Johannes Troppmann, responsable sécurité SPIE Suisse, identifie l’usurpation d’identité en Suisse; 8 000 cas en 2026
L’usurpation d’identité : le risque cyber que la plupart des gens sous-estiment
L’usurpation d’identité : le risque cyber que la plupart des gens sous-estiment
Johannes Troppmann, responsable de la sécurité de l’information et délégué à la protection des données chez SPIE Suisse
Il y a quelques semaines, je discutais avec un collègue de la cybercriminalité. Comme beaucoup de gens, ce collègue pensait que les pirates informatiques s’attaquaient principalement aux grandes entreprises, en exploitant des failles techniques pour s’introduire dans leurs systèmes.
La réalité est souvent bien plus simple.
Aujourd’hui, les cybercriminels se concentrent souvent moins sur la technologie que sur les personnes. Ils ne cherchent pas nécessairement à pirater un pare-feu. Ils tentent d’accéder à une identité.
En tant que responsable de la sécurité des systèmes d’information chez SPIE Suisse et fort de plus de 20 ans d’expérience dans le conseil, je constate régulièrement à quel point un mot de passe volé, un compte e-mail piraté ou un message d’hameçonnage soigneusement rédigé peuvent avoir des conséquences bien plus graves que ce que beaucoup de gens imaginent. L’usurpation d’identité est devenue l’un des points de départ les plus courants de la fraude, des fuites de données et des incidents cybernétiques, tant dans notre vie professionnelle que privée.
Et cette tendance ne cesse de s’accentuer.
En Suisse, plus de 5'000 cas d’usurpation d’identité par voie numérique ont été recensés en 2025 (Office fédéral de la statistique, Statistiques policières de la criminalité 2025). En 2026, on en comptait environ 8'000, contre environ 470 en 2023. Et il ne s’agit là que des cas connus et signalés ; le nombre réel est colossal.
Pourtant, malgré ces chiffres, l’usurpation d’identité est encore souvent perçue comme un problème qui ne concerne que les autres.
Votre identité a plus de valeur que vous ne le pensez
Lorsque la plupart des gens entendent l’expression « usurpation d’identité », ils pensent à un passeport ou à une carte bancaire volés.
Les cybercriminels voient les choses différemment.
Pour eux, une identité est un ensemble d’informations précieuses : une adresse e-mail, un mot de passe, un numéro de téléphone portable, des profils sur les réseaux sociaux, des contacts professionnels et des comptes en ligne. Combinées, ces informations peuvent être utilisées pour usurper l’identité d’une personne, accéder à des systèmes ou mener des tentatives de fraude convaincantes.
Ce qui rend la situation particulièrement préoccupante, c’est la quantité d’informations personnelles déjà disponibles en ligne. Selon l’Observatoire cyber de CRIF, plus de 7,5 milliards d’enregistrements ont été identifiés sur les marchés criminels et sur le dark web, dont plus de 94 % contenaient des combinaisons d’adresses e-mail et de mots de passe (Observatoire cyber de CRIF 2024).
La plupart des victimes ignorent que leurs informations circulent jusqu’à ce que le mal soit déjà fait.
La véritable cible est souvent la confiance
L’une des plus grandes idées reçues concernant la cybersécurité est que les attaques sont avant tout d’ordre technique.
En réalité, de nombreuses attaques réussies exploitent la confiance plutôt que la technologie.
Un employé reçoit un e-mail qui semble provenir de Microsoft.
Un responsable reçoit un message qui semble provenir d’un collègue.
Un membre de l’équipe financière reçoit ce qui ressemble à une demande légitime de la part d’un fournisseur.
Ces situations se produisent tous les jours.
Les rapports actuels sur les cybermenaces en Suisse continuent de montrer que le phishing, le vol d’identifiants et la fraude en ligne figurent toujours parmi les types d’incidents cybernétiques les plus courants (Office fédéral suisse de la cybersécurité, Cyber Threat Landscape Switzerland).
L’objectif est presque toujours le même : obtenir des identifiants, accéder à des informations ou convaincre quelqu’un d’effectuer une action qu’il n’effectuerait pas en temps normal.
C’est pourquoi je dis souvent que la cybersécurité n’est avant tout pas un défi technologique. C’est un défi humain.
Pourquoi les entreprises devraient s’en préoccuper
L’usurpation d’identité ne touche pas uniquement les particuliers.
Lorsqu’un compte d’employé est compromis, les conséquences peuvent rapidement dépasser le cadre d’une seule personne. Selon le rôle et le niveau d’accès concerné, les attaquants peuvent accéder à des informations confidentielles, à des systèmes internes ou à des données sensibles sur les clients.
Les répercussions peuvent aller de pertes financières et de perturbations opérationnelles à des enquêtes réglementaires et à une atteinte à la réputation.
Ce qui m’inquiète le plus, c’est que ces incidents commencent souvent par quelque chose d’apparemment anodin : un mot de passe réutilisé, un e-mail d’hameçonnage qui a atteint sa cible ou un manque de sensibilisation.
De nombreuses organisations investissent massivement dans la technologie, ce qui est absolument nécessaire. Cependant, la technologie à elle seule ne suffit pas. Les outils de sécurité ne peuvent pas empêcher totalement un individu de se fier à un e-mail trompeur ou de divulguer des informations à la mauvaise personne.
La bonne nouvelle : la prévention n’est pas impossible
Contrairement à de nombreux défis en matière de cybersécurité, la protection contre l’usurpation d’identité ne nécessite pas toujours des solutions complexes.
D’après mon expérience, quelques pratiques élémentaires permettent de réduire considérablement les risques :
Utilisez des mots de passe uniques pour chaque service.
Stockez vos mots de passe dans un gestionnaire de mots de passe fiable.
Activez l’authentification multifactorielle dès que possible.
Faites preuve de prudence face aux demandes inattendues, en particulier celles qui impliquent une certaine urgence ou des informations sensibles.
Vérifiez les communications inhabituelles via un deuxième canal.
Misez sur la sensibilisation et la formation des employés.
Ces mesures peuvent sembler simples, mais elles restent parmi les moyens de défense les plus efficaces qui soient.
Une question qui mérite d’être posée
Si quelqu’un venait à obtenir l’un de vos mots de passe aujourd’hui, à quelle partie de votre vie professionnelle ou privée aurait-il accès ?
Pour beaucoup de gens, la réponse est dérangeante.
C’est précisément pour cette raison que l’usurpation d’identité est devenue un modèle économique si attractif pour les cybercriminels. Les identités volées peuvent être réutilisées, vendues, combinées à d’autres informations et exploitées longtemps après la compromission initiale.
La bonne nouvelle, c’est que la sensibilisation reste l’un des moyens de défense les plus efficaces. Les personnes qui comprennent les risques sont plus à même de repérer les comportements suspects, de remettre en question les demandes inhabituelles et de signaler rapidement les incidents.
Il y a vingt ans, les criminels volaient des portefeuilles.
Aujourd’hui, ils volent des identités.
Dans un monde de plus en plus connecté, nos identités numériques sont devenues l’un de nos actifs les plus précieux. Les protéger n’est plus uniquement la responsabilité des services informatiques. C’est une responsabilité partagée entre les organisations, les employés et les particuliers.
Chez SPIE Suisse, nous pensons qu’une cybersécurité efficace ne consiste pas à semer la peur. Il s’agit d’aider les gens à comprendre les risques, à prendre des décisions éclairées et à instaurer une culture de la sécurité où la technologie, les processus et la sensibilisation des personnes vont de pair.
Car en fin de compte, la meilleure défense contre l’usurpation d’identité n’est pas un outil de sécurité.
C’est une personne informée et vigilante.
Découvrez nos services de cybersécurité