70% de directeurs sûreté (CSO) européens confrontés à des campagnes de désinformation visant leur entreprise : c’est le chiffre vertigineux tiré d’une étude de G4S de 2025.
Le sujet de la désinformation n’est pas récent, mais gagne en ampleur chaque année. Comme en témoigne le récent scandale du dénudement virtuel de femmes par Grok sur le réseau X, la création et la diffusion de faux sont devenues d’une simplicité déconcertante. L’IA a encore déséquilibré le rapport coût/efficacité potentielle de la création de faux.
Du point de vue d’un expert sûreté, la viralité de l’information rend caduque la distinction entre désinformation (mensonge délibéré) et mésinformation (erreur partagée de bonne foi). Si l’intentionnalité change, les deux phénomènes se nourrissent mutuellement et aboutissent au même résultat : un brouillard entre le vrai et le faux.
Identifié au niveau géopolitique dans la doctrine de Cyberéfense depuis 2018, la lutte contre la désinformation impacte aussi l’entreprise.
Pour les directeurs sûreté, cette évolution pose un défi concret : comment analyser des risques quand les données elles-mêmes sont polluées ? Comment protéger une entreprise quand la réalité devient une variable incertaine ?
Le brouillard informationnel, frein à l’analyse de risques
Si la désinformation est si efficace, c’est qu’elle joue sur des faiblesses cognitives déjà mises en exergue par les théoriciens de la propagande au XXème siècle :
- La simplification : un message basique est plus facile à retenir qu’une explication nuancée.
- L’émotion : la peur, la colère ou l’indignation suscitent davantage de réaction qu’un raisonnement logique.
- La répétition : une information fausse, répétée suffisamment, finit par être perçue comme vraie (effet d’illusion de vérité).
Par ailleurs, démentir une fausse information est beaucoup plus chronophage et coûteux que de diffuser du faux. D’où l’expression : Quand le mensonge prend l’ascenseur, la vérité prend l’escalier. De même, comme l’a souligné le psychologue social Serge Folliet dans ses travaux sur la propagande, une fois une croyance ancrée, il est extrêmement complexe de faire changer d’avis quelqu’un.
Or, les équipes sûreté ne sont pas exemptes de ces biais cognitifs, alors même que toute démarche sûreté repose en premier lieu sur des analyses de risques dépendantes de la fiabilité des informations disponibles.
L’ISO 22361:2022, norme internationale sur la gestion de crise, prend ainsi en considération le risque de submersion des capacités d’analyse et de décision face à un trop plein d’informations (vraies ou fausses) en situation de crise ; mais ce constat peut s’appliquer aussi bien aux affaires courantes.
Quand la désinformation devient facteur de risque
La désinformation ne se limite pas à fausser les analyses : elle génère de nouveaux risques, tant externes qu’internes.
Risques externes : réputation, marché et sécurité physique
- Atteinte à la réputation : une fausse information sur un scandale environnemental ou une fraude peut détruire des années de confiance en quelques heures.
- Instabilité boursière : les investisseurs réagissent aux rumeurs. Une fausse annonce de rachat ou de faillite peut provoquer des mouvements de panique sur les marchés.
- Menaces physiques : des fausses alertes (attentats, intoxications) peuvent déclencher des évacuations chaotiques, des intrusions ou des violences. Selon l’étude de G4S, 73 % des CSO européens considèrent que les groupes activistes utilisant la désinformation représentent un risque croissant pour la sécurité de leurs installations et de leurs dirigeants.
Risques internes : méfiance, divisions et violence
- Érosion de la confiance : quand les employés doutent des communications internes, la cohésion se fragilise. Une rumeur sur des licenciements massifs peut provoquer des mouvements de protestation ou des démissions.
- Cybersécurité compromise : la désinformation est souvent un vecteur d’ingénierie sociale. Un email semblant provenir de la direction et annonçant une « urgence » peut inciter des collaborateurs à cliquer sur des liens malveillants.
- Violence interne : dans les cas extrêmes, la désinformation peut attiser des tensions jusqu’à provoquer des actes de violence.
Quatre piliers pour une stratégie anti-désinformation
S’il n’existe pas de formule miracle à ce jour pour lutter contre ce fléau du siècle, l’approche passive n’est plus une option et des solutions partielles peuvent être implémentées.
1. Détecter les intox
L’anticipation restera toujours plus puissante que la réaction. Pour cela, l’analyse des signaux faibles devient une capacité maîtresse, mais qui implique des moyens et des connaissances techniques permettant de repérer au plus tôt les narratifs émergents (ex. : pics de mentions sur un sujet sensible, création soudaine de comptes anonymes). Une fois les diffusions repérées, la cartographie des récits permet de visualiser les canaux de diffusion et les acteurs. A cet égard, l’innovation ne doit pas être l’apanage des acteurs malveillants. Si l’IA est un démultiplicateur de désinformation, elle peut aussi servir dans la lutte. Ainsi, des solutions commencent à émerger pour aider à la reconnaissance des Deepfake et pour analyser la véracité d’un discours.
2. Reprendre le contrôle du récit
Les entreprises ne doivent pas se laisser déborder par la rumeur et réagir rapidement, en injectant des contre-messages si possible au plus près de la source : réseaux sociaux, groupes Whatsapp… Des kits de réponse rapide à l’usage des managers peuvent également fluidifier la réaction de l’ensemble des équipes, avec des templates de communication (messages clés, infographies, FAQ).
3. Protéger l’identité de l’entreprise
Un axe courant des campagnes de désinformation est l’usurpation d’identité de l’entreprise ou de collaborateurs. Il est donc essentiel de mettre en place une veille des faux profils de dirigeants et des sites web imitant celui de l’entreprise. La collaboration des plateformes de réseaux sociaux est également un axe à garder en considération pour accélérer le retrait des contenus frauduleux – bien qu’on y observe plutôt le retrait des modérateurs. Enfin, la stratégie de communication doit être pensée en conséquence, avec une sécurisation des communications sensibles et une maîtrise de la communication officielle qui doit être bien identifiée.
4. Diffuser une culture de l’information dans l’entreprise
Face à un phénomène qui touche à la psychologie humaine, la technologie ne suffit pas : c’est la culture d’entreprise qui fait la différence. Le socle de la résilience reste donc la formation de tous les collaborateurs : du PDG à l’opérateur. Cette formation peut aller de la sensibilisation aux médias et aux sources, à la simulation de crises grandeur nature impliquant les acteurs concernés pour tester les processus.
La désinformation, un risque à appréhender en transversal, avec la direction sûreté en pivot
La désinformation n’est pas une fatalité, mais une entreprise qui néglige le risque de la désinformation est une entreprise vulnérable. À ce titre, les directions sûreté doivent se positionner en pivot de la résilience du collectif, à la croisée des services concernés : communication, compliance, cybersécurité, RH, etc. L’occasion, aussi, de décloisonner les expertises au sein d’un groupe et de renforcer le dialogue et la compréhension mutuelle entre les services.
Face à cette menace nouvelle, le partage d’expérience et le dialogue inter-entreprise est nécessaire. Si votre organisation a déjà été touchée par une campagne de désinformation, votre retour d’expérience nous intéresse !
