"2025 a marqué un tournant, non pas par le volume d’attaques, mais par leur nouveau visage. Notre baromètre met en évidence une réelle évolution des cyberattaques transitant par emails. Ces dernières sont devenues plus crédibles, plus contextualisées et plus difficiles à détecter, avec une exploitation toujours plus fine des réflexes humains (urgence, autorité, automatisme). L’enjeu n’est plus seulement de "bloquer des menaces", mais de réduire les erreurs humaines provoquées par le contexte de travail (pression, fatigue, mobilité, surcharge)", explique Justine De Ubeda, Directrice Produit chez Mailinblack.
2025 : un tournant dans la nature des attaques
Si le volume d’attaques n’a pas beaucoup augmenté (2,86 % des emails étaient malveillants en 2025, contre 2,4 % en 2024), leur nature et leur timing ont évolué l’an passé. Les cyberattaques ne tombent plus « au hasard » : elles interviennent à des moments précis. Les week-ends enregistrent ainsi 7,3 % d’attaques contre 2,4 % en semaine, exploitant notamment la baisse de vigilance.
"L’attaquant ne cherche plus à envoyer des millions de messages, mais à les rendre invisibles dans le flux d’emails en visant les moments de vulnérabilité maximum", explique Justine De Ubeda, Directrice Produit chez Mailinblack.
Le bruit de fond, un problème structurel
Au-delà des attaques frontales, le baromètre met en évidence un problème massif : 24,8 % des emails reçus sont indésirables. Ce « bruit de fond » ne paraît pas dangereux isolément, mais il crée une fatigue cognitive qui rend plus probable l’erreur au moment critique.
Résultat : attention divisée, vigilance usée, et défenses baissées constituent le contexte idéal pour que les attaques ciblées soient couronnées de succès.
Quatre profils, des vulnérabilités différentes et des attaques sur mesure
Le baromètre révèle qu’il n’y a pas « un employé vulnérable » type, mais des vulnérabilités différentes selon le contexte de travail.
Les collaborateurs en fonctions support (administratif, RH, comptabilité) reçoivent 1 210 emails par an et sont visés principalement par des ransomwares très crédibles incluant des CV, RIB, et contrats. Leur fenêtre de risque : de 13h à 15h. C’est le profil le plus exposé.
Les agents de terrain en structure publique (hôpital, collectivité, laboratoire) présentent un profil différent : moins d’emails (715 par an), un accès ponctuel au PC, et une forte mobilité. Mais leur contexte opérationnel - fatigue, urgence, travail de nuit - amplifie le risque de tomber dans les pièges. Les attaques (principalement le ransomware) les visent la nuit avec des leurres très concrets : faux portails RH ou faux bulletins de paie.
Les commerciaux constituent le profil de risque maximal : 2 468 emails par an, beaucoup de déplacements, et une consultation de leurs mails sur leur smartphone en fin de journée. Ils reçoivent 4,25 fois plus de virus que la moyenne et 10,5 % de spearphishing en plus que certains autres profils. Les attaquants les ciblent entre 18h et 19h, quand la fatigue s’ajoute à l’urgence de conclure, sur des sujets comme des faux bons de commande, paiements urgents, ou des fausses connexions à des outils métiers.
Enfin, les dirigeants cumulent un volume élevé (2 209 emails par an), une navigation entre mobile, PC et tablette, des validations fréquentes et des accès critiques à sécuriser. Les attaquants les ciblent précisément entre 20h et 22h, quand les validations sont plus rapides — avec un impact potentiel plus important à chaque clic de part la criticité des décisions prises.
Ces biais cognitifs qui nous rendent vulnérables
Mailinblack a analysé les simulations d’attaques diffusées par sa solution Cyber Coach pour révéler les points de vulnérabilité spécifiques à chaque profil. Différentes simulations font appel à différents biais cognitifs et invitent le destinataire de l’email à cliquer sur un lien et à remplir certaines informations (nom, prénom, mot de passe, données bancaires, etc.). Si le collaborateur détecte une attaque potentielle, il est invité à la signaler via la plateforme Mailinblack.
Chez les collaborateurs support : un taux de clic de 11,8 % et taux de "fill" (remplissage d’informations personnelles et / ou confidentielles) de 9,6 %. Le biais dominant est l’urgence (« je dois traiter cela vite »).
Chez les agents de terrain : un taux de clic de 10,3 %, un taux de fill assez inférieur (3,5 %), mais un taux de signalement des attaques quasi nul (0,15 %). Les biais exploités sont l’autorité et le stress (« c’est une consigne officielle, il faut agir »).
Chez les commerciaux : un taux de clic de 20,9 % et un taux de fill de 17,3 %, les plus élevés des quatre profils. Les biais exploités sont la curiosité et la réactivité (« je regarde, je traite, j’avance »).
Chez les dirigeants : un taux de clic de 9,1 %, un taux de fill de 6,4 %, mais 26 % des utilisateurs tombent dans le panneau des ransomwares. Le biais principal exploité est la curiosité (« je veux comprendre, vérifier »).
À noter : suite à une formation (Cyber Academy), les comportements changent drastiquement. Chez les collaborateurs support : moins 33 % de fill. Chez les dirigeants : le taux de compromission est divisé par 10.
"La simulation ne mesure pas la cyberculture, elle révèle un réflexe. Et ce réflexe est entraînable. Une heure de formation pour un COMEX permet de sécuriser des dizaines de décisions", résume Cassie Leroux, Directrice des Opérations chez Mailinblack.
Mots de passe : le dernier rempart
Même avec les meilleurs outils de détection, le zéro erreur n’existe pas. Le baromètre souligne l’importance de l’hygiène des accès : "Chaque moment où un collaborateur remplit ses identifiants sur une page frauduleuse, c’est une porte qui s’ouvre. Si cette porte donne directement accès aux données sensibles, le voleur a gagné. D’où l’importance d’ajouter des couches : MFA (authentification multifacteur), mots de passe uniques, et accès minimisés", conclut Justine De Ubeda.
Un gestionnaire de mots de passe comme Sikker, de Mailinblack, est une première bonne pratique à mettre en place facilement. L’analyse des données de cet outil nous apprend que les collaborateurs transverses, les commerciaux et les dirigeants ont une tendance nette à remplacer leurs mots de passe faibles par d’autres plus forts. Les agents de terrain représentent quant à eux un risque élevé car ils ont un usage encore limité de la génération de mots de passe forts et donc une forte proportion de mots de passe faibles.
Méthodologie : l’étude a été menée sur 1,918 milliard d’emails transitant en 2025 par les messageries électroniques professionnelles équipées des solutions Mailinblack, ainsi que sur les données comportementales collectées via ses outils de simulation d’attaques (Cyber Coach), de formation (Cyber Academy) et de gestion des mots de passe (Sikker). Elle distingue quatre profils d’utilisateurs exposés différemment au risque cyber.
