Seuls 31 % des salariés espagnols interrogés par WatchGuard Technologies confirment toujours, par un canal indépendant, les demandes sensibles qu’ils reçoivent, comme un changement de compte bancaire, un virement ou une demande de données confidentielles. Ce chiffre provient de l’indice de confiance cyber que l’entreprise a établi auprès de plus de 500 salariés de huit pays, et place l’Espagne en bas du classement, devant seulement l’Allemagne (22 %) et le Portugal (28 %).

Les points clés de l’indice de confiance cyber de WatchGuard en 30 secondes

• WatchGuard a interrogé plus de 500 salariés à temps plein dans huit pays, dont 62 en Espagne.
• En Espagne, 69 % ne vérifient pas toujours les demandes sensibles et 76 % ont cliqué sur un lien ou une pièce jointe parce qu’ils semblaient venir d’une connaissance.
• 48 % feraient confiance sans vérifier à un message texte urgent du CEO demandant un paiement ou des données.
• Seuls 23 % recouperaient par une autre voie un appel vidéo suspect.

L’étude part d’une idée simple : le problème n’est pas la confiance dans le numérique, mais l’habitude de tenir une communication pour bonne parce qu’elle a bonne apparence. 42 % des personnes interrogées en Espagne disent faire aujourd’hui plus confiance qu’il y a cinq ans aux communications et aux contenus reçus par les canaux numériques, contre 39 % qui leur font moins confiance et 19 % qui n’ont pas changé d’avis. À l’échelle mondiale, la balance penche un peu plus vers la confiance : 46 % contre 31 %.

Ce qui compte, ce sont les signaux que les salariés utilisent pour juger qu’un message est légitime. En Espagne, 42 % se fient à une image d’entreprise correcte, 32 % au fait que le message mentionne un détail professionnel ou personnel familier et 26 % au fait que l’expéditeur soit connu. Seuls 16 % placent la vérification indépendante parmi les raisons de faire confiance à une demande. Ce sont justement les signaux qu’un attaquant peut copier avec un logo, un e-mail compromis ou des informations tirées des réseaux sociaux.

Le message urgent du CEO fonctionne toujours

L’usurpation de dirigeants, la classique fraude au président, apparaît comme l’un des points les plus faibles. 48 % des salariés espagnols reconnaissent qu’ils feraient probablement confiance, sans vérifier, à un message texte urgent du directeur général ou du propriétaire de l’entreprise demandant un paiement ou des données confidentielles. Si le message est vocal, le pourcentage tombe à 44 %. Sur l’ensemble de l’échantillon, les chiffres sont de 42 % et 40 %, et les États-Unis arrivent en tête avec 59 % pour le message texte.

Le rapport nuance lui-même ces réponses : elles mesurent une confiance implicite, pas la disposition à mener à bien une opération que le salarié sait frauduleuse. WatchGuard conclut malgré tout que l’identité de celui qui demande quelque chose et l’urgence de la demande ne devraient jamais justifier de contourner les procédures de vérification, et que les salariés ont besoin à la fois d’un protocole de confirmation et du soutien explicite de la direction pour l’appliquer, même lorsque l’ordre vient d’en haut.

Les appels vidéo, de plus en plus utilisés dans des fraudes par deepfakes, ne s’en sortent pas mieux. Face à une demande inhabituelle ou confidentielle par vidéo, 63 % des personnes interrogées en Espagne jugeraient l’identité de leur interlocuteur d’après son visage, sa voix ou le nom affiché à l’écran, dix points de plus que la moyenne mondiale (53 %). Seuls 23 % donneraient la priorité à une vérification par un autre canal ou par une procédure interne, contre 28 % au niveau mondial. Sur l’ensemble de l’étude, 54 % affirment avoir été confrontés à une arnaque générée par IA, un deepfake, une tentative d’usurpation ou une communication frauduleuse, bien que WatchGuard prévienne que la question regroupait toutes ces situations et ne permet pas de savoir combien impliquaient réellement de l’IA.

Corey Nachreiner, responsable de la sécurité de l’information (CISO) de WatchGuard, résume l’approche de l’entreprise en une phrase : « La vérification devient l’une des compétences de cybersécurité les plus importantes pour les salariés ».

L’Espagne, en bas du classement de la vérification

La comparaison par pays montre que faire moins confiance n’équivaut pas à vérifier davantage. L’Australie affiche le taux le plus élevé de salariés qui vérifient toujours (69 %) malgré une confiance assez forte dans le contenu numérique (59 %). À l’autre extrémité, l’Allemagne reste à 22 %. L’Espagne, avec 31 %, partage avec le Portugal la tranche basse, et fait aussi partie des pays où le moins de salariés estiment que leur organisation est bien préparée face à une cyberattaque : 40 %, contre 73 % aux États-Unis ou 67 % en Australie. À l’échelle mondiale, seuls 21 % pensent que leur entreprise est entièrement préparée à prévenir une attaque majeure ou à y résister.

Lorsqu’on leur demande quel est le principal obstacle à l’amélioration, les Espagnols pointent surtout une formation insuffisante (32 %) et, loin derrière, le manque de sensibilisation (15 %). Sur l’ensemble de l’échantillon, 38 % citent l’une de ces deux causes. Le rapport place l’Espagne, le Portugal et la France parmi les pays où la montée en compétences préoccupe particulièrement, tandis qu’en Italie, la pénurie de personnel et de compétences en cybersécurité pèse davantage.

Par secteur, la santé est celui qui vérifie le plus (63 % le font toujours), les services financiers affichent la plus forte confiance dans le contenu numérique (72 %) mais moins de la moitié vérifient toujours (43 %), et l’administration publique est la plus sceptique, sans pour autant atteindre la moitié en vérification constante (47 %). L’assurance enregistre le taux le plus bas, avec 22 %.

L’IA générative ajoute une couche. Moins de la moitié des personnes interrogées (47 %) font confiance à ces outils, mais seules 32 % vérifient toujours ce qu’ils produisent avant d’agir, et seulement 56 % pensent que leur employeur utilise l’IA de façon responsable et sûre.

Ce que le rapport ne précise pas

Il convient de lire les chiffres avec prudence. L’échantillon espagnol compte 62 personnes, et dans d’autres pays il tourne autour de 50 ou 60, si bien que les pourcentages nationaux décrivent les attitudes de petits groupes. Le document le reconnaît lui-même en indiquant que ces échantillons ne permettent pas d’établir de classements nationaux de performance en cybersécurité et que les données sectorielles proviennent de sous-groupes réduits. Ni le communiqué de presse ni le rapport ne détaillent les dates de l’enquête de terrain, l’entreprise qui a réalisé le sondage ni la marge d’erreur. De plus, l’étude a été commandée par une entreprise qui vend des solutions de sécurité, pour l’essentiel via des fournisseurs de services gérés (MSP).

Les recommandations de WatchGuard, au-delà de ses produits, sont celles, habituelles, de la sensibilisation : exiger une confirmation auprès d’un contact préalablement établi pour les changements de paiement, les transferts de données et les demandes d’accès inhabituelles, en appliquant cette règle aussi aux dirigeants ; faire des simulations réalistes avec de faux messages, de fausses voix et de faux appels vidéo ; publier des règles claires sur les outils d’IA approuvés et sur les données qui ne peuvent pas y être saisies ; combiner une authentification multifacteur résistante au phishing avec le filtrage des e-mails, la protection des endpoints, le moindre privilège et des sauvegardes testées, et faciliter des canaux simples pour signaler les incidents sans crainte de représailles. L’entreprise conclut son communiqué en mettant en avant son approche Zero Trust et son service de détection et réponse gérées (MDR) 24 h/24 et 7 j/7, une offre commerciale qui ne fait pas partie des résultats de l’enquête. WatchGuard affirme travailler avec plus de 25 000 MSP et protéger plus de 1,5 million de clients.

Pour ceux qui gèrent la sécurité dans des entreprises dotées d’une infrastructure propre ou dans le cloud, la lecture pratique est que la technologie ne couvre qu’une partie du risque : un virement approuvé à la suite d’un appel convaincant, aucun pare-feu ne l’arrête. Dans nos colonnes, nous avons récemment analysé d’autres travaux de l’entreprise, comme son rapport sur les menaces du premier semestre 2026, qui décrit le passage de campagnes de masse à des attaques plus ciblées s’appuyant sur l’IA.

Le rapport mondial complet en espagnol, Indice de confiance cyber de WatchGuard (PDF), reprend tous les tableaux par pays et par secteur.

Questions fréquentes

Qu’est-ce que l’indice de confiance cyber de WatchGuard ?

C’est une enquête de WatchGuard Technologies auprès de plus de 500 salariés à temps plein des États-Unis, du Royaume-Uni, de France, d’Allemagne, d’Italie, du Portugal, d’Espagne et d’Australie sur leur confiance dans les communications numériques et la façon dont ils les vérifient.

Combien de salariés en Espagne vérifient toujours les demandes sensibles ?

31 % des personnes interrogées en Espagne affirment toujours vérifier par un canal indépendant. Seuls l’Allemagne (22 %) et le Portugal (28 %) affichent des taux plus bas.

Les données de l’Espagne sont-elles représentatives ?

L’échantillon espagnol compte 62 personnes. Le rapport prévient lui-même que les échantillons par pays sont petits et ne permettent pas d’établir de classements nationaux, et il ne publie pas la marge d’erreur.

Que recommande WatchGuard pour réduire le risque ?

Rendre obligatoire la vérification des paiements, des données confidentielles et des accès inhabituels auprès d’un contact déjà connu, former par des simulations réalistes, fixer des règles d’usage de l’IA et combiner des protections techniques en couches avec des canaux simples pour signaler les incidents.

Sources :

• WatchGuard Technologies, communiqué de presse sur l’indice de confiance numérique en Espagne
• WatchGuard Technologies, indice de confiance cyber de WatchGuard (rapport mondial, PDF)