés par les salariés à ChatGPT et autres outils contiennent des données réelles de l'entreprise : compte-rendus de réunion, contrats, code source, fiches de paie. Près d'un employé sur deux utilise déjà ces outils au travail, et la plupart le font sans cadre interne. Chaque prompt est potentiellement stocké, réutilisé, ou même ressorti dans la réponse à un autre utilisateur.
Le numérique n'est plus neutre, et l'arrivée de l'intelligence artificielle générative l'a rendu encore moins neutre. La culture digitale responsable, ce n'est pas interdire ChatGPT aux équipes, c'est leur apprendre quoi y mettre et quoi ne pas y mettre. Cette compréhension fine ne vient pas d'une note de service, elle vient d'une sensibilisation continue qui réactive les bons réflexes mois après mois.
Les chercheurs en neurosciences l'ont confirmé en 2024 et 2025 : le cortex préfrontal, la zone du cerveau qui prend les décisions réfléchies, s'épuise au fil de la journée. Plus on avance dans l'après-midi, plus c'est l'amygdale qui prend le relais, la zone des réflexes rapides et émotionnels. Les statistiques de phishing montrent un pic de clics chaque mardi entre 14h et 16h, exactement quand la vigilance est au plus bas. Stress, fatigue cognitive, charge mentale, et le clic part tout seul.
Si la décision se prend dans l'amygdale et pas dans la zone réfléchie, alors la formation cyber doit s'ancrer dans le réflexe et pas seulement dans la connaissance. C'est tout le sens des cinq lois neurosciences appliquées chez Conscio : attention, compréhension, mémorisation, réactivation, transfert. Sans réactivation régulière, 70% de ce qu'on apprend disparaît en quarante-huit heures, et le cerveau retourne à ses automatismes.
Pendant des années, on apprenait à repérer un mail frauduleux à ses fautes d'orthographe et ses tournures bizarres. Le rapport KnowBe4 publié sur 2024 et 2025 enterre cette époque : plus de 80% des mails de phishing sont désormais rédigés par intelligence artificielle générative, dans un français impeccable. Plus de fautes, plus de syntaxe étrange, plus d'expressions traduites mot à mot. Les anciennes méthodes de détection à l'œil nu sont devenues obsolètes pratiquement du jour au lendemain.
Si on enlève les fautes d'orthographe et les tournures suspectes, il reste le contexte, la pression, la demande inhabituelle, et c'est là que la formation se déplace. On n'apprend plus à lire un mail, on apprend à lire une situation. C'est exactement la promesse de Conscio : transformer le collaborateur en capteur de signaux faibles, par interpellation, explication, application, réactivation, et non par une plaquette envoyée une fois par an.
En décembre 2024, le FBI et l'agence américaine de cybersécurité CISA ont publié une recommandation choc : arrêter d'utiliser le SMS pour la double authentification. La raison, c'est l'explosion du détournement de carte SIM, une attaque où l'escroc convainc l'opérateur téléphonique de transférer le numéro de la victime sur sa propre carte. Au Royaume-Uni, ce type de fraude a bondi de 1000% en 2024 selon le rapport Fraudscape. Mieux vaut une application dédiée, comme Authy ou Microsoft Authenticator, ou une clé physique type YubiKey.
La double authentification a été présentée comme la solution miracle pendant des années, et c'est exactement ce dont il faut se méfier en cyber : aucune solution n'est définitive. Refuser le wow effect, c'est aussi refuser de vendre une protection comme un acquis. La formation continue, avec ses rappels et ses mises à jour, accompagne les collaborateurs sur des règles qui évoluent vite, plutôt que de les enfermer dans des certitudes périmées.
Octobre 2024 : 19 millions de dossiers clients de l'opérateur Free se retrouvent exposés, dont 5 millions avec des coordonnées bancaires complètes. L'auteur, identifié peu après, est un adolescent de 17 ans qui a revendu la base sur un forum spécialisé pour 160 000 euros. La faille exploitée était connue, documentée, mais n'avait pas été corrigée. La CNIL a immédiatement ouvert une procédure de sanction qui pourrait peser lourd sur l'opérateur.
Une faille connue mais non corrigée, c'est rarement un problème technique pur, c'est presque toujours un problème de priorité humaine et de culture interne. Quand 80 à 90% des incidents ont une origine humaine, ça inclut aussi la décision de remettre une mise à jour à plus tard. La sensibilisation cyber ne s'arrête pas aux salariés exécutants, elle remonte jusqu'aux arbitrages d'équipe, par interpellation et réactivation continues.
Quand les outils d'intelligence artificielle débarquent dans les entreprises sans encadrement, les collaborateurs s'en saisissent plus vite que les équipes informatiques ne peuvent réagir. C'est ce qu'on appelle le Shadow AI : ces usages invisibles d'IA générative que personne n'a validés, mais qui circulent dans toutes les directions. Le rapport IBM 2025 mesure pour la première fois ce que ce phénomène coûte vraiment aux organisations victimes d'une fuite. Et le chiffre fait réfléchir.
Chez Conscio, on défend une idée simple : le collaborateur n'est pas un risque, c'est un capteur de risques. Face au Shadow AI, interdire ne sert à rien, parce que les gens chercheront un contournement. Notre approche, c'est d'expliquer pourquoi le danger existe, puis d'outiller chacun pour qu'il sache reconnaître les bons et les mauvais réflexes au quotidien.
En septembre 2023, le groupe MGM Resorts a vu ses casinos paralysés pendant plusieurs jours. Pas de virus sophistiqué, pas de faille technique inédite. Les pirates du groupe Scattered Spider ont simplement repéré un employé sur un réseau professionnel, appelé le service informatique en se faisant passer pour lui, et demandé à réinitialiser ses identifiants. Dix minutes plus tard, ils avaient des accès administrateurs, et le groupe perdait plus de 100 millions de dollars.
C'est exactement ce que veut dire Conscio quand on rappelle que 80 à 90% des incidents cyber ont une origine humaine. Le pirate n'a pas attaqué un ordinateur, il a attaqué une procédure. La parade ne se trouve pas dans un nouvel outil, elle se trouve dans la formation des équipes support à dire non, à vérifier, à signaler sans craindre la sanction.
Mai 2023, chez Samsung Electronics. En vingt jours seulement, trois ingénieurs différents font la même erreur. Pour gagner du temps, ils collent du code propriétaire et des notes internes dans un chatbot grand public, histoire qu'il les aide à corriger des bugs ou à résumer des réunions. Ces données partent sur les serveurs du fournisseur. Samsung réagit en interdisant complètement l'outil dans toute l'entreprise. Le coût du blocage a finalement dépassé celui de la fuite elle-même.
Notre conviction chez Conscio, c'est que l'interdiction sèche est rarement la bonne réponse. Elle frustre les équipes performantes, qui finissent par contourner. La meilleure protection, c'est d'apprendre aux collaborateurs à séparer ce qu'on peut donner à un outil externe de ce qu'on ne doit jamais sortir, et de réactiver ce réflexe régulièrement plutôt qu'une fois dans une charte signée.
Juillet 2024, un cadre dirigeant de Ferrari reçoit un appel vidéo de son patron. La voix est parfaite, l'accent italien est parfait, les expressions sont parfaites. Sauf que ce n'est pas lui, c'est un deepfake. Le cadre, légèrement gêné, pose une question banale sur un livre que le vrai dirigeant lui avait recommandé quelques jours plus tôt. Silence à l'écran. La fausse voix bafouille. La tentative de fraude est déjouée par une simple question personnelle, et l'histoire devient un cas d'école.
C'est ce qu'on appelle chez Conscio un réflexe transférable : une habitude simple, qu'on peut enseigner à tout le monde, sans technologie ni budget. Notre méthode en quatre temps, interpeller, expliquer, appliquer, réactiver, sert exactement à cela : transformer un cas isolé comme Ferrari en automatisme partagé par l'ensemble des équipes exposées.
L'image du pirate solitaire en sweat à capuche est devenue obsolète. Les rapports Group-IB 2024-2025 dévoilent des organigrammes très propres : les grands groupes de rançongiciel comme LockBit ou BlackCat fonctionnent comme des entreprises classiques. Affiliés en contrat long, supports clients pour aider les victimes à payer, négociateurs en costume cravate, primes au résultat, recrutements ouverts sur des messageries grand public. En 2024, ces structures ont recruté 44% d'affiliés en plus.
Cette professionnalisation change la nature du combat. Face à des structures qui forment leurs équipes, mesurent leurs résultats et améliorent leurs méthodes en continu, les entreprises ne peuvent plus s'appuyer sur des sessions de sensibilisation ponctuelles. Conscio défend une logique de réactivation permanente, parce que l'attaquant, lui, ne fait jamais de pause.
Beaucoup d'entreprises envoient de faux mails piégés à leurs salariés, et sanctionnent ceux qui mordent à l'hameçon. L'intention est bonne, mais l'effet réel est l'inverse. Une étude ThinkCyber publiée en 2024 montre que la moitié des collaborateurs préfèrent cacher leurs erreurs cyber plutôt que les déclarer, par peur d'être pointés du doigt. Les travaux de l'Université du Sussex la même année confirment que récompenser un signalement spontané forme bien mieux que punir un clic.
C'est exactement la conviction qui structure notre approche : ne piégez pas, entraînez. On refuse la sensibilisation punitive, parce qu'elle abîme la confiance dont on a besoin pour transformer chaque collaborateur en capteur de risques. Une équipe qui se sent jugée prévient moins les incidents, donc en laisse passer plus.
En 1885, un chercheur allemand nommé Hermann Ebbinghaus a tracé pour la première fois la courbe de l'oubli. Sans rappel, le cerveau humain perd 70% d'un contenu appris en seulement 48 heures. Plus d'un siècle plus tard, les travaux de Roediger et Karpicke en 2006 ajoutent que se tester ancre mieux que relire, et la méta-analyse de Cepeda la même année confirme qu'apprendre à intervalles espacés bat tout le reste. Avec trois rappels bien placés, 80% du contenu reste en tête à six mois.
Cette loi des neurosciences est l'une des cinq qui structurent notre méthode. C'est pour ça qu'on refuse le grand séminaire annuel sans suite, et qu'on privilégie des micro-sessions courtes, espacées, qui réactivent les bons réflexes au moment où ils servent vraiment. C'est moins spectaculaire qu'un wow, mais c'est ce qui fait que les comportements tiennent.
En 1984, le psychologue américain Robert Cialdini publie un livre devenu culte sur les ressorts de l'influence. Il identifie six leviers que notre cerveau a du mal à refuser : l'autorité, l'urgence, la rareté, la sympathie, la réciprocité et la preuve sociale. Quarante ans plus tard, la recherche académique de 2024 a passé au crible des milliers de mails piégés. Verdict : 90% utilisent au moins un de ces six leviers. Le manuel des pirates n'a jamais été écrit, mais il existe depuis quatre décennies.
Apprendre à reconnaître ces six leviers, c'est mettre une lumière sur ce qui se passe dans la tête au moment où on lit un mail bizarre. C'est exactement ce que vise notre pilier expliquer : transformer une réaction émotionnelle en raisonnement conscient. Une fois les leviers nommés, ils perdent une grande partie de leur pouvoir.
Septembre 2022, un pirate de 18 ans appartenant au groupe Lapsus$ s'attaque à Uber. Sa méthode tient en une phrase : il se fait passer pour l'employé visé et déclenche en boucle des demandes de double authentification. La victime reçoit notification sur notification, jusqu'à ce qu'elle craque, valide pour faire taire son téléphone, et donne ainsi accès à tout. Microsoft a recensé 382 000 attaques de ce type en douze mois. La technique est devenue un classique.
La double authentification reste essentielle, mais elle n'est plus une protection magique. Notre conviction chez Conscio, c'est qu'aucun outil ne remplace la formation du dernier kilomètre : apprendre à se méfier d'une notification qu'on n'a pas demandée, et à signaler sans tarder. Le clic mécanique de fatigue est la nouvelle faille, et elle se traite par la pédagogie.
Le rapport KnowBe4 publié fin 2025 dresse un panorama des mails piégés qui fonctionnent vraiment. La conclusion est claire : plus de 80% des clics se produisent sur des messages qui imitent une communication interne. Une fausse note des ressources humaines, un faux mail du service informatique, une fausse demande de la direction, une fausse alerte de la comptabilité. L'intelligence artificielle a multiplié la capacité des pirates à personnaliser ces messages avec le bon nom, le bon service, le bon contexte.
Cette évolution change tout pour la formation. Apprendre à repérer les fautes d'orthographe ou les adresses bizarres ne suffit plus, parce que ces signaux ont disparu. Notre approche s'adapte : on entraîne les équipes à valider l'inattendu, à confirmer par un autre canal, à s'arrêter sur les demandes qui touchent à l'argent, aux accès, aux données. Réflexes simples, réactivés régulièrement.
La recherche en neurosciences cognitives montre qu'un récit active des zones du cerveau qu'une règle abstraite ne touche jamais. Quand on entend une histoire, le cerveau libère de l'ocytocine, l'hormone de l'empathie, et bascule dans un mode d'attention émotionnelle. Concrètement, dire "Marie a cliqué sur ce mail et voici ce qui s'est passé" reste en mémoire bien plus longtemps que "ne cliquez pas sur les pièces jointes douteuses". Les chercheurs parlent même de l'effet Zeigarnik : une histoire dont la fin reste en suspens devient irrésistible à terminer mentalement.
Conscio défend depuis le début l'idée que la sensibilisation cyber n'est pas un cours technique mais un travail de mémoire et d'émotion. Les 5 lois neurosciences que l'on mobilise dans nos parcours s'appuient exactement sur ce mécanisme : un collaborateur retient une histoire de collègue piégé, jamais une règle de cybersécurité écrite en gris sur fond blanc. C'est aussi pour ça qu'on refuse les modules génériques et qu'on construit des récits ancrés dans le quotidien des équipes.
Sur le dark web, vos identifiants professionnels sont des produits comme les autres, avec des prix, des catalogues et des vendeurs notés. En 2025, Group-IB et CrowdStrike confirment qu'une véritable économie parallèle s'est structurée autour des accès volés. Un identifiant Microsoft 365 d'entreprise se négocie pour le prix d'un sandwich. Un accès admin, lui, peut atteindre plusieurs centaines d'euros, parce qu'il ouvre la porte de tout le système d'information. Le marketplace fonctionne avec des avis clients, des garanties et même un service après-vente.
Cette économie souterraine confirme une de nos convictions fortes : 80 à 90% des incidents cyber commencent par un humain qui transmet, sans le savoir, ce qui sera revendu quelques heures plus tard. Le collaborateur n'est pas le maillon faible, c'est le capteur de risques le plus précieux de l'entreprise. Et c'est exactement pour ça qu'on refuse l'effet wow autour du dark web : on préfère expliquer la mécanique pour que les équipes comprennent ce qu'elles protègent vraiment.
Le QR code s'est imposé partout, du restaurant au parking, sans qu'on lui applique le moindre réflexe de méfiance. En 2025, l'APWG observe que les attaques par QR code ont été multipliées par cinq en un an. Le principe est simple : un autocollant collé par-dessus un vrai QR code, et toute personne qui scanne se retrouve sur un faux site qui imite parfaitement l'original. Ça touche désormais les factures, les formulaires d'inscription, les bornes de paiement, et même certaines campagnes de communication interne.
Cette nouvelle voie d'entrée illustre parfaitement ce qu'on dit aux Responsables Sécurité : les programmes de sensibilisation qui n'évoluent pas deviennent obsolètes en 18 mois. C'est pour ça qu'on bâtit nos parcours autour des 4 piliers Interpeller, Expliquer, Appliquer, Réactiver, avec une logique de mise à jour continue. Sans cette réactivation régulière, on sait que 70% du contenu est oublié en 48 heures.
L'expérience la plus connue de la cybersécurité comportementale a été menée par l'université d'Illinois en 2016. Des chercheurs ont déposé 297 clés USB sur un campus, en se contentant d'attendre. En moins de dix minutes, près d'une clé sur deux était déjà branchée dans un ordinateur. La motivation des gens n'était même pas la curiosité : c'était l'envie d'aider à retrouver le propriétaire. Dix ans plus tard, l'ANSSI cite toujours cette étude comme référence, parce que le réflexe humain n'a pas changé d'un millimètre.
Cette étude résume tout ce qu'on défend chez Conscio : la cybersécurité n'est pas un problème de technologie, c'est un problème de comportement humain ancré depuis l'enfance. Le collaborateur qui branche la clé n'est ni naïf ni négligent, il agit avec une bonne intention. C'est pour ça qu'on refuse le phishing punitif et qu'on construit des parcours qui interpellent sans humilier. On ne change pas un réflexe en culpabilisant, on le change en l'expliquant.
La directive européenne sur la cybersécurité aurait dû être transposée en France le 17 octobre 2024. Plus d'un an plus tard, la promulgation du texte n'est attendue qu'au premier trimestre 2026. Pendant ce temps, près de 15 000 entreprises françaises sont déjà concernées, contre 500 dans la version précédente. Dix-huit secteurs sont touchés : énergie, santé, transport, banque, alimentaire, services numériques. Le problème, c'est que beaucoup de dirigeants n'ont aucune idée que leur entreprise fait partie de la liste, et découvriront leurs obligations au moment du contrôle.
Cette directive renforce une conviction qu'on porte depuis des années : le numérique n'est plus neutre. Quand on demande aux dirigeants des comptes sur la cybersécurité de leurs équipes, on reconnaît enfin que la sensibilisation est un sujet de gouvernance, pas un sujet informatique. Et comme nous sommes une solution française, on parle aux Responsables Sécurité un langage qu'ils comprennent : conformité, mesure d'impact, traçabilité, souveraineté des données.
En août 2022, Damart est ciblé par un ransomware et reçoit une demande de rançon de deux millions de dollars. La suite est une démonstration de réactivité : les équipes informatiques détectent l'attaque très tôt, et prennent une décision radicale. En moins de dix minutes, l'intégralité des serveurs est éteinte, avant que le chiffrement des données ne se termine. Résultat, aucune donnée volée, business préservé, redémarrage progressif sans payer un centime. Cette histoire est devenue une référence pour montrer que la vitesse de réaction compte autant que la prévention.
Cette histoire confirme ce qu'on répète aux Responsables Sécurité : la prévention parfaite n'existe pas, ce qui existe c'est la capacité à détecter et à réagir vite. Et la détection rapide passe d'abord par les humains, ces fameux capteurs de risques qu'on défend depuis toujours. Une équipe formée et habituée à signaler immédiatement le moindre comportement anormal vaut tous les outils du monde, parce qu'elle gagne ces dix minutes qui changent tout.
Pendant vingt ans, on a appris aux gens que le bon mot de passe contenait une majuscule, un chiffre et un caractère spécial. Hive Systems a publié en 2024 le calcul qui change tout : avec un mot de passe de 13 caractères mêlant les quatre types, il faut 11 milliards d'années à un pirate pour le craquer. Avec 8 caractères composés uniquement de chiffres, ça prend moins d'une minute. Le NIST américain a tiré les conclusions et recommande désormais 12 caractères minimum, en abandonnant les exigences de complexité absurdes. Le critère qui compte vraiment, c'est la longueur.
Ce sujet illustre pourquoi on refuse les modules de sensibilisation génériques recopiés depuis 15 ans. Les bonnes pratiques évoluent, parfois à 180 degrés, et continuer à enseigner "majuscule plus caractère spécial" comme dogme, c'est former les équipes à une cybersécurité périmée. Notre rôle, c'est d'expliquer simplement ce qui change et pourquoi, en s'appuyant sur des sources solides. Vulgariser, ce n'est pas simplifier à outrance, c'est rendre accessible la bonne information au bon moment.
SlashNext a publié en 2024 une analyse qui dérange : les collaborateurs en télétravail ou en déplacement cliquent trois fois plus sur des mails malveillants que ceux qui sont au bureau. Les raisons sont très concrètes. En mobilité, on lit ses mails sur un petit écran, on est fatigué, on enchaîne les transports, on traite vite, on se connecte à un Wi-Fi de café ou d'hôtel. La fatigue cognitive et l'absence de contexte rendent le piège beaucoup plus efficace. Résultat, les profils les plus exposés ne sont pas les stagiaires, ce sont les commerciaux et les dirigeants qui voyagent toute l'année.
Ce constat va à l'encontre de ce qu'on entend partout, à savoir que les petits employés seraient les plus vulnérables. La réalité, c'est que les profils dirigeants en mobilité sont des cibles de choix, et nos parcours en tiennent compte. On adapte les formats aux contextes réels d'usage, on intègre des rappels courts, on construit des piqûres de rappel pour des gens qui n'ont jamais le temps. Sans ça, 70% du contenu d'une formation initiale est oublié en 48 heures.
La fraude au président, qu'on appelle aussi fraude au virement BEC, a coûté plus de 380 millions d'euros aux entreprises françaises en 2023, selon l'observatoire de la sécurité des moyens de paiement. Le mécanisme est toujours le même, et il marche depuis dix ans : un mail ou un appel arrive, signé d'un dirigeant, demandant un virement urgent et confidentiel. Trois ingrédients sont systématiquement présents : urgence, autorité, secret. Quand quelqu'un en interne réunit ces trois éléments dans une seule demande, ce n'est pas un signe d'efficacité, c'est un signal d'alarme.
Cette fraude est l'exemple parfait de notre 80-90% : derrière chaque virement perdu, il y a un humain qui a fait confiance à un mail, pas un firewall qui a échoué. Ce qu'on apprend aux équipes finance et direction, c'est de reconnaître ces trois ingrédients comme un trio suspect, peu importe l'expéditeur. C'est ça, transformer un collaborateur en capteur de risques. Pas le faire douter de tout, juste lui donner les bons réflexes face à un pattern précis.
Daniel Goleman a popularisé un concept essentiel pour comprendre la cybersécurité du quotidien : l'amygdala hijack. Quand on reçoit un message stressant, l'amygdale prend le contrôle du cerveau et désactive la pensée rationnelle. La bonne nouvelle, c'est que cet état dure moins d'une minute. Forcer 30 secondes d'attente avant de répondre à un mail urgent, c'est laisser au cerveau le temps de reprendre la main et de repérer ce qui cloche. L'ANSSI parle même de respiration cyber dans ses guides de bonnes pratiques. C'est probablement le réflexe le plus simple, et le plus efficace, jamais inventé.
Ce sujet illustre deux choses qu'on défend dans tous nos parcours. D'abord, la cybersécurité comportementale s'appuie sur des mécanismes neurosciences précis, pas sur du bon sens approximatif. Ensuite, les réflexes les plus puissants sont aussi les plus simples, ce qui les rend universels et durables. C'est pour ça qu'on intègre des micro-rappels réguliers : un réflexe qu'on n'active pas pendant trois mois disparaît, peu importe sa qualité initiale.
Quarante pour cent des employés laissent passer quelqu'un sans badge, simplement par politesse. C'est ce que mesure l'étude Ponemon Institute sur les intrusions physiques. L'attaquant arrive en costume, un carton dans les bras, sourire engageant, et la porte s'ouvre toute seule. Une fois à l'intérieur, il photographie les écrans laissés ouverts, copie des documents posés sur les bureaux, branche une clé pour récupérer ce qu'il veut. C'est l'attaque la plus simple qui existe et celle qu'on corrige le moins.
On parle beaucoup de mails piégés, beaucoup moins du fait qu'un attaquant peut tout simplement entrer dans les locaux. Notre conviction chez Conscio, c'est que le collaborateur est le premier capteur de risques, et ça vaut aussi pour la porte d'entrée. La sensibilisation efficace, c'est apprendre à dire non poliment, sans peur de mal faire.
Le rapport SecurityScorecard 2025 pose un constat brutal : trente pour cent des fuites de données en 2024 ne venaient pas de l'entreprise visée, mais d'un de ses prestataires. Cabinet comptable, logiciel de paie, fournisseur cloud, agence web qui gère le site, l'attaquant passe par la porte d'à côté parce qu'elle est moins surveillée. Près de cent pour cent des cent plus grandes entreprises françaises ont vécu au moins un incident par cette voie. On peut blinder son propre système, si le prestataire est mal protégé, le risque rentre quand même.
Notre approche, c'est de considérer chaque collaborateur comme un capteur de risques, et ça inclut la relation avec les prestataires. Qui a accès à quoi, depuis quand, pour quoi faire. Sensibiliser, ce n'est pas seulement parler de mails piégés, c'est aussi apprendre à se poser ces questions sur les partenaires extérieurs au quotidien.
Recevoir un code par SMS pour se connecter, ça donne l'impression d'être protégé. En réalité, les professionnels de la cybersécurité ne s'en servent jamais. La technique du détournement de carte SIM existe depuis longtemps : un coup de fil bien tourné à l'opérateur, le numéro est transféré sur la carte du pirate, et tous les codes SMS arrivent chez lui. L'agence française qui édicte les bonnes pratiques recommande depuis longtemps de passer par des applications dédiées comme Authy ou Google Authenticator, ou par une clé physique. Le SMS, c'est une sécurité d'apparence.
L'idée chez Conscio, c'est de ne pas se contenter du wow et du sensationnel, mais de transmettre les bons réflexes. Sur la double authentification, le message doit être clair : oui c'est indispensable, et non le SMS n'est pas l'option la plus solide. Sensibiliser, c'est aussi corriger les fausses bonnes habitudes.
Le psychologue Robert Cialdini a démontré il y a quarante ans que recevoir un cadeau crée un sentiment de dette, même minuscule. Les pirates l'ont parfaitement compris. La fraude commence par un mail des ressources humaines, l'air de rien : "Petit cadeau de fin d'année, carte Amazon de 50 euros". Trois jours plus tard, un autre mail arrive, prétendument du dirigeant, qui demande un virement urgent ou un service rapide. Selon Barracuda, neuf fraudes au faux président sur dix se terminent par cette demande : "Achetez des cartes cadeaux et envoyez-moi les codes".
Notre conviction chez Conscio, c'est qu'expliquer le mécanisme psychologique vaut mieux que multiplier les interdictions. Quand un collaborateur comprend pourquoi un cadeau le rend plus vulnérable, il développe un vrai réflexe critique. C'est exactement ce que vise notre pilier Expliquer dans le parcours de sensibilisation.
Pendant longtemps, on reconnaissait un mail piégé à ses fautes d'orthographe et à sa traduction approximative. Cette époque est terminée. Une démonstration d'IBM en 2024 a montré qu'il faut cinq minutes et cinq instructions bien tournées pour générer un mail de hameçonnage en français impeccable, avec le ton et les codes d'une vraie communication d'entreprise. Une recherche conjointe de Purdue et RIT a mesuré le résultat : cinquante-quatre pour cent de clics sur les mails écrits par IA, contre douze pour cent sur ceux écrits par des pirates humains amateurs. La barrière linguistique qui protégeait la France vient de tomber.
Notre approche, c'est d'admettre que les anciens repères ne fonctionnent plus, et d'apprendre les nouveaux. On ne peut plus dire regardez les fautes pour repérer un mail piégé, donc il faut transmettre d'autres signaux : l'urgence anormale, la demande inhabituelle, le canal inattendu. Sensibiliser efficacement, c'est mettre à jour les réflexes au rythme des attaques.
Le constat est inconfortable mais clair. L'étude Gartner 2024 mesure que quarante-neuf pour cent des télétravailleurs contournent volontairement les règles de cybersécurité de leur entreprise, pour aller plus vite et éviter les frictions. L'usage d'outils non validés a bondi de cinquante-neuf pour cent depuis l'arrivée massive du télétravail, selon Orange Cyberdéfense. Le vrai sujet n'est pas que les gens soient indisciplinés. C'est que les règles sont vécues comme un frein, pas comme un cadre qui protège. Tant qu'on n'aura pas changé ça, les contournements continueront.
Chez Conscio, on refuse l'approche punitive. Notre pilier Appliquer ne consiste pas à empiler des interdits, mais à rendre les règles compréhensibles et utilisables au quotidien. Si la majorité des collaborateurs contournent les règles, c'est que les règles sont mal pensées ou mal expliquées, pas que les collaborateurs sont mauvais.
Quand un collaborateur quitte l'entreprise, son badge est rendu le jour même. Ses accès numériques, en revanche, mettent en moyenne six mois à être désactivés complètement, selon les rapports d'incidents internes 2024. Sa boîte mail reste active, ses accès aux logiciels en ligne aussi, ses partages de documents dans le cloud sont toujours valides. La grande majorité des incidents internes viennent précisément de ces comptes oubliés. Un ex-salarié en désaccord, un identifiant qui fuite, un pirate qui rachète la base de données, et la porte est encore grande ouverte.
Notre conviction, c'est que la cybersécurité ne s'arrête pas au mail piégé, elle englobe toute la vie d'un collaborateur dans l'entreprise, y compris son départ. Sensibiliser les équipes ressources humaines, formation, managers, ce n'est pas un détail. C'est exactement la philosophie de notre pilier Réactiver : la vigilance se rejoue à chaque étape.
En août 2022, l'hôpital de Corbeil-Essonnes est attaqué par un groupe de pirates qui chiffre l'ensemble des systèmes informatiques. Rançon réclamée : dix millions de dollars. L'hôpital refuse, par principe et par obligation légale. Pendant trois semaines, les équipes médicales fonctionnent au papier-crayon : les dossiers patients, les ordonnances, les plannings, tout est manuel. La cadence chute de deux cent trente patients par jour à quatre-vingt-dix. Onze gigaoctets de données médicales finissent publiées sur internet. Cet épisode a profondément marqué la prise de conscience du secteur santé en France.
Notre approche refuse le sensationnalisme, mais l'histoire de Corbeil a une vraie valeur pédagogique : elle rend tangible ce que veut dire indisponibilité numérique. Sensibiliser, ce n'est pas faire peur, c'est faire comprendre que le numérique n'est plus neutre, et que sa perte a un coût immédiat sur le terrain. C'est aussi rappeler la souveraineté française dans la réponse à ce type de crise.
Une recherche publiée en 2024 sur le stress et la prise de décision aboutit à un constat saisissant. Quand on subit un stress intense pendant plus d'une heure, le cortisol affecte temporairement la zone du cerveau qui pilote la réflexion, le cortex préfrontal. Les performances cognitives chutent à un niveau comparable à celles d'un enfant de huit ans. Le cerveau bascule en mode automatique, sur des réflexes simples. C'est exactement ce qu'exploitent les mails marqués URGENT en majuscules : ils déclenchent un clic réflexe parce que le cerveau réfléchi a été court-circuité par le stress.
Notre pédagogie s'appuie sur les neurosciences, ce n'est pas une posture marketing. Comprendre que le stress fait littéralement régresser le cerveau, c'est comprendre pourquoi les mails urgents fonctionnent si bien. Le pilier Interpeller chez Conscio mobilise précisément ces leviers, pas pour manipuler, mais pour ancrer durablement le bon réflexe.
Une revue scientifique publiée dans Heliyon en 2024 a synthétisé les résultats de dizaines d'études sur la formation à la cybersécurité. La conclusion est nette : intégrer du jeu dans l'apprentissage augmente la rétention d'information de soixante-dix pour cent par rapport aux vidéos passives ou aux PDF à lire. Pluralsight mesure un engagement multiplié par presque deux sur les modules avec mécaniques de jeu. Hoxhunt, qui forme des millions de salariés, observe un signalement des mails suspects multiplié par quatre quand le score et le classement entrent en jeu. Ce n'est pas un gadget, c'est de la science cognitive bien utilisée.
Notre conviction s'oppose à la sensibilisation punitive et au phishing piégeux qui culpabilise. On préfère mobiliser le jeu, le rythme, la répétition espacée parce que c'est ce qui marche durablement. Sans rappel, soixante-dix pour cent de ce qu'on apprend est oublié en quarante-huit heures. Le jeu n'est pas un divertissement, c'est un outil de mémorisation sérieux.
Chaque année, une étude internationale recense les mots de passe les plus utilisés dans le monde et par pays. En France comme ailleurs, le palmarès 2025 est consternant de simplicité. Six fois sur les sept dernières années, le numéro un mondial reste le même. Et la France a ses spécialités locales qui en disent long sur notre rapport à la sécurité numérique.
Ce sujet illustre parfaitement la conviction Conscio : le collaborateur n'est pas le maillon faible, c'est un capteur de risques qu'on n'a jamais formé. Personne n'apprend à fabriquer un mot de passe correct, donc tout le monde recycle ce qu'il connaît. La réponse n'est pas la culpabilisation, c'est l'application : on explique le mécanisme, puis on fait pratiquer pour que le réflexe rentre.
La doctrine officielle française est claire depuis des années : ne jamais payer une rançon en cas de cyberattaque. L'agence nationale de cybersécurité martèle cette consigne dans toutes ses communications. Pourtant, une étude récente menée auprès des entreprises françaises victimes en 2024 raconte une histoire totalement différente. Le décalage entre le discours public et la réalité du terrain est devenu vertigineux.
Le wow effect ne sert à rien quand la vraie question est ailleurs : comment éviter d'en arriver là. La sensibilisation, ce n'est pas faire peur, c'est outiller les équipes pour repérer le piège bien avant l'incident. 80 à 90% des incidents commencent par une erreur humaine évitable. Former régulièrement les collaborateurs, c'est statistiquement la mesure la plus rentable pour ne pas figurer dans les 92%.
Il y a deux ans, on parlait encore en jours, voire en semaines. Le temps que met un attaquant entre le moment où il rentre dans un système et celui où il chiffre tout pour demander une rançon s'appelle le temps de présence. Ce délai s'effondre depuis trois ans. Les chiffres 2024 ont surpris jusqu'aux experts du secteur. Pour les entreprises, ça change radicalement la fenêtre de réaction disponible.
Quand la fenêtre se réduit à quelques heures, la vraie ligne de défense devient le collaborateur capable de signaler immédiatement un mail bizarre. Sans rappel régulier, 70% de ce qu'on apprend en formation est oublié en 48 heures. La méthode Conscio repose sur la réactivation : on revient régulièrement sur les bons réflexes pour qu'ils restent disponibles le jour où ça compte.
Pendant longtemps, les entreprises de taille intermédiaire pensaient passer entre les gouttes. Trop petites pour intéresser les grands groupes de pirates, trop grandes pour être réellement vulnérables. Le panorama publié par l'agence nationale en 2025 dresse un tout autre constat. Les pirates ont fait un calcul économique simple : moyennes structures, vraies trésoreries, défenses incomplètes. Le résultat est sans appel.
L'ETI a un profil unique : elle a beaucoup à protéger mais rarement les moyens d'un grand compte. C'est exactement le terrain où la sensibilisation des équipes apporte le meilleur retour sur investissement. Plutôt que d'empiler des outils, on muscle le capteur humain. La méthode en 4 piliers, interpeller, expliquer, appliquer, réactiver, est conçue pour des structures qui n'ont pas un département dédié de 50 personnes.
Dans beaucoup d'entreprises, les comités de direction ont migré sur Mac. L'argument répété depuis vingt ans : Apple, c'est plus sûr. Or les chercheurs spécialisés observent une accélération nette des logiciels malveillants conçus spécifiquement pour macOS. La logique des pirates est purement économique. Plus il y a de Mac dans les entreprises, plus ça devient rentable d'en fabriquer.
Le mythe du Mac sûr crée un faux sentiment de sécurité, et le faux sentiment de sécurité, c'est le pire ennemi de la vigilance. Les dirigeants équipés en Mac sont aussi ceux qui ont accès aux données les plus sensibles. La sensibilisation n'a pas à être différenciée par système d'exploitation, elle doit être universelle et ancrée dans les comportements. C'est le collaborateur qui clique, pas la machine.
Tous les mois d'octobre, les entreprises sortent leurs affiches, leurs newsletters et leurs webinaires sur la cybersécurité. C'est devenu un rituel rassurant. Le problème, c'est que la science cognitive dit exactement l'inverse depuis trente ans. Concentrer un apprentissage sur quatre semaines puis ne plus en parler avant un an, c'est la garantie que rien ne reste. Les chercheurs en pédagogie ont un mot pour ça.
L'apprentissage espacé est la première loi des neurosciences appliquées à la formation. Conscio construit ses parcours sur ce principe : des séquences courtes, répétées, réactivées dans l'année. Une opération de masse en octobre rassure la communication interne, mais elle ne change pas durablement les comportements. La vraie efficacité se mesure dans la durée, pas dans le nombre d'inscrits à un webinaire.
C'est le cliché qui fait sourire dans les conférences. Le post-it jaune avec le mot de passe collé sous le clavier ou caché dans un tiroir. On en rigole en pensant que ça n'arrive plus, que c'était les années 2000. Une étude internationale menée auprès des collaborateurs en 2024 douche ce sentiment. La réalité du terrain n'a presque pas bougé. Et la raison profonde n'est pas celle qu'on croit.
Le collaborateur n'est pas paresseux, il est débordé. On lui demande de mémoriser 30 mots de passe complexes sans jamais lui présenter un gestionnaire de mots de passe ni la double authentification. Conscio refuse le phishing punitif et la culpabilisation. La pédagogie utile, c'est : voilà le problème, voici l'outil, voici l'exercice. Quand on enseigne, le post-it disparaît tout seul.
C'est l'outil que tout le monde utilise quand un fichier est trop gros pour un mail. Pratique, gratuit, rapide. Le problème, c'est que personne ne se demande ce qui circule. Une fiche client, un contrat, un fichier RH partent sur un service public, transitent par des serveurs étrangers, et le lien peut être transféré, copié, intercepté. Le règlement européen sur la protection des données ne fait pas de distinction entre pratique et conforme.
Ce n'est pas un sujet de mauvaise volonté, c'est un sujet de réflexes. Les équipes utilisent ce qu'elles connaissent, et personne ne leur a montré l'alternative interne. La méthode Conscio : interpeller sur le risque concret, expliquer simplement, faire appliquer avec l'outil maison, puis réactiver pour ancrer le comportement. La sécurité réelle, ce n'est pas l'interdiction, c'est le bon outil au bon moment.
L'Europe s'est dotée d'un règlement spécifique sur l'intelligence artificielle. Les entreprises ont mis du temps à le regarder de près. Le 2 août 2026, la version complète entre en vigueur. Beaucoup ignorent encore qu'un article impose une obligation directe à l'employeur sur la formation des équipes qui utilisent ces outils. Les sanctions prévues sont du même ordre que celles du règlement européen sur les données personnelles.
L'arrivée massive des outils d'IA dans les entreprises crée une nouvelle surface de risque. Données sensibles collées dans un chatbot, contrats analysés par un modèle externe, informations confidentielles qui partent on ne sait où. La sensibilisation aux bons réflexes IA s'inscrit dans la continuité directe de la cyber : mêmes piliers, mêmes lois cognitives, même besoin de réactivation régulière. Conscio l'intègre nativement aux parcours.
Personne ne fait attention à l'imprimante. Elle est là depuis des années, elle imprime, c'est tout. Pourtant, les imprimantes connectées modernes sont de vrais petits serveurs. Elles stockent les documents sur un disque dur intégré, elles sont reliées au réseau, elles gardent un mot de passe d'usine dans la majorité des cas. Les pirates le savent depuis longtemps. Les responsables sécurité, beaucoup moins.
Le périmètre de la cybersécurité ne se limite pas aux ordinateurs. Tout objet connecté à un réseau est un point d'entrée potentiel. La sensibilisation des équipes inclut ces angles morts. Quand on apprend aux collaborateurs à signaler une imprimante qui se comporte bizarrement, ou à vérifier qu'un document confidentiel n'est pas resté dans le bac, on transforme chaque personne en capteur de risques. C'est tout l'esprit de la méthode.
En plus des sujets en interview classique, on propose 4 concepts dynamiques pour varier le flux éditorial. Chaque concept se décline en 3 vidéos thématisées. Cliquez sur un concept pour le déplier, puis indiquez ceux qui vous plaisent.
SOCRATECH — Stratégie de Contenus Vidéo — 2026