2 clics, 1 lien, plus d’effraction, la cybercriminalité profite de la connexion, ce qui change pour vous et vos comptes

La cambrioleurs d’hier avait besoin d’une porte, d’un pied-de-biche, d’un voisin absent. Le cybercriminel d’aujourd’hui a besoin d’une connexion, d’un mot de passe qui traîne, et d’un clic de travers. Et ça, on en a tous sous la main, tout le temps. Résultat, l’ère de la connexion a remplacé celle de l’effraction. Tu peux te faire dépouiller sans bruit, sans vitre cassée, sans même que personne ne « rentre » chez toi.

Ce basculement n’a rien d’un slogan. Les chiffres racontent une industrialisation: plus de 80% des actes de cybercriminalité viendraient d’activités organisées, avec des marchés noirs structurés, des cycles de production, et des services prêts à l’emploi. Dans le même temps, l’internet 2025, plus mobile, plus rapide, plus dense, sert de terrain de chasse. Et le truc, c’est que la frontière entre victime « particulier » et victime « entreprise » devient floue. Tout le monde est une porte d’entrée.

La connectivité mondiale a créé des cibles partout, tout le temps

Quand au moins 2,3 milliards de personnes avaient déjà accès à internet en 2011, on avait posé la première pierre d’un nouveau quotidien: comptes en ligne, achats, messageries, documents, souvenirs, tout bascule sur des serveurs. Depuis, la logique s’est accélérée: smartphone dans la poche, applis bancaires, télétravail, objets connectés, et une présence numérique qui ne s’éteint jamais. Du coup, la « maison » à protéger n’a plus d’adresse. Elle tient dans tes identifiants.

Cette hyper-connexion fabrique des opportunités criminelles mécaniques. Le cambriolage classique demande de la prise de risque physique et du repérage. La fraude en ligne, elle, se nourrit de volume: tu envoies des milliers de messages d’hameçonnage, tu récupères quelques victimes, et tu rentabilises. Le plus pervers, c’est que ça marche même quand tu fais « presque » attention. Une pièce jointe, un faux site, une imitation de marque, et tu donnes toi-même la clé.

La comparaison est brutale: l’effraction vise un lieu, la cyberattaque vise un flux. Tu n’as pas besoin de savoir où tu habites, seulement quel service tu utilises. Et en 2025, les usages restent très mobiles: 43% du trafic mondial vient des appareils mobiles. Sur un écran de téléphone, les indices de fraude se voient moins, les URL se lisent mal, et tu vas vite. Ce cocktail, c’est du pain bénit pour les escrocs.

Il y a aussi une dimension géographique qu’on oublie. L’accès global au réseau a étendu le « marché » des victimes, mais aussi celui des auteurs. Dans des pays en développement, des sous-cultures de jeunes peuvent entrer dans la fraude en ligne tôt, attirées par l’argent rapide et l’impression de distance avec la victime. Ce n’est pas une excuse, c’est un constat: la connexion a mis en relation des inconnus, et certains l’exploitent comme une autoroute.

Plus de 80% des cybercrimes viennent d’organisations structurées

On aime bien imaginer le hacker solitaire, capuche, cave humide. La réalité est plus froide: on estime que plus de 80% des actes de cybercriminalité proviennent d’activités organisées. Ça veut dire des équipes, des rôles, des outils, des filières. Comme dans n’importe quelle économie, tu as de la production, de la distribution, du service après-vente, et du blanchiment. La différence, c’est que tout se fait à distance, et souvent à bas bruit.

Ces groupes s’appuient sur des marchés noirs établis: création de logiciels malveillants, infections informatiques, gestion de botnets, récupération de données financières ou personnelles, revente de ces données, puis encaissement. Chaque étape peut être « sous-traitée ». Tu peux acheter un kit, louer un botnet, payer pour une campagne de phishing, ou commander une intrusion. Et le pire, c’est que les auteurs ne nécessitent plus forcément des compétences techniques complexes. L’offre s’est démocratisée.

Dans cette chaîne, la donnée est la marchandise reine. Un mot de passe, une adresse mail, un numéro de carte, une copie de pièce d’identité, ça se revend. Pris séparément, ça paraît banal. En lot, c’est une mine d’or. Tu peux monter une fraude, vider un compte, usurper une identité, ou préparer une attaque plus large. Et côté victimes, la sensation est étrange: tu n’as rien « perdu » physiquement, mais tu passes des semaines à réparer.

Un expert que j’ai déjà entendu dans des formations sécurité résumait ça à sa façon: « Le cybercrime, c’est de la logistique. » Marc, RSSI dans une ETI, me disait la même chose après une tentative d’arnaque au faux fournisseur: « Ils avaient nos logos, nos signatures, le ton des mails. On aurait dit nous. » C’est ça le niveau. Pas besoin d’un coup d’éclat, juste d’une organisation qui répète et améliore ses scripts.

Phishing, usurpation et mails piégés: la nouvelle porte d’entrée

Le point d’entrée le plus rentable reste souvent le plus bête: le message. En 2025, le volume de courriels malveillants dépasse 5% des emails analysés dans certains périmètres d’observation, avec une prédominance des tentatives d’usurpation d’identité et d’imitation de marques. Cinq pour cent, ça a l’air petit. Sauf que sur des millions de messages, c’est une pluie continue. Et dans une pluie, tu finis par être mouillé.

L’hameçonnage joue sur des réflexes: urgence, peur, récompense. « Votre colis est bloqué », « votre compte va être fermé », « une facture impayée ». Les marques imitées sont choisies parce que tu les connais déjà. Et comme une partie de la vie est devenue mobile, tu traites ça entre deux stations de métro, sur un écran minuscule, sans vérifier. Le truc c’est que le cybercriminel n’a pas besoin de te convaincre longtemps, juste de te faire cliquer une fois.

Les conséquences ne se limitent pas au vol d’argent. Une boîte mail compromise, c’est un carnet d’adresses, des conversations, des documents, parfois des accès à d’autres services via « mot de passe oublié ». Sur le terrain, on voit des enchaînements: piratage d’email, puis fraude au président, puis détournement de virement. Le cambriolage classique te prend des objets. Là, on te prend ta capacité à prouver qui tu es et ce que tu as décidé.

Je nuance quand même: on a tendance à tout mettre sur le dos de « l’utilisateur imprudent ». C’est confortable, mais incomplet. Les interfaces poussent à la vitesse, les notifications sont conçues pour capter l’attention, et les entreprises laissent parfois des parcours de sécurité trop fragiles. Si ton service te laisse réutiliser le même mot de passe partout, ou si l’authentification forte est planquée, tu aides l’attaquant. La responsabilité est partagée, même si ça n’arrange personne.

DDoS à 30 Tbps: quand on ne vole rien, on paralyse tout

Il n’y a pas que le vol. Il y a l’asphyxie. En 2025, certaines attaques DDoS dites hyper-volumétriques ont dépassé les 30 Tbps. On parle de débits qui n’ont rien à voir avec le « petit » piratage. L’idée n’est pas d’entrer chez toi, mais de te rendre inaccessible. Site qui tombe, service qui rame, application inutilisable. Et quand ça touche une organisation, l’impact se compte en heures perdues, en réputation, en clients qui partent.

Ce qui frappe, c’est l’échelle industrielle. Une attaque DDoS s’appuie souvent sur des réseaux de machines compromises, des botnets, qui bombardent une cible de requêtes. Tu peux être un particulier et participer sans le savoir, via un appareil infecté. Et côté défense, il faut des capacités d’absorption, de filtrage, de redirection. Tout ça coûte cher. Du coup, on se retrouve avec une forme de « taxe » implicite: pour exister en ligne, tu dois payer pour encaisser les coups.

Les cibles aussi racontent une histoire. Les attaques visent en priorité des organisations du secteur « People and Society », un ensemble qui inclut ONG, institutions civiques et organisations religieuses. Ce n’est pas anodin: paralyser une ONG ou une structure civique, ce n’est pas seulement du business. Ça peut être de l’intimidation, de la perturbation, une manière de faire taire ou de détourner l’attention. Le cyber devient un outil de pression, pas juste une arnaque.

Et pendant qu’on parle d’attaques spectaculaires, il y a un autre chiffre qui pique: 6% du trafic mondial observé sur certains réseaux a été atténué pour des raisons de sécurité ou de conformité sur l’année. Six pour cent du trafic, filtré, stoppé, dévié. Ça donne une idée du bruit ambiant. La nuance, c’est que ces chiffres dépendent du périmètre observé. Mais même en gardant ça en tête, la tendance est claire: le réseau encaisse une hostilité permanente.

Le droit et les pratiques peinent à suivre le crime « numérisé »

Le mot « cybercriminalité » lui-même flotte. Une définition souvent reprise distingue les atteintes aux réseaux (piratage, intrusions, vol de données) et l’utilisation des réseaux pour porter atteinte aux personnes (escroquerie, usurpation d’identité, contenus illégaux, propagande). Cette distinction aide à comprendre un truc simple: parfois, l’ordinateur est la cible. Parfois, c’est juste l’arme. Et dans les deux cas, l’enquête n’a pas les mêmes réflexes qu’un cambriolage.

Les pouvoirs publics ne sont pas restés immobiles: la France a des textes anciens sur les données personnelles, et le droit s’est adapté au fil du temps. Mais sur le terrain, la vitesse du numérique met tout le monde en difficulté. Les preuves sont volatiles, les serveurs sont à l’étranger, les auteurs se cachent derrière des intermédiaires, et les victimes ne déposent pas toujours plainte, par fatigue ou par honte. Résultat, l’écart se creuse entre le vécu et la réponse.

La pandémie a aussi joué un rôle d’accélérateur d’usages, donc d’opportunités. Des analyses sur cette période notent que les attaques ont pu se déplacer, en visant davantage les salariés à la maison plutôt que les réseaux d’entreprise classiques. Télétravail, outils bricolés, procédures improvisées, c’était un boulevard. On ne peut pas dire précisément l’effet sur le volume global du crime sans données consolidées, mais l’idée du déplacement de crimes conventionnels vers le cyber est prise au sérieux.

Et puis il y a la question qui fâche: est-ce qu’on se protège vraiment mieux? Oui et non. Les infrastructures progressent, les débits et la latence s’améliorent, les protocoles évoluent, et les équipes sécurité montent en puissance. Mais plus on connecte, plus on multiplie les points faibles. Marc, côté entreprise, me disait: « On a blindé le siège, mais les gens bossent partout. » Du coup, la sécurité devient une culture, pas un boîtier magique. Et ça, c’est long à installer.