PolySécure Podcast volet H'umain

Dans cet épisode spécial consacré à l’incubateur Propolis, l’animateur reçoit Jean-Claude Charrier, fondateur d’Identroad (anciennement Heiden Road), une entreprise incubée chez Propolis en 2023-2024. Jean-Claude se présente comme l’un des rares fondateurs de sa cohorte encore actif : après le départ de sa cofondatrice, il a racheté ses parts et cherche maintenant de nouveaux partenaires.

Identroad s’adresse en priorité aux PME québécoises et à la protection de leurs données. Son produit phare, Lugus (nommé d’après le dieu celte polytechnicien, clin d’œil aux origines bretonnes du fondateur), est un outil de cybersécurité qui assemble plusieurs briques open source pour offrir une sécurité fiable à moindre coût. L’entreprise fournit aussi un mini-serveur Proxmox préconfiguré permettant d’héberger localement des services comme Documenso, une alternative libre à DocuSign, avec la même valeur juridique. Tout le trafic passe par un VPN vers des proxys maison, garantissant un environnement entièrement maîtrisé. Jean-Claude mentionne également Balor, un outil de pen testing destiné aux administrateurs système, et son implication dans le développement du noyau Linux.

Jean-Claude se décrit comme une personne TDAH et à haut potentiel intellectuel (HPI), avec un fonctionnement naturellement chaotique. Il admet être arrivé chez Propolis avec scepticisme — c’est sa cofondatrice qui les avait inscrits — jugeant la démarche trop « corporate ». Il en ressort pourtant convaincu que l’incubateur lui a appris à structurer ses idées : transformer un concept flou en modèle d’affaires concret, prototyper avant de perfectionner, et bâtir de vrais tableaux de valeur. Ce travail méthodique s’applique aujourd’hui à chacun des produits de l’entreprise, ce qui a permis d’abandonner certaines idées et d’en transformer d’autres en simples fonctionnalités.

Les ateliers l’ont aussi confronté à des exercices sociaux difficiles pour lui, comme les 5 à 7 de réseautage, qu’il redoutait particulièrement en tant que neurodivergent. Il y a appris à vulgariser son discours technique et à comprendre qu’en démarrage, on vend d’abord une mission et une équipe avant de vendre un produit.

Un moment marquant fut une série d’entretiens avec des investisseurs organisée par Propolis. Plusieurs lui ont dit sans détour qu’il ne pourrait pas scaler seul et qu’il avait besoin d’un CMO pour s’occuper de l’acquisition client pendant qu’il se concentre sur le développement. Un autre lui a fait remarquer qu’il n’avait qu’à contacter directement les fonds d’investissement et les organismes comme Investissement Québec ou les fonds FTQ — une évidence qu’il n’avait jamais envisagée. Ces échanges l’ont aussi amené à accepter qu’une entreprise a besoin d’une équipe aux compétences complémentaires plutôt que d’un fondateur solitaire, malgré la douleur du départ de son ancienne cofondatrice.

Depuis, il a multiplié les entretiens pour trouver de nouveaux partenaires, et discute sérieusement avec un graphiste qu’il connaît depuis longtemps et qui a conçu la marque et le site web d’Identroad.

Une partie importante de la discussion porte sur un angle mort des incubateurs nord-américains : l’absence de formation sur l’infrastructure. Selon Jean-Claude, les jeunes entreprises sont poussées vers les hyperscaleurs (AWS, Azure, GCP) sans apprendre les alternatives, alors que ces mêmes géants se sont largement construits sur des technologies open source. Il défend l’usage de serveurs reconditionnés et de solutions comme Proxmox pour bâtir une infrastructure locale, moins coûteuse à long terme et surtout indépendante de fournisseurs étrangers. Il établit un parallèle avec les start-ups d’intelligence artificielle qui ne font, selon lui, que consommer des API de modèles comme Claude ou GPT plutôt que de développer une réelle expertise en IA — une dépendance qu’il juge risquée et non durable, en particulier dans un contexte géopolitique incertain.

Ce discours pro-souveraineté, loin d’être rejeté par Propolis, a été accueilli avec ouverture : on lui a même proposé d’animer un atelier sur les modèles économiques de l’open source, une reconnaissance qu’il n’attendait pas d’une institution associée à Polytechnique.

Jean-Claude insiste beaucoup sur l’accompagnement humain reçu, notamment de la part de Bérénice, responsable de la cybersécurité chez Propolis, qui garde contact avec les anciens participants bien après la fin du programme. C’est dans ce cadre bienveillant qu’il a réalisé qu’il avait besoin de consulter un professionnel pour mieux gérer son TDAH, découvrant au passage qu’il avait déjà reçu un diagnostic en 2008, oublié depuis. Il raconte aussi comment la résilience de son infrastructure — gratuite, chez lui, sans factures de cloud à payer — lui a permis de traverser une période difficile après le départ de sa cofondatrice, sans que l’entreprise ne s’effondre faute de moyens.

Jean-Claude termine en recommandant à quiconque hésite de postuler à Propolis : selon lui, il n’y a rien à perdre et tout à gagner, que ce soit en structuration d’affaires, en réseau ou en développement personnel. Il souligne qu’au-delà des connaissances techniques, l’incubateur l’a aidé à transformer sa neurodivergence en force plutôt qu’en obstacle, notamment à travers son hyperfocus désormais canalisé vers la mission de souveraineté numérique qu’il porte avec Identroad.

Charlie Bromberg, ancien expert en cybersécurité offensive devenu entrepreneur (il développe Exegol, une boîte à outils pour pentesters et red teamers), et Florian Boudot, pentester chez Capgemini, reviennent sur leur conférence donnée au leHACK, intitulée « Crypto-surprise ». Le titre volontairement énigmatique cachait un exercice original : arnaquer en direct une partie du public pour mieux l’éveiller aux mécanismes de la fraude cyber.

Pendant les cinq premières minutes de leur conférence de vingt minutes, les deux animateurs ont simulé être à la tête d’un système d’arbitrage crypto extrêmement lucratif, invitant l’audience à scanner un QR code pour rejoindre un groupe d’investissement fermé à cent places. Sur environ neuf cents personnes présentes, près de cent cinquante ont scanné le code, soit plus de 15 % de l’assistance — un public pourtant composé de professionnels de la cybersécurité, réunis dans un événement dédié à ce sujet. Après le scan, Charlie et Florian ont révélé la supercherie, provoquant surprise et rires, avant d’enchaîner sur la véritable partie de la conférence.

Les deux intervenants expliquent avoir préparé cette introduction de façon quasi scientifique, en listant à l’avance une série de biais psychologiques et de techniques de manipulation à activer en un temps record : principe de rareté (places limitées), preuve sociale (via une fausse jauge de scans calquée sur de vraies courbes de sondages en direct), principe d’autorité, de réciprocité (promesse d’open-sourcer leur « système » et de faire un bilan un an plus tard), de cohérence, et surtout l’isolement — chaque personne scannait seule, sans avoir le temps d’en discuter avec ses voisins, ce qui renforçait son engagement individuel dans la décision.

Florian, de son côté, jouait le rôle de la caution technique, noyant le public sous un jargon crédible mais largement exagéré (nœuds custom, quarante téraoctets de logs, arbitrage sur Polymarket…) pour créer une surcharge cognitive empêchant toute analyse critique — une stratégie qu’ils comparent au « flood the zone » : aller si vite que la réflexion n’a pas le temps de s’installer.

Les deux auteurs notent aussi que le discours, très orienté « gain rapide » et technique, a davantage touché les hommes présents que leurs compagnes, restées globalement sceptiques — sans que cela signifie qu’elles sont moins vulnérables à ce type d’arnaque en général.

La seconde partie, plus grave, retrace l’enquête menée par Charlie et Florian sur une véritable victime, surnommée Marc, escroquée sur plusieurs mois pour un montant final de plusieurs centaines de milliers d’euros. Tout commence sur les réseaux sociaux et un groupe WhatsApp d’investissement, avec une mise en scène très structurée : un « donneur d’ordre » basé aux États-Unis, inaccessible et jouant sur le principe d’autorité, épaulé par une assistante plus proche, qui mise elle sur la sympathie. Autour d’eux, des dizaines de faux comptes publient régulièrement de fausses preuves de gains, renforçant la crédibilité du système.

Marc, profil à l’aversion au risque plutôt faible et disposant de moyens financiers, est identifié comme une cible intéressante. Après quelques pertes mineures sur des placements classiques, on lui « rembourse » sur son compte des sommes qu’il n’avait jamais réellement perdues, renforçant sa confiance. Des retraits réussis de plusieurs dizaines de milliers d’euros achèvent de le convaincre que la plateforme est fiable.

Les échanges se déroulent volontairement la nuit, entre une heure et trois heures du matin, épuisant psychologiquement la victime et la maintenant en état de dépendance et de culpabilité dès qu’elle rate une opportunité ou essuie une perte. L’escalade est vertigineuse : d’un premier virement de cinquante mille euros, Marc finit par engager environ quatre cent mille euros dans le cadre d’un prétendu « 10x Challenge » censé multiplier son capital par dix en trois mois.

L’arnaque se termine par une manœuvre habile : les fraudeurs invoquent une intervention fictive des autorités financières pour clore le groupe rapidement, minimisant ainsi le risque que la victime cherche à se venger ou porte plainte, d’autant que la manipulation de marché à laquelle elle avait « participé » était elle-même illégale. Quelques semaines plus tard, une nouvelle arnaque tente de recontacter Marc en se présentant comme un service capable de récupérer les fonds perdus.

C’est finalement en sortant de son isolement, en demandant un avis extérieur, que Marc a pu rompre l’engrenage et éviter de tomber dans ce second piège. Charlie et Florian insistent sur la difficulté, pour une victime, d’admettre s’être fait piéger et de demander de l’aide — un frein qui explique pourquoi tant de fraudes de ce type perdurent dans le silence.

Les deux conférenciers terminent en comparant le chiffre d’affaires mondial de la fraude cyber, estimé à environ cinq cents milliards de dollars par an, à celui cumulé de groupes automobiles comme Stellantis, BMW et Mercedes, ou encore au trafic de drogue. Leur message central : ces arnaques ne ciblent pas des personnes naïves, mais reposent sur des mécanismes psychologiques universels, professionnalisés et industrialisés — souvent opérés depuis l’Asie du Sud-Est, notamment le Cambodge. Se croire immunisé parce qu’on travaille dans la cybersécurité serait, selon eux, la plus grande vulnérabilité.

Dans cet épisode spécial enregistré à Montpellier, Nicolas reçoit Xavier Facélina, entrepreneur en cybersécurité depuis près de 30 ans, fondateur de la société CLAB (créée en 2011, vendue il y a deux ans et demi) et sur le point de lancer une nouvelle entreprise au Québec. La discussion reprend le fil d’une conférence que Xavier a donnée à Nordic sur la place de la science-fiction dans la façon dont l’avenir se construit réellement, et sur les liens étroits entre cet imaginaire et sa propre carrière en cybersécurité.

Xavier explique une initiative française singulière : la red team du ministère des armées, animée pendant plusieurs années par son ami Nicolas Mainvie. Contrairement à une red team de pentesting, cette équipe rassemble des militaires de carrière, des diplomates et des auteurs de science-fiction (scénaristes, romanciers) pour réfléchir collectivement aux futurs possibles de la conflictualité — sociale, écologique, militaire. Les récits produits, en partie publics, visent à anticiper des scénarios plausibles pour préparer la France à défendre ses valeurs démocratiques. Xavier souligne que si d’autres pays comme les États-Unis mènent des exercices de prospective similaires, ils le font surtout via des analyses techniques plutôt que par le récit romancé, alors que l’être humain reste fondamentalement un animal d’histoires.

Un des points centraux de l’échange est l’idée que les autrices et auteurs de science-fiction sont, par leur pratique quotidienne, particulièrement entraînés à imaginer des futurs plausibles. Nicolas et Xavier remontent aux mythes grecs, à Jules Verne (dont les récits de voyage vers la Lune ont inspiré des générations), et même à Tintin, dont les fusées annoncent étonnamment bien les technologies actuelles — démontrant une forme de « contamination » des idées entre œuvres, y compris celles qui ne se revendiquent pas explicitement de la science-fiction.

Xavier raconte comment son ami Nicolas Mainvie lui a fait remarquer que ses deux passions apparemment séparées — la science-fiction et la cybersécurité — sont en réalité intimement liées : ses produits et entreprises répondent souvent, sans qu’il en ait eu pleinement conscience, à des questions posées par des œuvres de son enfance comme Wargames, Ghost in the Shell ou Star Trek. Il insiste sur l’importance de continuer à nourrir son imaginaire d’adulte, au risque sinon de se laisser gagner par des représentations plus sombres ou dépressives de l’avenir. Il cite Ghost in the Shell (2006, saison Standalone Complex) comme un exemple d’œuvre à la fois futuriste et étonnamment optimiste sur la continuité des dynamiques sociales humaines malgré la présence de cyborgs et d’IA.

La conversation explore ensuite comment la science-fiction fonctionne comme un espace de liberté permettant d’explorer l’humain sans les contraintes du réel, un peu comme les nombres imaginaires en mathématiques permettent de résoudre des équations autrement impossibles. Xavier établit un parallèle frappant entre le téléphone Motorola StarTAC (1996) et le communicateur à charnière de Star Trek (1966) : bien que l’ingénieur en lui trouve ce choix de design peu pratique, cette influence culturelle a poussé à des innovations techniques réelles (nappes flexibles), dont on retrouve l’héritage dans les écrans pliables actuels. Il évoque aussi l’iPad et la visioconférence, anticipés dès la première saison de Star Trek en 1966, une œuvre qu’il recommande vivement pour sa modernité sociale et politique surprenante pour l’époque.

Les deux interlocuteurs formulent une « règle des 30 ans » : il faudrait environ trois décennies entre l’apparition d’un concept en science-fiction et sa réalisation technique ou scientifique. Ils appliquent cette règle à la téléportation (Star Trek, années 60) et à l’interface neuronale de Matrix (1999), suggérant qu’on pourrait voir des avancées significatives d’ici 2029-2036. Xavier insiste également sur le rôle de la science-fiction comme outil de vulgarisation : les entrepreneurs qui peuvent ancrer leur pitch dans une référence culturelle connue (Matrice, Star Wars) captent l’attention bien plus vite que ceux qui présentent une idée totalement inédite.

La dernière partie de l’échange porte sur l’évolution des représentations de l’IA à travers la trilogie Tron (Tron, Tron Legacy, Tron Ares). Xavier observe un glissement progressif : dans le premier film, l’IA a une volonté propre hostile ; dans le second, sa dangerosité vient d’un ordre humain mal formulé (« créer un monde parfait ») plutôt que d’une malveillance intrinsèque ; dans le troisième, une IA militarisée choisit finalement la bienveillance et l’empathie comme moteur, plutôt que la vengeance ou la puissance — un cas rare au cinéma. Nicolas fait le lien avec l’approche d’Anthropic, qui privilégie une philosophie d’entraînement fondée sur des principes plutôt que des règles rigides, rappelant les trois lois de la robotique d’Isaac Asimov, elles-mêmes une invention littéraire devenue référence scientifique et philosophique incontournable.

L’épisode se conclut sur l’idée que ces récits, bien qu’imaginaires, façonnent concrètement notre manière de penser, d’innover et d’aborder des sujets aussi sérieux que l’intelligence artificielle — et les deux animateurs promettent de poursuivre cette conversation lors d’une prochaine rencontre au Québec.

L’épisode s’ouvre sur une idée centrale et provocatrice : traiter le cerveau humain comme une infrastructure critique de cybersécurité. Mélissa Canseliet, conférencière spécialisée dans le facteur humain, propose d’appliquer au cerveau les mêmes approches que celles utilisées pour les systèmes techniques — cartographie, mesure, gestion des risques. Son constat de départ est simple mais dérangeant : on parle abondamment d’intelligence artificielle sans jamais se demander ce qu’est l’intelligence humaine. Si personne n’est capable de définir ce qu’on cherche à protéger ou à augmenter, comment espérer construire une défense cohérente ?

Depuis plus d’une décennie, le facteur humain représente le vecteur d’attaque dominant en cybersécurité. Mélissa souligne que cette réalité n’a pas été suffisamment prise au sérieux, et que l’IA générative l’aggrave considérablement. Les deepfakes, la manipulation émotionnelle, les campagnes de désinformation ciblée : autant d’armes qui ne s’attaquent pas aux systèmes, mais directement au cerveau. L’IA n’est donc pas seulement un outil technologique entre les mains des attaquants — c’est une arme neurologique. Face à cela, les stratégies de défense actuelles restent largement insuffisantes, car elles protègent les données sans renforcer les humains qui les manipulent.

Pour structurer sa pensée, Mélissa recourt à une analogie éclairante : l’industrialisation a augmenté la force musculaire de l’être humain, tandis que l’ère numérique cherche à augmenter sa capacité cognitive. Or, nos systèmes éducatifs sont restés figés à l’époque industrielle. On n’a jamais mis en place d’équivalent pédagogique à la révolution numérique. Résultat : face à des outils qui sollicitent et manipulent le cerveau de façon de plus en plus sophistiquée, les individus n’ont reçu aucune formation adaptée. Comme on a dû inventer le sport synthétique une fois que le travail physique a disparu du quotidien, on devra inventer des pratiques pour entraîner le cerveau à l’ère de l’IA.

L’un des passages les plus marquants de l’échange porte sur ce que Mélissa appelle l’« économie de la relation ». L’IA, par son aspect fluide et non-contraignant, s’est insérée dans nos vies sans friction. Elle nous conforte, nous flatte, nous évite l’effort de la contradiction. Ce faisant, elle érode progressivement les interactions humaines réelles — celles qui permettent de se remettre en question, de confronter ses idées, de grandir collectivement. Les deux interlocuteurs s’accordent : la psyché humaine se développe au contact de l’autre, de la frustration, de l’imprévisible. En se substituant à ces interactions, l’IA crée une forme de régression cognitive et affective. On devient plus vulnérables, moins capables d’esprit critique, plus facilement manipulables.

Une part importante de la conversation tourne autour du rapport à l’inconfort. Mélissa défend une idée contre-intuitive mais biologiquement étayée : le confort permanent appauvrit. Le cerveau humain, comme le corps, a besoin de stimuli variés, d’efforts, de frustrations intermittentes pour fonctionner à son plein potentiel. Elle cite notamment le BDNF (brain-derived neurotrophic factor), une molécule produite lors de l’activité physique qui favorise la croissance des neurones — un rappel que le cerveau et le corps sont indissociables. Trop de confort, à l’inverse, abaisse le seuil de satisfaction, érode la capacité d’appréciation et finit par diminuer la qualité de vie. Cette logique vaut aussi dans les organisations : blâmer l’erreur plutôt que de l’accueillir comme un apprentissage est une stratégie perdante, particulièrement en cybersécurité.

En conclusion, Mélissa refuse le fatalisme. L’avenir dépendra des choix opérés maintenant — individuellement et collectivement. Elle appelle à sortir des incantations et des buzzwords pour passer à des actions mesurables : entraîner concrètement le cerveau, valoriser le partage d’expériences au sein des équipes, construire la résilience sur des bases tangibles. Le cerveau humain n’est pas une variable molle à mentionner dans les politiques de sécurité — c’est une infrastructure à gérer avec autant de rigueur qu’un pare-feu. La bonne nouvelle, selon elle : les leviers sont entre nos mains. La moins bonne : on ne peut plus se permettre d’attendre.

Un épisode dense, ancré à la croisée des neurosciences, de la cybersécurité et de la philosophie de l’effort — une invitation à reprendre en main notre intelligence avant de la déléguer.

Dans cet épisode spécial Propolys, l’hôte reçoit Mélissa Canseliet, experte en neurosciences et en cyberpsychologie, qui développe une start-up en cybersécurité appelée Mindlock. Avec un parcours atypique allant de la recherche en neurosciences à Oxford jusqu’à plus de 14 ans dans l’industrie du jeu vidéo — notamment chez Ubisoft, Samsung et Missplay —, Mélissa incarne une vision résolument interdisciplinaire de la sécurité informatique.

La conversation s’ouvre sur un problème que les deux interlocuteurs connaissent très bien : les formations traditionnelles de sensibilisation à la cybersécurité sont, au mieux, inefficaces, et au pire, contre-productives. L’hôte décrit avec humour sa propre expérience de ces interminables présentations PowerPoint que tout le monde s’empresse de traverser le plus vite possible, en répondant aux questions de validation sans vraiment retenir quoi que ce soit. Ce constat, qui dure selon lui depuis plus de vingt ans, illustre un problème structurel : ces formations ne tiennent absolument pas compte de la façon dont le cerveau humain apprend et s’engage.

Mélissa confirme ce diagnostic. Lors de ses nombreux entretiens menés dans le cadre du projet Mindlock, elle a constaté que la cybersécurité est systématiquement perçue par les non-spécialistes comme un domaine austère, peu prioritaire et difficile d’accès. Les formations existantes s’attardent souvent sur l’aspect technique des attaques, mais abordent très peu comment nous, en tant qu’humains, fonctionnons — et surtout, comment nous commettons des erreurs.

L’un des fils conducteurs de l’entretien est la place centrale du facteur humain dans les cyberattaques. En s’appuyant sur des rapports comme celui du Forum économique mondial, Mélissa rappelle que la vaste majorité des cyberattaques sont liées à des erreurs humaines. Pourtant, les défenseurs ont longtemps misé presque exclusivement sur des solutions techniques, laissant de côté les expertises issues des sciences cognitives et de la psychologie.

Les attaquants, eux, ont depuis longtemps compris cette réalité. L’ingénierie sociale — l’art de manipuler les individus plutôt que de pirater des systèmes — repose précisément sur une connaissance fine des mécanismes psychologiques universels : l’urgence, la peur, l’autorité, la confiance. Ces « boutons » émotionnels sont exploités méthodiquement par des cybercriminels qui ne sont pas nécessairement des génies de la technique, mais qui savent, selon la formule savoureuse de Mélissa, « bien se f**re de la gueule du monde ».

Un passage particulièrement marquant de la discussion porte sur le lien entre les traits de personnalité et la vulnérabilité aux attaques. Contrairement à l’idée reçue selon laquelle « seuls les naïfs se font avoir », Mélissa explique que l’arrogance est une vulnérabilité cyber à part entière. Une personne qui se croit à l’abri ne développe pas de vigilance ; elle se laisse porter par sa surconfiance et ne perçoit pas les signaux d’alerte. À l’inverse, une personne plus humble, capable de reconnaître ses limites, sera naturellement plus attentive à une situation inhabituelle — une demande anormalement urgente, par exemple.

Les états émotionnels comme la colère, la peur ou le sentiment d’urgence sont également des portes d’entrée exploitées par les attaquants, comme en témoignent les célèbres fraudes au président. Comprendre ces mécanismes, c’est commencer à s’en protéger.

La notion d’empathie occupe une place importante dans la vision de Mélissa. Souvent perçue comme une faiblesse ou une qualité purement relationnelle, l’empathie est en réalité, dans une perspective neuroscientifique, un outil puissant. L’ingénierie sociale en est d’ailleurs une forme détournée : les cybercriminels font preuve d’une empathie redoutable pour anticiper les réactions de leurs cibles. La réponse consiste donc à développer une empathie envers soi-même — comprendre ses propres réactions, ses biais, ses angles morts — afin de reconquérir un espace de discernement et de choix éclairé dans un environnement numérique de plus en plus fluide et automatisé.

C’est dans ce contexte que s’inscrit le projet Mindlock, un jeu de sensibilisation à la cybersécurité centré sur le facteur humain. L’idée est d’appliquer au domaine de la sécurité les standards d’expérience utilisateur que Mélissa a développés au fil de sa carrière dans l’industrie du jeu vidéo, notamment dans la phase dite d’onboarding — la première heure de jeu, étudiée à la minute près pour maximiser l’engagement.

Mindlock ambitionne de rompre avec le modèle de la formation unique et générique distribuée une fois par an. Le cerveau ne construit pas de nouvelles habitudes en « one shot » : il lui faut de la récurrence, de la motivation et de la personnalisation. En s’inspirant des mécaniques de jeu et des connaissances issues des neurosciences, Mindlock vise une expérience à la fois intuitive, engageante et adaptée à chaque utilisateur — une expérience qui donne envie de revenir, non par obligation, mais parce qu’elle permet d’apprendre quelque chose sur soi-même.

En toile de fond, la discussion soulève un enjeu beaucoup plus large : dans un monde désormais entièrement numérisé — accéléré par la pandémie de COVID-19 —, la cybersécurité est devenue une question citoyenne. Protéger son organisation, c’est aussi apprendre à se protéger soi et à protéger ses proches. Et face à l’essor de l’intelligence artificielle, le risque n’est pas seulement de se faire pirater, mais d’assister à une atrophie progressive de l’intelligence humaine, faute de l’exercer.

Le cerveau, première cible des pièges du numérique, est aussi, selon Mélissa, la protection la plus sous-exploitée qui soit. C’est ce pari que tente de relever Mindlock.

Cet épisode du podcast Sécure réunit deux anciens connaissances, Gabrielle Thibault-Delorme et son interlocuteur, qui se sont retrouvés par hasard grâce à un article publié sur LinkedIn — ce qui constitue en soi une ironie savoureuse étant donné le sujet de leur conversation. Avant même d’appuyer sur « enregistrer », ils ont jasé pendant plus d’une heure dans un café, rappelant au passage qu’une rencontre dans le vrai monde reste, malgré tout, la forme de connexion la plus naturelle et la plus riche.

Gabrielle a récemment vécu un changement de carrière majeur : après quinze ans dans les médias, le journalisme et le marketing, elle a choisi de devenir massothérapeute. C’est dans ce contexte de transition professionnelle qu’elle s’est retrouvée aspirée, presque malgré elle, dans le fil d’actualité de LinkedIn. L’expérience a été psychologiquement éprouvante : au moment précis où elle se trouvait dans un « no man’s land » entre deux carrières, elle était bombardée de publications célébrant des promotions, des équipes « en feu » et des lancements de marque triomphants.

Ce contraste a mis en lumière un des malaises fondamentaux de la plateforme. LinkedIn n’est pas un réseau de connexion authentique : c’est un espace de performance de soi. Chaque publication devient une mise en scène, un acte de marketing personnel. Le vocabulaire y est codifié — on est toujours « dynamique », toujours « résilient », toujours en croissance. Même les récits d’échec y sont systématiquement assortis d’un spin positif, d’une leçon tirée, d’un rebond annoncé. L’échec pur et simple, sans morale édifiante, n’a pas sa place. Or, comme le souligne Gabrielle, des fois une mauvaise nouvelle, c’est juste une mauvaise nouvelle — et la forcer dans un cadre de croissance personnelle ne fait qu’amplifier le sentiment d’isolement de ceux qui traversent des moments difficiles.

La conversation aborde deux phénomènes particulièrement irritants sur LinkedIn : le compliment biaisé et la fausse humilité. Dans les deux cas, il s’agit de formes de communication dissonantes où le message réel est enveloppé dans un vernis de bienveillance qui sonne creux. L’échec n’y sert que de tremplin narratif pour mieux vendre sa réussite. Cette positivité performative, amplifiée depuis l’arrivée de ChatGPT et la multiplication des emojis automatisés, vide progressivement les échanges de leur substance humaine.

Ce contexte est d’autant plus problématique que LinkedIn est souvent consulté à des moments de vulnérabilité — lors d’une recherche d’emploi, d’un burnout, d’une réorientation professionnelle. C’est précisément quand on est le moins bien dans sa peau qu’on se retrouve confronté à un flux ininterrompu de succès affichés. Le poids psychologique de cet écart entre la réalité vécue et l’image projetée par les autres est réel et sous-estimé.

Sur le plan concret, LinkedIn déçoit également. La plateforme promet du réseautage et des opportunités d’emploi, mais les deux interlocuteurs s’accordent à dire que le retour sur investissement est maigre. Les notifications de visites de profil créent une illusion d’attention qui ne se traduit presque jamais en contact réel. Pire encore, savoir que cinquante personnes ont consulté son profil sans laisser de message peut tout aussi bien être vécu comme cinquante rejets silencieux.

Pour trouver du travail, les sites d’emploi traditionnels et le réseau réel restent bien plus efficaces. La bonne vieille lettre de motivation — et un profil Facebook sans photo embarrassante — l’emporte souvent sur un profil LinkedIn soigné. La reconnexion entre Gabrielle et son interlocuteur, facilitée par LinkedIn, est ouvertement décrite comme une heureuse exception, pas comme la norme.

En contraste frappant avec LinkedIn, la discussion se tourne vers Reddit, que Gabrielle fréquente assidûment. Structuré autour de communautés thématiques, basé sur l’écriture et l’anonymat, Reddit offre un espace où les gens parlent de vrais problèmes — maladies, séparations, deuils — sans avoir à les habiller d’un spin positif. L’anonymat, loin d’être un vecteur systématique de toxicité, devient ici un outil de liberté et d’authenticité. Les gens y confient des choses qu’ils ne diraient jamais à visage ouvert, précisément parce qu’ils n’ont pas d’image professionnelle à protéger.

La plateforme n’est pas sans défauts — les chambres d’écho, les communautés toxiques et les mouvements extrémistes y ont aussi trouvé terreau fertile — mais son modèle de modération par communauté et son filtrage par pertinence plutôt que par polémique en font un espace plus propice à la vraie connexion.

La conclusion naturelle de cet échange revient à ce qui a rendu la conversation elle-même possible et agréable : deux personnes dans un café, avec du non-verbal, de la chaleur humaine, et l’impossibilité d’ouvrir quatre onglets en parallèle. Les réseaux sociaux, dans leur forme actuelle, sont devenus des bazars numériques où tout coexiste pêle-mêle — tribunes, portfolios, confessions, haine, validation — sans jamais vraiment remplir leur promesse originelle de créer du lien.

Ce lien, rappellent-ils tous les deux, se construit encore dans le vrai monde, en se montrant dans son humanité imparfaite, sans masque ni mise en scène.

Dans cet épisode spécial enregistré dans le cadre du Podcaston, l’animateur reçoit Hugo Fournier, PDG et porte-parole de l’Association Québécoise de Prévention du Suicide (AQPS). L’organisme, qui célèbre son 40e anniversaire, poursuit une vision à la fois ambitieuse et utopique : bâtir un Québec sans suicide, brique par brique. Sa mission s’articule autour de trois grands axes — influencer les décideurs politiques, soutenir les initiatives citoyennes et offrir des formations aux intervenants.

Hugo Fournier commence par déconstruire plusieurs mythes profondément ancrés dans la société.

Mythe 1 — La personne suicidaire veut mourir. C’est faux. Elle ne veut pas mourir ; elle veut cesser de souffrir. Face à une souffrance devenue insupportable, l’espoir se transforme en désespoir. Il subsiste néanmoins toujours une ambivalence : une partie d’elle veut en finir, une autre cherche de l’aide. C’est précisément pour cela que les personnes appellent les lignes d’écoute.

Mythe 2 — Parler du suicide encourage le passage à l’acte. C’est également faux. Poser directement la question « Penses-tu au suicide ? » ne provoque pas le geste ; au contraire, cela soulage la personne, lui fait sentir qu’elle n’est pas seule et ouvre une conversation sur sa souffrance. Briser le tabou du silence est une étape essentielle.

Mythe 3 — Le suicide est un acte de courage ou de lâcheté. Ni l’un ni l’autre. La personne ne se suicide pas par choix, mais parce qu’elle n’aperçoit plus aucune option devant elle, même si elles existent.

Mythe 4 — Les menaces de suicide sont de la manipulation. Toute verbalisation suicidaire est un appel à l’aide. Il faut toujours prendre ces propos au sérieux.

Un point central de l’entretien porte sur la façon d’aborder quelqu’un qu’on inquiète. Hugo Fournier insiste : il ne s’agit pas de devenir un intervenant professionnel, mais simplement d’initier une conversation sincère et directe.

Concrètement, si une personne de l’entourage dit qu’elle « n’en peut plus », on peut lui répondre : « Quand tu dis que tu n’en peux plus, est-ce que ça t’amène à penser au suicide ? » Un geste aussi simple qu’une main sur l’épaule, accompagné de mots bienveillants, peut faire toute la différence. L’objectif est de faire sentir à la personne qu’elle n’est pas seule et de l’orienter vers une ressource professionnelle.

Hugo rappelle également les ressources disponibles : le 1 866 APPEL, le 5353 (texto) et le site suicide.ca (clavardage). Ces plateformes sont accessibles autant aux personnes en détresse qu’à celles qui ne savent plus comment aider un proche.

Plusieurs signaux peuvent alerter, indépendamment du genre ou de l’âge :

Un signe particulièrement trompeur est la rémission spontanée : une personne en grande souffrance qui semble soudainement apaisée. Cet apaisement peut indiquer qu’elle a pris sa décision, ce qui représente un risque élevé de passage à l’acte.

Les hommes, surtout ceux des générations plus anciennes, sont statistiquement plus touchés par le suicide, mais moins enclins à demander de l’aide. Le stéréotype voulant qu’un homme « doit être fort » a longtemps invalidé toute expression de vulnérabilité. Hugo Fournier le rappelle avec conviction : demander de l’aide est un signe de force, pas de faiblesse. Face à un ami masculin en difficulté, une approche directe et simple — aller cogner à sa porte, proposer un café, lui demander d’appeler le 5353 devant soi — est souvent plus efficace qu’un long discours.

Les données récentes de suicide.ca révèlent des tendances alarmantes. En 2025, 70 % des interventions par clavardage concernaient des femmes, et 67 % des utilisateurs avaient entre 18 et 40 ans. Plus inquiétant encore : les interventions auprès de filles de 13 ans et moins ont bondi de 80 % par rapport à 2024. Le taux d’hospitalisation pour tentative de suicide chez les adolescentes de 15 à 19 ans est le plus élevé jamais enregistré, et celui des 10-14 ans a triplé depuis 2010.

Les facteurs explicatifs pointés par la recherche incluent les séquelles de la pandémie, l’usage excessif des écrans, la pression de performance scolaire, l’intimidation en ligne et la surcharge travail-études.

Pour rejoindre les jeunes là où ils se trouvent, l’AQPS soutient les gardiens virtuels : des travailleurs de rue du numérique formés à détecter les signaux de détresse dans les chambres de jeu en ligne (PS5, Xbox) et à intervenir directement dans cet environnement.

Les médias ont une responsabilité particulière. Diffuser les moyens utilisés lors d’un suicide peut provoquer un effet d’entraînement, comme l’ont montré des cas marquants au Québec. Aujourd’hui, les médias sont invités à adopter une approche sécuritaire : mettre l’accent sur les facteurs de protection, présenter les ressources d’aide et traiter le sujet avec respect, sans détailler les méthodes.

Cet épisode offre des outils concrets pour reconnaître la détresse, oser poser la question directement et orienter vers les bonnes ressources. Comme le résume Hugo Fournier, chaque initiative — un podcast, un tournoi, une conversation — contribue, brique par brique, à construire un Québec où la souffrance peut trouver une réponse humaine et digne.

Manu, alias Korben, est l’auteur du site korben.info depuis 2004, un espace qu’il décrit comme à mi-chemin entre le blog personnel et le média technologique. Il y parle d’informatique, de bidouille et de technologie dans un style accessible, à la fois décontracté et sérieux. Après plus de vingt ans de présence en ligne, il a pris la décision, à mi-2025, de quitter les plateformes de microblogging — X (anciennement Twitter), Facebook, Blue Sky et Mastodon — pour préserver sa santé mentale et son énergie créatrice.

Korben était présent sur X depuis 2007. Il y avait bâti une communauté, des contacts, des amitiés. Mais au fil du temps, la plateforme est devenue de plus en plus difficile à habiter. L’algorithme y mettait en avant des contenus négatifs, des personnalités politiquement douteuses, et des interactions de plus en plus agressives. Malgré ses tentatives de filtrer son fil d’actualité pour ne voir que du contenu tech, il était constamment rattrapé par les tendances et les recommandations toxiques.

L’élément déclencheur final a été le geste controversé d’Elon Musk — ce que beaucoup ont qualifié de salut nazi — qui a convaincu Korben qu’il ne pouvait plus, en conscience, continuer à alimenter cette plateforme. Il avait d’abord résisté au rachat par Musk, voulant maintenir une présence positive, mais ce geste a tout changé.

Malgré un contenu volontairement bon enfant — il parle de logiciels, d’outils, jamais de politique —, Korben a régulièrement été la cible de vagues de haine. Des gens venaient « cracher sur ses chaussures » sans avoir lu ses articles, réagissant à une phrase isolée dans un texte de 2 000 mots. Il décrit l’algorithme comme complice : il semble pousser délibérément son contenu vers des utilisateurs susceptibles de réagir négativement, alimentant ainsi l’engagement au détriment du bien-être des créateurs.

Il a également subi des épisodes plus graves : son adresse personnelle publiée en ligne, des livraisons de pizzas non commandées toute une soirée, des menaces de mort, et même quelqu’un qui prétendait lui avoir « jeté un sort ». Ces expériences l’ont amené à réaliser qu’on ne sait jamais vraiment à qui on a affaire en ligne — troll inoffensif ou personne réellement dangereuse.

En coupant ces quatre plateformes d’un coup, Korben a perdu environ un quart de son trafic web. Mais, fait notable, cette perte n’a pas eu d’impact significatif sur ses revenus publicitaires. Le trafic a d’ailleurs progressivement remonté : les lecteurs véritablement intéressés par son contenu l’ont retrouvé par d’autres voies, comme le flux RSS ou la recherche directe. Cela l’a confirmé dans l’idée que le trafic provenant des réseaux sociaux était souvent superficiel — des clics sans engagement réel.

Quitter les réseaux sociaux ne s’est pas fait du jour au lendemain. Korben compare l’expérience à l’arrêt du tabac ou à une dépendance au sucre : le réflexe de lancer l’application était profondément ancré. Il a dû désinstaller les applis et bloquer les noms de domaine directement sur son routeur pour éviter d’y retourner par automatisme.

Il identifie sa dépendance principale non pas au FOMO (la peur de rater quelque chose), mais à l’addiction aux commentaires : il aimait savoir ce que les gens pensaient de ce qu’il créait, qu’il s’agisse de retours positifs ou négatifs. Paradoxalement, il reconnaît que la grande majorité de ces commentaires n’avaient aucune valeur constructive — soit un enthousiasme vide, soit une hostilité gratuite, rarement quelque chose d’utile entre les deux.

Après son départ, Korben a réorienté ses interactions vers des espaces plus ciblés : Discord, Patreon, LinkedIn et surtout Twitch. Ce dernier est devenu un outil central : plusieurs fois par semaine, il partage en direct sa journée de travail, montre ce qu’il teste, répond aux questions en temps réel. Ce format vidéo lui permet d’être perçu dans son authenticité — son ton, ses expressions, son intention — ce que l’écrit en 140 ou 280 caractères ne permet tout simplement pas.

Il fait une distinction importante entre les plateformes de création de contenu (YouTube, TikTok, Instagram, où il faut un minimum d’effort et d’intention) et les plateformes de microblogging, où n’importe qui peut écrire n’importe quoi sans aucune réflexion préalable. Ces dernières favorisent selon lui l’ego et la performance au détriment de la discussion authentique.

Au fil de la conversation, Korben et son hôte s’accordent sur un constat plus profond : ces réseaux sociaux ont été conçus — ou ont évolué — pour maximiser l’engagement émotionnel, souvent au prix de la bienveillance. La limite en caractères, l’anonymat, l’algorithme de recommandation, et la visibilité publique des commentaires créent un environnement où les gens écrivent pour exister et se mettre en valeur, et non pour contribuer à une conversation.

À l’inverse, des espaces plus fermés comme Discord ou Patreon, où la visibilité est limitée, incitent à une participation plus authentique.

Le bilan de Korben est globalement positif. Il ne regrette pas sa décision, même s’il lui arrive encore de ressentir l’envie de partager une question ou une découverte à grande échelle. Il conclut que l’essentiel — ses lecteurs fidèles, ses revenus, sa santé mentale — n’a pas souffert de ce retrait. Et il observe avec intérêt un mouvement de fond, notamment chez les jeunes, vers une vie moins médiatisée et plus ancrée dans le réel.

Nous abordons des sujets sensibles, notamment la dépression et le suicide. Si vous y êtes sensible, nous vous conseillons de sauter cet épisode. Si vous avez besoin d’aide, vous pouvez consulter les ressources mentionnées plus bas, parler à votre entourage ou nous écrire pour que nous puissions vous diriger des ressources pour vous aider.

Dans cet épisode du podcast Davy Adam partage avec une grande transparence son expérience d’un épisode dépressif majeur vécu durant l’été 2024. Ce témoignage poignant offre des enseignements précieux pour quiconque pourrait vivre ou accompagner une telle épreuve.

Davy, 48 ans, se considérait comme quelqu’un de solide. Ancien alcoolique sobre depuis 21 ans, ayant surmonté de nombreuses épreuves dont le décès de sa mère à 20 ans, il pensait que le pire était derrière lui. Pourtant, cet été, il a vécu ce qu’il n’avait pas anticipé : une dépression nerveuse suite à un cumul de changements majeurs simultanés – déménagement en Bretagne à 600 km de chez lui, séparation après 12 ans de vie commune, et changement radical de cadre de vie.

Le premier enseignement crucial de son témoignage concerne les signes avant-coureurs qu’il n’a pas su entendre. Pendant six mois avant le déménagement, Davy ressentait un stress constant, des maux de ventre persistants, et surtout une sensation d’être « pris au piège ». Dès la signature du compromis de vente, il regrettait déjà sa décision mais se convainquait que c’était normal. Même lors des visites de biens immobiliers, il pleurait le soir à l’hôtel – lui qui avait mis 10 ans de thérapie à pouvoir pleurer à nouveau.

Cette sensation d’être pris au piège est un symptôme typique qu’il identifie aujourd’hui comme un signal d’alarme majeur : « Dès que vous avez la sensation d’être pris au piège dans une situation où vous avez encore le choix, c’est qu’il y a un problème. » Même pendant le processus d’achat, il espérait secrètement que la banque refuse le crédit.

Le jour du déménagement, arrivé seul dans sa nouvelle maison avec son chien après six heures de route par 40 degrés, Davy s’est retrouvé à minuit entouré de cartons, sans eau chaude fonctionnelle. C’est là que tout s’est effondré. Dès le lendemain matin, il se réveillait avec la sensation de se noyer, la respiration bloquée, le ventre noué. En huit jours, il a perdu 5 kilos (après avoir déjà perdu 26 kilos l’année précédente). Il pleurait dans les rayons du supermarché, incapable de choisir quoi acheter.

Davy explique avec clarté ce qu’est biologiquement une dépression : le cerveau se coupe du corps, tous les récepteurs liés au plaisir, au sommeil, à la faim et à la libido cessent de fonctionner. Ce n’est pas une question de volonté – c’est une cassure chimique. Il réfute fermement l’idée simpliste du « bouge-toi le cul » : « Si c’était une question de volonté, ça aurait duré trois jours pour moi. »

Les symptômes qu’il a vécus incluaient une perte d’appétit complète, un niveau d’anxiété extrême, une tristesse profonde, et surtout l’incapacité de voir une issue. Il partage un moment bouleversant où, voulant acheter une poêle au supermarché, une partie de son esprit lui disait : « Ça ne sert à rien, tu vas te suicider. » Un autre jour, il a mis 40 minutes à simplement se lever pour aller aux toilettes, son corps ne répondant plus aux commandes de son cerveau.

Après seulement deux jours dans cet état, Davy a fait ce qu’il considère aujourd’hui comme son meilleur réflexe : demander de l’aide. Il a contacté son entourage, posté sur LinkedIn, et s’est rendu aux urgences psychiatriques. « C’est une situation dont on ne se sortira pas tout seul. Tous les psys vous le diront, tous ceux qui sont passés par là vous le diront, vous ne pouvez pas vous en sortir seul, c’est beaucoup trop gros. »

Les urgences de Quimper l’ont pris en charge rapidement et avec bienveillance, lui prescrivant des antidépresseurs. Il insiste sur plusieurs points concernant ces médicaments : ils ne guérissent pas la dépression, mais réparent la machine biologique en permettant au cerveau de reproduire la sérotonine et autres neurotransmetteurs essentiels. Ils mettent 10 à 15 jours à faire effet (dans son cas, quelques jours avec beaucoup de chance), et peuvent d’abord avoir l’effet inverse. Surtout, ils ne fonctionnent pas seuls – ils doivent être accompagnés d’un travail thérapeutique.

Face à l’impossibilité de rester en Bretagne, Davy a pris la décision difficile mais salvatrice de tout arrêter et de rentrer à Paris. Cette décision lui a coûté environ 50 000 euros – toutes ses économies de plusieurs années. Mais comme il le dit avec sagesse : « C’est que de l’argent. Ça se regagne. » Il affirme que s’il était resté, il n’aurait probablement pas survécu.

Plusieurs éléments l’ont aidé dans son processus de guérison. D’abord, l’activité physique – même si c’est très difficile quand on est en dépression. En Bretagne, il marchait 10 km par jour avec son chien, ce qui lui permettait de quitter la maison et de se reconnecter à son corps. Ensuite, le fait de ne pas rester seul : sa sœur l’a accueilli, et le simple fait de ranger des Playmobil avec elle a remis sa « machine » en marche.

La méditation de pleine conscience et les exercices de cohérence cardiaque ont également joué un rôle important, l’aidant à se reconnecter à son corps et à sortir de sa tête. Il recommande de se concentrer sur le présent plutôt que de se projeter dans un futur qui semble impossible.

Davy suit une thérapie depuis 10 ans avec la même thérapeute, et ce travail l’a « sauvé la vie au sens littéral du terme à plusieurs reprises ». Durant sa dépression, il a intensifié les séances, ce qui l’a aidé à comprendre ce qui s’était passé et surtout à envisager un après. Il encourage vivement à se faire accompagner par un professionnel qualifié – psychiatre ou psychothérapeute.

Quatre mois après le début de l’épisode (juillet-octobre), Davy va mieux mais n’est pas sorti d’affaire. Un épisode dépressif prend en moyenne six mois pour en sortir. Contrairement à ce qu’il pensait initialement, c’est lui qui demande maintenant à son psychiatre de continuer les antidépresseurs, conscient de sa fragilité persistante face aux défis qui l’attendent (vente de la maison, nouveau déménagement).

Il partage une vérité importante : la fragilité demeure. Une fois qu’on a vécu un épisode dépressif, on vivra avec cette expérience toute sa vie. Mais on apprend à vivre avec, à reconnaître les signaux, et à demander de l’aide avant de sombrer à nouveau.

Le message central de Davy est clair : même si on ne voit pas la sortie quand on est au fond, elle existe. Il affirme aujourd’hui, depuis « l’autre côté », qu’il y a une sortie possible. Son conseil est simple mais vital : « Allez chercher de l’aide. » Que ce soit auprès de proches, de professionnels, ou via des numéros d’urgence, il ne faut surtout pas rester seul face à la dépression.

Ce témoignage rappelle que la dépression touche 20% de la population mondiale à un moment de leur vie, qu’elle n’est pas une question de force ou de faiblesse, et qu’elle nécessite un accompagnement médical et thérapeutique. Davy conclut avec son mantra personnel : « Je fais ce que je peux avec ce que j’ai. Et c’est déjà pas mal. »

Youna Chosse-Bentabed est ingénieure en sécurité réseau spécialisée en social engineering (ingénierie sociale). Son parcours illustre une transition intéressante du monde très technique des réseaux vers l’aspect humain de la cybersécurité. Cette évolution s’est amorcée par la création de contenu sur LinkedIn, où elle démystifiait les concepts de hacking pour un large public. Cette démarche l’a menée à une prise de conscience fondamentale : si le hacking technique et physique est important, c’est le hacking humain qui constitue la clé de voûte de la sécurité informatique.

Pour approfondir ses compétences, elle s’est formée aux États-Unis auprès de Christopher Hadnagy, considéré comme une référence mondiale en social engineering. Son objectif est désormais de démocratiser cette expertise en France et en Europe, où le domaine accuse un retard par rapport aux États-Unis, similaire à celui qu’avait le pentesting il y a quinze ans.

Le social engineering est défini comme l’art de manipuler les autres pour obtenir des informations ou atteindre un objectif précis. Cette pratique prend de multiples formes dans notre quotidien : phishing (courriels frauduleux), vishing (appels téléphoniques), smishing (SMS), et intrusion physique. La réalité est que nous sommes tous exposés à ces attaques de manière constante. Une statistique particulièrement révélatrice indique que 72 % des incidents de sécurité impliquent un facteur humain. Pourtant, lorsqu’on demande au public qui pense avoir déjà subi une attaque de social engineering, peu de mains se lèvent, témoignant d’un manque de conscience de la régularité de ces menaces.

Youna propose deux approches principales pour accompagner les organisations. La première consiste en des masterclass d’une à deux journées, particulièrement adaptées aux TPE, PME et collectivités territoriales disposant de budgets limités. Ces formations combinent théorie et exercices pratiques pour que les participants deviennent acteurs de leur sécurité et apprennent à penser comme des hackers.

La seconde approche implique des audits réels avec intrusion physique, cartographie des vulnérabilités et identification des failles humaines. La solution la plus efficace pour augmenter la vigilance consiste à attaquer régulièrement l’entreprise dans le cadre de contrats à long terme (de un à cinq ans), avec des campagnes de phishing, vishing et smishing adaptées aux besoins spécifiques. L’intrusion physique, bien que moins fréquente, représente l’aspect le plus excitant du métier, nécessitant reconnaissance, création d’une légende (pretexting) et planification minutieuse de la mission.

Un principe fondamental de l’approche de Youna est la culture du “no blame” (sans reproche). Cette philosophie est essentielle car tout le monde peut tomber dans les pièges du social engineering, et il est contre-productif de culpabiliser les employés. L’expérience montre qu’une personne piégée une fois a moins de chances de récidiver. L’approche consiste à gamifier le processus, à rendre la remontée d’informations gratifiante et à accompagner les personnes qui se font prendre de manière constructive. Cette culture doit être établie dès le départ avec le top management et clairement intégrée dans les contrats.

Les attaquants exploitent de nombreux biais cognitifs, dont plusieurs sont particulièrement efficaces. Le biais d’urgence est probablement le plus puissant, souvent associé au phénomène d’amygdala hijacking. L’amygdale, cette petite zone du cerveau qui assure notre survie depuis des millions d’années, nous fait perdre 60 % de notre capacité de raisonnement face à une situation d’urgence. La bonne nouvelle est qu’il n’existe jamais de situation réelle nécessitant une réaction dans les 30 secondes. Prendre 20 à 30 secondes pour respirer et se questionner permet de réactiver le raisonnement.

D’autres biais fréquemment exploités incluent le biais d’autorité (difficile de remettre en question un supérieur, un médecin ou un policier), le biais de réciprocité (notre désir naturel de rendre service) et le biais de conformité (si tout le monde le fait, je le fais aussi, et l’importance d’être cohérent avec l’image qu’on projette).

La défense la plus efficace commence par la prise de conscience de l’existence de ces biais. Toutefois, la formation purement théorique ne suffit pas, car les réactions exploitées sont émotionnelles et 90 % de nos actions quotidiennes relèvent de l’automatisme. D’où l’importance cruciale d’exercices pratiques et concrets qui permettent d’observer différemment les situations et soi-même.

La formation doit être récurrente et non ponctuelle. L’idéal est d’établir un lien direct avec l’utilisateur lorsqu’il clique sur un lien malveillant, en lui expliquant immédiatement ce qui s’est passé et pourquoi, permettant une intégration directe dans la mémoire.

Youna met l’accent sur l’éthique de son travail. Formée dans cette optique par Christopher Hadnagy, elle applique le principe de laisser les gens qu’elle croise dans un meilleur état qu’avant leur rencontre. Elle n’utilise jamais de chantage, de blackmail ou de techniques de coercition basées sur la peur.

Un concept fascinant abordé est celui de l’ocytocine, l’hormone de la confiance. Cette hormone, connue comme “l’hormone de l’amour”, est ce qui permet aux humains de travailler ensemble à travers le monde avec des personnes qu’ils n’ont jamais rencontrées. Le pic d’ocytocine se produit particulièrement lorsque quelqu’un nous dit qu’il nous fait confiance, créant un rapport fort et une envie de rendre service. Paradoxalement, la coopération et la confiance s’avèrent être des leviers extrêmement efficaces en social engineering. L’écoute active fait des miracles, et les gens ont naturellement tendance à beaucoup parler lorsqu’ils se sentent écoutés et validés.

Le social engineering dépasse largement le cadre de la cybersécurité d’entreprise. Les techniques et biais exploités sont identiques à ceux utilisés dans la désinformation, la manipulation de l’information et l’influence des démocraties. Dans un contexte d’infobésité et de bulles de filtres, développer une culture de vigilance de l’information devient essentiel, tant pour protéger l’entreprise que pour mieux comprendre le monde dans lequel nous vivons.

La clé réside dans deux éléments fondamentaux : le jeu et la connaissance de soi. Créer une responsabilité collective où chacun devient acteur de la sécurité, tout en développant sa capacité à se connaître et à identifier quand on est manipulé, constitue la meilleure défense. Cette approche transforme la vulnérabilité humaine en force, en mobilisant notre capacité d’apprentissage et d’adaptation.

Youna poursuit cette réflexion dans son podcast “Human Ecos”, où elle explore les liens entre cybersécurité, sciences humaines, philosophie et psychologie, offrant une vision non cloisonnée de ces enjeux qui façonnent nos sociétés et démocraties contemporaines.