Ouvrez n’importe quel email marketing d’un éditeur de logiciels de sécurité cette semaine. Vous trouverez probablement des formulations comme « vos données sont en danger maintenant », « les hackers ciblent déjà votre secteur » ou « une seule faille peut tout détruire ». Ce n’est pas du journalisme d’investigation. C’est du copywriting. Et il fonctionne — du moins à court terme — parce qu’il s’adresse à quelque chose de profondément humain : la peur de perdre ce qu’on a construit.
Le secteur de la cybersécurité est bâti sur des menaces réelles. Personne ne le conteste. Les attaques par ransomware existent, les violations de données coûtent effectivement des millions, et les petites entreprises sont souvent les premières victimes. Le problème, c’est que les campagnes marketing du secteur ont progressivement glissé de la communication d’un risque vers la fabrication d’une angoisse. La nuance est importante. Quantifier un risque aide à prendre une décision rationnelle. Instiller une peur diffuse — celle d’un ennemi invisible, omniscient, qui pourrait frapper à tout moment — pousse à l’achat immédiat, souvent sans évaluation sérieuse des besoins réels.
Les spécialistes en psychologie comportementale ont un nom pour ce que les campagnes de sécurité exploitent : l’aversion à la perte. Les êtres humains sont câblés pour réagir plus fortement à la perspective de perdre quelque chose qu’à celle d’en gagner. Promettre à un DSI qu’il protégera ses données active un mécanisme différent — et moins puissant — que lui dire que sans votre produit, il perdra des millions et peut-être son poste. Les éditeurs de logiciels le savent. Ils le savent depuis longtemps. Et la croissance du marché mondial de la cybersécurité, estimé à plus de 200 milliards de dollars, reflète entre autres l’efficacité de cette mécanique.
Ce qui est moins discuté, c’est le prix à long terme de cette stratégie. Quand chaque nouveau rapport d’incident est présenté comme une catastrophe imminente, quand chaque email de phishing est décrit comme une menace existentielle, les destinataires finissent par décrocher.
C’est ce que les chercheurs appellent la FUD fatigue — la saturation aux alertes. Le paradoxe est cruel : à force d’avoir crié au loup, les vraies alertes passent inaperçues. Des équipes sécurité épuisées, des utilisateurs indifférents aux notifications, des managers persuadés qu’ils ont tout fait ce qu’il fallait parce qu’ils ont signé un contrat avec un grand nom — voilà le résultat concret du marketing de la peur appliqué à grande échelle.
Il y a quelque chose d’un peu surréaliste dans le fait que l’industrie censée nous aider à naviguer dans un monde numérique incertain utilise précisément l’incertitude comme principal argument commercial. Certains analystes, notamment chez Gartner, commencent à documenter le décalage entre les dépenses croissantes en cybersécurité et l’amélioration réelle des postures de défense dans les organisations. Acheter la « boîte magique » la plus chère du marché ne compense pas une formation insuffisante des employés, une gestion des accès approximative ou une culture d’entreprise qui n’a jamais vraiment intégré les pratiques de base.
La bonne nouvelle — et il y en a une — c’est qu’une partie du secteur commence à changer de registre. Des acteurs comme SANS Institute ou certains consultants indépendants font le pari inverse : expliquer les risques en termes concrets et mesurables, former les utilisateurs plutôt que les effrayer, construire une relation de confiance plutôt que de vendre une sensation d’urgence. C’est moins spectaculaire. Ça ne génère pas les mêmes pics de ventes à court terme. Mais c’est possible que ce soit, sur la durée, la seule approche qui produise une sécurité numérique réelle — plutôt qu’une sécurité en apparence.
