Le risque humain dans la finance : là où l’argent circule

Dans une banque, l’argent ne circule pas parce qu’un système décide de le déplacer. Il circule parce qu’une personne dotée des bonnes habilitations croit qu’une instruction est authentique. Ce simple fait explique l’essentiel de la menace actuelle dans les services financiers. À l’échelle mondiale, l’IC3 du FBI a recensé 55,49 milliards de dollars de pertes exposées liées à la compromission de messagerie professionnelle en dix ans. Aucune de ces fraudes n’a exigé de casser un chiffrement. Toutes ont exigé de convaincre un humain.

Le régulateur européen en a tiré les conséquences. Depuis le 17 janvier 2025, le règlement sur la résilience opérationnelle numérique (DORA) fait de la sensibilisation à la cybersécurité une obligation juridique directement applicable pour la quasi-totalité des entités financières de l’Union, et il vise nommément la direction. Ce guide explique pourquoi la finance présente un profil de risque humain particulier, ce que le texte exige réellement de vos équipes, et comment bâtir un programme qui satisfait le superviseur tout en renforçant mesurablement vos collaborateurs.

La finance, chemin le plus court entre persuasion et profit

Tous les secteurs subissent du phishing. La finance subit du phishing avec la sortie de trésorerie intégrée. Le Verizon DBIR 2026 attribue 62 % des violations à l’élément humain, mais dans la plupart des secteurs, l’attaquant qui compromet un salarié doit encore monétiser : des données à revendre, une rançon à négocier. Dans une banque, chez un assureur ou dans la trésorerie d’un groupe, la personne manipulée est l’étape de monétisation. Valider le virement, modifier les coordonnées bancaires du fournisseur, lancer la campagne de paiement : l’attaque et le gain ne font qu’un.

Les chiffres traduisent cette concentration de valeur :

Et les prétextes progressent. Les équipes financières font désormais face à des attaques par deepfake vocal et vidéo construites autour d’opérations en cours. La tentative contre Ferrari n’a échoué que parce qu’un dirigeant a posé une question de vérification à laquelle la voix clonée ne pouvait pas répondre. Le FinCEN américain a jugé la tendance assez sérieuse pour publier une alerte dédiée aux fraudes au deepfake visant les institutions financières. L’ironie, c’est que la finance est l’un des secteurs les plus matures sur le plan technique. Les attaquants le savent : quand le périmètre est solide, ils appellent la salle des marchés ou la trésorerie.

Dans les services financiers, la couche humaine ne se trouve pas à côté des actifs critiques. Elle détient les clés et exécute la transaction. C’est pourquoi le superviseur examine désormais vos équipes, et pas seulement vos pare-feu.

Ce que DORA exige réellement de vos équipes

DORA (règlement (UE) 2022/2554) est surtout connu pour ses dispositions sur la gestion du risque informatique, la notification des incidents, les tests de résilience et les prestataires tiers. Mais l’article 13(6) contient la phrase qui concerne directement votre programme de sensibilisation : les entités financières élaborent des programmes de sensibilisation à la sécurité des TIC et des formations à la résilience opérationnelle numérique, intégrés comme modules obligatoires de leurs plans de formation, applicables à l’ensemble du personnel et à la direction, avec un niveau de complexité adapté aux fonctions de chacun. Le texte intégral est disponible sur EUR-Lex.

Trois caractéristiques rendent cette obligation plus stricte que les clauses de sensibilisation que la plupart des équipes conformité connaissaient :

• Elle est obligatoire en tant que telle. La sensibilisation n’est pas un exemple de mesure raisonnable, c’est la mesure.
• Elle est universelle. « L’ensemble du personnel » ne laisse aucune exception pour la salle des marchés, le réseau d’agences ou les prestataires de votre centre d’appels, et la mention de la direction place la formation du conseil elle-même dans le registre.
• Elle est directement applicable. En tant que règlement, DORA n’a nécessité aucune transposition et n’offre aucun des délais qui ont ralenti NIS2 dans les États membres. Pour de nombreux groupes, les deux régimes s’appliquent à la fois ; la voie pragmatique consiste à bâtir un seul programme aligné sur l’exigence la plus stricte.

La logique de supervision est simple : un registre de formation est une preuve, et son absence est une constatation. Après un incident, « nous avons fait la formation annuelle » pèse peu si l’opérateur de paiement piégé a vu un module générique il y a onze mois et n’a jamais répété une demande de changement de coordonnées bancaires.

Le mode opératoire propre à la finance

Les contenus de sensibilisation génériques passent à côté des scénarios qui vident réellement les comptes. Un programme pour le secteur financier doit s’articuler autour des prétextes utilisés contre les fonctions qui font circuler l’argent :

• Changement de coordonnées bancaires d’un fournisseur. La variante de compromission de messagerie la plus rentable : un fournisseur « met à jour » son compte juste avant un paiement important. La défense est procédurale : rappel à un numéro déjà enregistré, jamais à celui fourni dans la demande. Notre guide de défense contre le BEC détaille l’ensemble des contrôles.
• Demandes de paiement du dirigeant. Urgentes, confidentielles, sous contrainte de délai, et de plus en plus souvent portées par une voix ou une vidéo clonée lors d’un appel en direct plutôt que par e-mail. C’est la fameuse fraude au président, sous une forme nouvelle.
• Prétextes de virement autorisé. Le schéma de la fraude aux particuliers a son équivalent en entreprise : un salarié ou un client convaincu d’initier lui-même le virement, ce qui supprime une bonne partie des possibilités techniques de rappel des fonds (voir la fraude au virement autorisé).
• Manipulation du support informatique et réinitialisation MFA. La méthode qui a ouvert les portes de MGM et de Clorox fonctionne aussi dans les banques : appeler le support, se faire passer pour un trader bloqué, et hériter de ses accès.
• Usurpation auprès des clients. Vos clients sont ciblés avec votre marque, et les superviseurs attendent de plus en plus que les équipes sachent repérer les instructions anormales qui en résultent sur les comptes clients.

Bâtir un programme de risque humain prêt pour DORA

1. Segmentez les effectifs selon leur pouvoir de paiement. Identifiez qui peut déplacer, valider ou rediriger des fonds : trésorerie, comptabilité fournisseurs, paie, chargés de clientèle, dirigeants et leurs assistants. Traitez-les comme une cohorte à risque élevé, avec des scénarios plus difficiles et un rythme plus serré. Un score de risque humain par fonction et par équipe transforme cet exercice d’organigramme en une base de référence mesurable, que le superviseur peut examiner.

2. Répétez les scénarios qui touchent à l’argent, pas seulement l’e-mail. Avec un phishing vocal en hausse de 442 % et des leurres par QR code et SMS devenus courants, un test limité à l’e-mail ignore les canaux par lesquels la finance est réellement attaquée. Menez des simulations multicanal qui incluent les changements de coordonnées bancaires, les demandes urgentes du dirigeant et les appels de réinitialisation MFA. Le réflexe à construire : vérifier hors canal avant que la moindre somme ne parte.

3. Faites de la vérification un comportement protégé. Chez Ferrari, le sauvetage a été culturel, pas technique : un salarié s’est senti libre de mettre à l’épreuve son « PDG ». Publiez la procédure de vérification, faites dire explicitement par la direction qu’aucune demande légitime ne sanctionnera jamais un rappel de vérification, et testez si la procédure résiste à un prétexte convaincant.

4. Intégrez le conseil au programme. L’article 13(6) vise la direction, et l’article 5(4) l’oblige à tenir à jour ses propres connaissances du risque informatique ; le superviseur demandera d’abord leurs preuves d’achèvement. Les sessions destinées au conseil servent aussi de parrainage pour tout le reste.

5. Conservez les preuves en continu. Rythme, contenus alignés sur le risque de chaque fonction, résultats de simulation, courbes de tendance. Sous DORA, le programme lui-même est un contrôle soumis à supervision : la documentation n’est pas une charge annexe, c’est le livrable.

Ce que montre la recherche sur l’efficacité

Un dernier point mérite l’attention des RSSI du secteur. La plus vaste étude indépendante sur la formation au phishing, menée par Ho et al. auprès de plus de 19 500 salariés de l’UC San Diego Health et présentée à l’IEEE Symposium on Security & Privacy 2025, n’a trouvé aucune relation significative entre une formation annuelle récente et le taux d’échec aux simulations. À l’inverse, le benchmark KnowBe4 Phishing by Industry 2026, fondé sur 42 millions de simulations, observe un taux de vulnérabilité au phishing qui passe de 33,2 % au départ à 20,1 % après 90 jours puis 4,2 % après douze mois de formation et de simulation combinées. Les deux résultats ne se contredisent pas : ils mesurent deux interventions différentes. Pour DORA, la conclusion est la même : ce qui compte, c’est un programme continu et mesuré, pas une case cochée une fois par an.

La finance fonctionne déjà sur le risque mesuré : risque de crédit, risque de marché, risque opérationnel ont tous un responsable, des modèles et des courbes de tendance. La gestion du risque humain étend simplement cette discipline à la couche où commencent aujourd’hui la plupart des attaques : les personnes qui font circuler l’argent. Le régulateur a rendu la formation obligatoire. La rendre efficace, mesurable, adaptée à chaque fonction et répétée face aux prétextes qui vident réellement les comptes, c’est la partie qui protège le bilan.