Être visible sur Internet ne signifie pas forcément être la cible la plus vulnérable. Parfois, le risque se cache là où on ne le soupçonne pas.
Imaginez quatre personnes. Aïcha est journaliste d’investigation. Elle enquête sur des sujets sensibles et échange régulièrement avec des sources qui prennent des risques pour lui transmettre des informations. Koffi est journaliste reporter. Il couvre l’actualité générale et publie régulièrement ses reportages sur les réseaux sociaux. Mariam est militante associative. Elle participe à des campagnes de sensibilisation, défend des causes sociales et prend publiquement position sur des questions qui ne font pas toujours l’unanimité. David, lui, est responsable informatique. Il communique peu sur les réseaux sociaux, préfère rester discret et n’a rien d’une personnalité publique. Pourtant, il dispose d’accès techniques qui lui permettent d’administrer les systèmes informatiques de son organisation.
À première vue, Aïcha ou Mariam semblent être les personnes les plus exposées aux menaces numériques. Leur activité est visible, leurs prises de position peuvent déranger et leurs publications les rendent facilement identifiables. Mais si un cybercriminel cherchait à pénétrer dans le système informatique de leur organisation, qui choisirait-il ? David pourrait devenir sa cible prioritaire. Et si l’objectif était de faire taire une militante, d’intimider une journaliste ou de discréditer une enquête, le raisonnement serait encore différent. C’est précisément là que commence une véritable réflexion sur la sécurité numérique : le risque ne dépend pas uniquement de ce que nous montrons au monde, mais aussi de ce que nous représentons pour ceux qui pourraient vouloir nous nuire.
Le piège de la visibilité : croire que les autres sont plus exposés que soi
Nous avons souvent tendance à associer le risque numérique à la notoriété. Une journaliste connue, un militant très actif sur Facebook ou une personnalité qui s’exprime régulièrement sur des sujets sensibles attirent naturellement l’attention. Leurs publications sont publiques, leurs opinions sont identifiables et leurs activités peuvent susciter des réactions hostiles. Cette visibilité constitue effectivement un facteur d’exposition. Une campagne de harcèlement peut commencer par une publication, se poursuivre dans les commentaires, puis se transformer en une succession de messages privés, de menaces et de tentatives d’intimidation. Dans certains cas, les informations personnelles de la personne ciblée sont recherchées puis diffusées publiquement pour l’effrayer ou mettre ses proches en danger. Cette pratique, connue sous le nom de doxxing, peut avoir des conséquences très concrètes : changement de numéro de téléphone, déménagement, suspension temporaire d’activités ou renoncement à prendre publiquement la parole. Pourtant, se concentrer uniquement sur les personnes visibles serait une erreur.
Dans une organisation, les individus les moins connus du grand public peuvent détenir les informations les plus sensibles. Une personne qui gère les comptes administrateurs, les accès aux serveurs ou les outils collaboratifs peut représenter une porte d’entrée vers l’ensemble du système d’information. Un attaquant n’a pas nécessairement besoin de s’en prendre au directeur, à la journaliste ou au porte-parole. Il peut préférer compromettre le compte d’un collaborateur moins visible, mais disposant de privilèges importants. La discrétion ne garantit donc pas la sécurité. De la même manière, la notoriété ne signifie pas automatiquement qu’une personne est la cible la plus intéressante dans toutes les situations.
La bonne question n’est pas simplement : « Qui est le plus visible ? », mais plutôt : « Qui pourrait être ciblé, pour quelle raison et avec quelles conséquences ? »
Quatre menaces, quatre manières différentes de faire des dégâts
Pour comprendre cette différence, il suffit d’observer quatre menaces qui touchent régulièrement les journalistes, les défenseurs des droits humains, les militants associatifs et les organisations.
1. Le doxxing : quand les informations publiques deviennent une arme
Nous partageons parfois beaucoup plus d’informations que nous ne l’imaginons. Une photographie prise devant son domicile, une publication mentionnant son quartier, un numéro de téléphone laissé sur une ancienne affiche ou les commentaires d’un proche peuvent, mis bout à bout, révéler des éléments personnels. Pris séparément, ces détails semblent anodins. Rassemblés, ils peuvent permettre de mieux identifier une personne, de retrouver son lieu de travail ou de localiser ses proches. C’est ce qui rend le doxxing particulièrement préoccupant : l’information utilisée contre une personne n’a pas nécessairement été obtenue en piratant son téléphone ou son ordinateur. Elle peut provenir de sources accessibles au public.
Pour une journaliste qui enquête sur un sujet sensible, la diffusion de son adresse personnelle peut menacer sa sécurité et celle de sa famille. Pour une militante, elle peut servir à organiser une campagne d’intimidation. Pour un responsable informatique, l’exposition de certaines informations personnelles peut faciliter une tentative d’usurpation d’identité ou une attaque par ingénierie sociale. La première mesure de protection consiste donc à prendre le temps d’examiner sa propre empreinte numérique. Que peut-on trouver sur vous en effectuant une recherche avec votre nom ? Quelles anciennes publications sont encore accessibles ? Vos coordonnées personnelles sont-elles associées à vos comptes professionnels ? Il ne s’agit pas de disparaître d’Internet. Il s’agit de reprendre la maîtrise des informations que l’on y laisse.
2. Le harcèlement numérique : quand les attaques cherchent à épuiser
Le harcèlement en ligne ne se résume pas à recevoir un commentaire insultant. Il peut prendre la forme de messages répétés, de menaces, de campagnes coordonnées, de faux comptes créés pour nuire à une réputation ou de tentatives destinées à pousser une personne à quitter l’espace public. Dans certains cas, les attaques sont organisées pour donner l’impression que tout le monde se retourne contre la personne ciblée. Le but ne consiste pas toujours à lui faire changer d’opinion. Il peut simplement s’agir de rendre sa présence en ligne si pénible qu’elle finisse par renoncer à s’exprimer.
Pour les femmes journalistes et les militantes, cette réalité peut prendre une dimension supplémentaire. Les attaques peuvent viser leur apparence, leur vie intime, leur réputation sexuelle ou leur famille. Des menaces sexistes et misogynes peuvent être utilisées pour les humilier, les isoler ou remettre en cause leur légitimité à prendre la parole. Il serait toutefois réducteur de considérer que toutes les femmes vivent les mêmes expériences ou que les hommes ne sont pas concernés par le harcèlement. Les formes et les conséquences des attaques dépendent notamment du contexte, de l’identité de la personne, de son activité et des rapports de pouvoir dans son environnement.
Pour les organisations, une question mérite d’être posée : que se passe-t-il lorsqu’un collaborateur est pris pour cible ? Dispose-t-il d’un interlocuteur à qui signaler les faits ? L’organisation sait-elle conserver les preuves, évaluer les risques et apporter un soutien adapté ? Existe-t-il une procédure permettant de réagir sans exposer davantage la victime ? La protection numérique ne devrait jamais reposer uniquement sur la capacité d’une personne à encaisser les attaques.
3. Le vol de compte : une erreur qui peut ouvrir beaucoup de portes
Un message arrive dans la boîte de réception d’un collaborateur. Il semble provenir d’un service connu, d’un collègue ou d’un partenaire. Il demande de vérifier un document, de consulter un lien ou de confirmer des informations. Rien de particulièrement alarmant, du moins au premier regard. La personne clique. Elle saisit ses identifiants sur une page frauduleuse. Quelques instants plus tard, un tiers peut disposer des informations nécessaires pour tenter de prendre le contrôle de son compte.
Ce scénario illustre l’une des réalités les plus importantes de la cybersécurité : une attaque sophistiquée n’est pas toujours nécessaire pour provoquer des dégâts. L’ingénierie sociale exploite notamment la confiance, l’urgence, la curiosité ou la peur de commettre une erreur professionnelle. Pour une journaliste, la compromission d’une boîte mail peut exposer des échanges avec des sources confidentielles. Pour une militante, elle peut donner accès à des conversations privées, à des documents associatifs ou à des informations concernant les membres d’un réseau. Pour un responsable informatique, le risque peut être encore plus large si le compte compromis permet d’accéder à d’autres services.
Quelques habitudes réduisent sensiblement ce risque.
Utiliser un mot de passe unique pour chaque service, activer l’authentification multifacteur et recourir à un gestionnaire de mots de passe constituent de bonnes bases.
Il faut également apprendre à ralentir face aux messages inattendus. Lorsqu’une demande paraît urgente ou inhabituelle, mieux vaut vérifier son origine par un autre canal que de cliquer immédiatement.
Et si un compte est compromis, il est important de réagir rapidement : utiliser un appareil de confiance pour sécuriser les accès, révoquer les sessions suspectes, modifier les identifiants concernés et prévenir les personnes susceptibles d’être affectées.
L’essentiel est de comprendre qu’un compte numérique n’est pas un simple outil de communication. Il peut être le point d’entrée vers une grande partie de notre vie professionnelle et personnelle.
4. La divulgation d’informations privées : des conséquences qui dépassent l’écran
Une conversation privée est publiée sans autorisation. Des documents confidentiels circulent dans un groupe public. Des images intimes sont utilisées pour humilier une personne ou exercer une pression sur elle. Les conséquences peuvent être immédiates, mais elles peuvent aussi se prolonger pendant des années. La victime doit parfois faire face à la honte, à la peur du jugement, aux tensions familiales, aux difficultés professionnelles ou à la crainte que les contenus réapparaissent. Ces situations ne concernent pas uniquement les personnalités publiques. Elles peuvent toucher n’importe quel membre d’une organisation, y compris les personnes qui utilisent peu les réseaux sociaux.
La séparation entre vie professionnelle et vie personnelle joue ici un rôle important. Utiliser la même adresse électronique pour ses échanges familiaux, ses activités militantes et ses communications professionnelles peut créer des liens entre des univers que l’on préférerait garder distincts. Cette séparation n’offre pas une protection absolue, mais elle permet de limiter certains risques et de mieux contrôler les accès. Il faut également rappeler un principe fondamental : la possibilité technique de consulter ou de partager une information ne donne pas automatiquement le droit de la diffuser. Face à une divulgation non consentie, la priorité consiste à protéger la personne concernée, conserver les éléments utiles à un éventuel signalement et rechercher un accompagnement adapté. La victime ne doit pas être tenue responsable de l’acte commis contre elle.
Le genre, la profession, les accès : pourquoi une analyse sérieuse doit croiser plusieurs facteurs
Revenons à nos quatre personnages.
Aïcha, Koffi, Mariam et David ne présentent pas les mêmes caractéristiques. Ils n’exercent pas le même métier, ne disposent pas des mêmes accès et ne sont pas exposés aux mêmes conséquences en cas d’incident. Aïcha peut être particulièrement vulnérable à une attaque visant ses sources ou les informations liées à ses enquêtes. Koffi peut être confronté à des risques associés à ses reportages, à ses déplacements ou à la visibilité de ses publications. Mariam peut être exposée à des campagnes de harcèlement liées à ses prises de position, ainsi qu’à des tentatives visant à perturber les activités de son association. David, enfin, peut représenter une cible stratégique pour un attaquant qui cherche à accéder aux systèmes de son organisation.
Lequel est le plus exposé ?
Il n’existe pas de réponse valable dans toutes les circonstances. Tout dépend de la menace considérée, des informations accessibles, des protections déjà en place et des conséquences possibles. C’est ici qu’intervient une méthode d’analyse utile : distinguer la menace, l’exposition, la vulnérabilité et l’impact.
La menace, c’est ce qui pourrait arriver : une tentative de phishing, une campagne de harcèlement, un vol de compte ou une divulgation d’informations.
L’exposition, c’est la manière dont une personne ou une organisation peut être atteinte. Ses activités publiques, ses coordonnées disponibles en ligne ou ses responsabilités professionnelles peuvent augmenter cette exposition.
La vulnérabilité, c’est ce qui rendrait l’attaque plus facile ou plus dommageable : un mot de passe réutilisé, un compte insuffisamment protégé, une procédure inexistante ou un accès trop largement accordé.
L’impact, enfin, correspond aux conséquences possibles si l’incident se produit : perte de données, mise en danger d’une source, interruption d’une activité, atteinte à la réputation ou préjudice psychologique.
Cette distinction change la manière de réfléchir à la sécurité.
Une personne peut être très visible, mais disposer de protections solides. Une autre peut être peu connue et avoir un compte particulièrement sensible insuffisamment sécurisé. Deux individus confrontés à la même menace peuvent donc présenter des niveaux de risque très différents. Le genre et le contexte social doivent également être pris en compte lorsque certaines formes d’attaque visent spécifiquement des caractéristiques personnelles ou entraînent des conséquences différentes selon la situation de la victime. L’objectif n’est pas d’enfermer les personnes dans des catégories prédéfinies. Il est de comprendre leur situation réelle, sans se contenter de suppositions.
En Afrique, la sécurité numérique est aussi une question de continuité et de confiance
Pour les médias indépendants, les associations et les organisations de défense des droits humains, une attaque numérique ne s’arrête pas toujours à la personne directement visée. La compromission du compte d’un journaliste peut exposer ses sources. Celle d’un membre d’une association peut révéler l’identité de bénéficiaires ou de partenaires. Un incident touchant un administrateur informatique peut perturber les activités de toute une structure. Ces risques prennent une importance particulière pour les organisations dont les équipes travaillent sur plusieurs sites, utilisent des équipements personnels ou doivent composer avec des moyens techniques et financiers limités. Dans ces conditions, acheter un outil de sécurité ne suffit pas.
Une organisation doit aussi réfléchir à ses pratiques quotidiennes : qui a accès aux informations sensibles ? Les comptes sont-ils protégés par une authentification multifacteur ? Les documents importants font-ils l’objet de sauvegardes ? Les collaborateurs savent-ils reconnaître une tentative de phishing ? Que faut-il faire lorsqu’un téléphone disparaît ou qu’un compte est compromis ?
Il faut également réfléchir à la manière dont les incidents sont signalés et traités. Si une personne craint d’être blâmée après avoir cliqué sur un lien frauduleux, elle risque de retarder le signalement. Ce délai peut permettre à l’attaquant de poursuivre ses actions. À l’inverse, une culture de sécurité qui encourage le signalement rapide, sans jugement inutile, aide l’organisation à réagir plus efficacement. La cybersécurité devient alors une responsabilité collective. Elle ne relève plus seulement du service informatique, mais aussi des responsables, des équipes de communication, des ressources humaines et de chaque personne qui manipule des informations sensibles.
Cinq réflexes pour réduire son exposition numérique
Il n’est pas nécessaire de devenir spécialiste en cybersécurité pour commencer à mieux se protéger.
Quelques habitudes peuvent déjà faire une différence.
1. Faire régulièrement le point sur son empreinte numérique.
Recherchez votre nom, vos anciens pseudonymes et les coordonnées que vous avez pu publier. Examinez les informations qui apparaissent et, lorsque cela est possible, demandez la suppression de celles qui n’ont pas vocation à rester accessibles.
2. Renforcer la sécurité de ses comptes.
Utilisez des mots de passe uniques, stockés dans un gestionnaire fiable, et activez l’authentification multifacteur, en privilégiant si possible une application d’authentification ou une clé de sécurité lorsque le service le permet.
3. Séparer les usages personnels et professionnels.
Dans la mesure du possible, évitez d’utiliser les mêmes comptes pour les communications familiales, les activités militantes et les échanges professionnels sensibles. Limitez également les informations personnelles visibles sur les profils publics.
4. Apprendre à reconnaître les tentatives de manipulation.
Un message qui exige une réaction immédiate, réclame un mot de passe ou propose un lien inattendu mérite une vérification. En cas de doute, contactez directement l’expéditeur par un canal connu.
5. Préparer sa réaction avant qu’un incident survienne.
Sachez qui contacter si votre compte est compromis, si vous recevez des menaces ou si des informations privées sont diffusées. Pour les organisations, cette préparation devrait inclure des procédures de signalement, de conservation des preuves, de sécurisation des accès et d’accompagnement des personnes touchées.
Ces mesures ne suppriment pas tous les risques. Elles permettent néanmoins de réduire certaines vulnérabilités et de réagir plus rapidement lorsqu’un problème survient.
Et si l’on apprenait la cybersécurité autrement ?
Lire des recommandations est utile. Mais comprendre réellement les risques demande parfois de se mettre en situation. C’est l’intérêt des serious games consacrés à la sécurité numérique. En plaçant les participants face à des profils fictifs, des menaces et des décisions à justifier, ces simulations les invitent à dépasser leurs premières impressions. Qui serait le plus exposé à une campagne de doxxing ? Quel compte serait le plus stratégique à compromettre ? Les conséquences d’un vol de compte seraient-elles identiques pour une journaliste et un responsable informatique ?
Il ne s’agit pas simplement de trouver une bonne réponse. Il faut apprendre à expliquer son raisonnement, à identifier les informations qui manquent et à considérer plusieurs facteurs avant de prendre une décision. Cette approche permet aussi de faire émerger des biais. On peut, par exemple, surestimer le risque associé aux personnes les plus visibles et oublier celles qui disposent d’accès techniques importants. On peut également sous-estimer les conséquences particulières que certaines attaques ont sur les femmes engagées dans l’espace public.
Le débriefing est alors essentiel. Il transforme les choix effectués pendant le jeu en enseignements réutilisables dans la vie professionnelle. Une simulation ne remplace ni un audit de sécurité ni un accompagnement spécialisé. Elle offre cependant un espace pour expérimenter, se tromper, discuter et progresser sans attendre qu’un incident réel survienne. Pour les organisations qui travaillent avec des journalistes, des militants et des défenseurs des droits humains, cette dimension pédagogique mérite une place à part entière dans les programmes de renforcement des capacités.
La vraie question n’est pas de savoir qui est le plus vulnérable
Au terme de cette réflexion, revenons une dernière fois à Aïcha, Koffi, Mariam et David. Il serait tentant de désigner un seul profil comme le plus exposé. Pourtant, cette réponse n’aurait de sens qu’en fonction d’une menace précise et d’un contexte donné. Aïcha peut être particulièrement concernée lorsqu’il s’agit de protéger ses sources. Mariam peut avoir besoin de mesures spécifiques face au harcèlement. David doit porter une attention particulière à ses privilèges techniques. Koffi, comme les autres, doit évaluer les risques liés à ses activités et à ses outils. Leur protection ne peut donc pas reposer sur une recette unique.
Elle commence par une meilleure connaissance de soi, de ses activités, des informations que l’on détient et des conséquences qu’un incident pourrait entraîner pour les autres. Car c’est peut-être l’enseignement le plus important de cette démarche : en matière de sécurité numérique, protéger une personne, c’est parfois protéger tout un réseau de relations, de sources, de collègues et de bénéficiaires.
La prochaine fois que vous évaluerez votre sécurité en ligne, ne vous demandez pas seulement si vous êtes suffisamment discret ou si votre mot de passe est assez compliqué. Demandez-vous plutôt ce qu’un attaquant pourrait chercher à obtenir, comment il pourrait s’y prendre et ce qui se passerait si son opération réussissait. C’est à partir de ces questions que la prévention cesse d’être une simple liste de consignes pour devenir un véritable réflexe. Et c’est aussi là que commence une culture de sécurité numérique plus consciente, plus inclusive et mieux adaptée aux réalités du terrain.
Un article proposé par SecureVoices.ORG, engagé dans le développement des compétences en sécurité numérique et en résilience organisationnelle. Cet article est inspiré du Serious Game « Qui est le plus exposé » de l’atelier régional organisé par Avocats Sans Frontières Canada (ASF Canada) avec l’appui d’Affaires Mondiales Canada.