Le paradoxe du natif numérique : pourquoi la génération Z est la plus vulnérable aux attaques de phishing

Plus exposée au phishing que les seniors, la Gen Z pousse les entreprises à adopter des solutions d'authentification physiques.

Pendant longtemps, le consensus dominant en cybersécurité a été relativement simple : les générations plus âgées, moins familières avec l'évolution rapide de la technologie numérique, sont les plus vulnérables aux arnaques en ligne. Les "enfants du numérique", des personnes ayant grandi avec un smartphone en main, étaient considérés comme immunisés face aux cybermenaces grâce à leur familiarité avec la technologie.

Pourtant, le baromètre sur la perception cyber des internautes, publié par cybermalveillance.gouv.fr, révèle un paradoxe surprenant qui remet en cause cette hypothèse. En effet, les 18-34 ans sont plus exposés que les 55-75 ans aux menaces. La génération Z (Gen Z), notamment, navigue dans un réseau sophistiqué d'ingénierie sociale qui cible spécifiquement leurs comportements numériques. Pour les professionnels de la sécurité et les dirigeants d'entreprise, comprendre ce fossé générationnel n'est plus qu'un exercice académique mais un impératif crucial pour assurer la sécurité de l'entreprise moderne.

Le paradoxe du clic-happy

Selon notre récente étude, si les jeunes générations sont en effet les plus rapides à adopter des outils de sécurité modernes comme l'authentification multi-facteurs (MFA), elles sont aussi, de loin, les plus susceptibles d'être victimes d'attaques d'ingénierie sociale et de phishing. La vulnérabilité du phishing chez les jeunes utilisateurs est importante, les données révélant que la génération Z est près de trois fois plus vulnérable au phishing que les baby-boomers. 62 % des répondants ont admis avoir interagi avec un message de phishing, en cliquant sur un lien, en ouvrant une pièce jointe ou en répondant, au cours de l'année écoulée. En contraste frappant, seulement 23 % des baby-boomers ont déclaré faire de même. Ces derniers semblent protégés par leur hésitation même. Leur réticence à interagir avec des messages non sollicités ou à naviguer dans un terrain numérique inconnu sert de mécanisme de défense accidentel mais efficace.

En revanche, la familiarité de la Gen Z avec la communication numérique en fait une cible privilégiée. Ils vivent dans un environnement toujours actif où la vitesse est monnaie d'échange. Certains étaient attirés par un message malveillant qui offrait une "opportunité précieuse", comme une offre d'emploi ou un prix alléchant.

L'angle mort de l'IA et le piège de la surconfiance

L'essor de l'IA dans la cybercriminalité a radicalement transformé le paysage du phishing. En permettant aux cybercriminels de générer des messages ultra réalistes et pratiquement indiscernables de communications légitimes, l'IA a créé un nouvel angle mort sécuritaire, particulièrement chez les jeunes générations. On observe un phénomène de surconfiance alarmant chez la Gen Z car 38 % d’entre eux croient avec certitude qu'un message généré par l'IA a été rédigé par un humain, alors que les baby-boomers se montrent plus sceptiques avec seulement 21 % d'erreurs.

Cette faille psychologique neutralise les meilleures barrières technologiques. La Gen Z est pourtant la championne de la MFA, une solution adoptée par 71 % d'entre eux sur leurs comptes personnels contre 51 % pour les baby-boomers. Malheureusement, cette armure technique s'effondre face à l'ingénierie sociale. Qu'importe le niveau de sécurité si l'utilisateur, trompé par un message parfait, cède volontairement un code à usage unique ou valide une notification push.

Les conséquences de cette vulnérabilité sont directes et lourdes. En tombant dans le panneau, la Gen Z expose des données hautement sensibles. Parmi les jeunes qui se font piéger, 26 % divulguent leur numéro de téléphone et près de 20 % leur date de naissance. Ce niveau d'exposition ouvre grand la porte au vol d'identité et à des attaques de spearphishing de plus en plus ciblées.

Pour les dirigeants et les directeurs de la sécurité de l'information, il s'agit d'un signal d'alarme majeur. À mesure que la Gen Z investit le marché du travail, ses habitudes numériques et ses angles morts s'infiltrent dans l'organisation, d'autant plus que la frontière entre appareils personnels et professionnels s'estompe. Le constat est sans appel. Si la génération la plus techno native de l'histoire se fait si facilement piéger, miser uniquement sur la vigilance des employés ou sur des formations traditionnelles est une stratégie obsolète. Face à un message généré par l'IA parfaitement calibré pour exploiter l'urgence ou un centre d'intérêt, l'erreur humaine devient inévitable. Les entreprises ne peuvent plus simplement former leurs équipes et doivent repenser leur sécurité pour bloquer la menace en amont.

Dépasser la responsabilité par une stratégie de résilience

Ainsi, il faut cesser de blâmer les utilisateurs et leur donner des outils de sécurité efficaces. Les organisations doivent évoluer vers une MFA résistante au phishing. Le successeur clair du mot de passe hérité et de l'OTP phishable est la clé d'accès physique. Les passkeys représentent un changement fondamental dans l’approche de l'authentification. Dans leur forme la plus sécurisée, ils sont liés à l'appareil et stockés sur une clé de sécurité matérielle physique plutôt que sur un serveur distant.

De manière cruciale, les passkeys comblent le fossé entre sécurité et ergonomie que la Gen Z exige. Ils fonctionnent en associant une clé publique à une clé privée impossible à deviner. Parce que l'authentification est liée au domaine spécifique, une passkey ne fonctionnera tout simplement pas si un utilisateur est trompé en cliquant sur un lien vers un site frauduleux. L'authentification échoue, et l'attaquant est stoppé net, peu importe à quel point l'appât généré par l'IA peut être convaincant.

En fin de compte, aucune génération n'est à l'abri de l'ingénierie sociale et des attaques de phishing. Cependant, en reconnaissant qu'être à l'aise avec la technologie ne signifie pas être cybersécurisé, il est possible de mettre en place les mesures de sécurité nécessaires pour protéger l'avenir numérique de tous. La véritable sécurité nécessite une combinaison de scepticisme sain et d'outils matériels qui protègent les données personnelles et professionnelles, et ce, même lors d'un clic frauduleux.