La plupart des tâches en entreprise s'effectuent désormais dans le navigateur. Les employés lancent des applications SaaS, utilisent des outils d'intelligence artificielle, collent des textes, installent des extensions et s'authentifient : tout cela se passe dans le navigateur. Pourtant, malgré son rôle central dans la productivité moderne, le navigateur reste largement invisible pour les solutions de sécurité traditionnelles telles que la prévention des fuites de données (DLP), la détection des problèmes d'entreprise (EDR) et l'authentification basée sur les serveurs (SSE).
C’est dans cet angle mort que convergent désormais les fuites de données, les vols d’identifiants et les risques liés à l’IA, et c’est là que commencent bon nombre des violations de données les plus sophistiquées d’aujourd’hui. Rapport sur la sécurité des navigateurs 2025 Cet ouvrage examine cette évolution à travers la télémétrie quantitative et des incidents de sécurité réels, révélant comment les attaques modernes exploitent désormais les sessions de navigateur, les extensions, les identités et les interactions GenAI que les outils traditionnels n'ont jamais été conçus pour protéger.
L'IA est devenue le canal de données qui connaît la croissance la plus rapide et le moins réglementé.
Près de la moitié des employés utilisent désormais des outils d'IA générative, ChatGPT concentrant 92 % de l'activité. 77 % des utilisateurs collent des données dans des champs prédéfinis, 82 % utilisent des comptes personnels et 40 % des fichiers téléchargés contiennent des données personnelles (PII/PCI). L'IA générative étant désormais responsable de 32 % des transferts de données entre entreprises et particuliers, elle est devenue le principal vecteur d'exfiltration de données dans les navigateurs.
Il ne s'agit pas simplement d'une nouvelle catégorie de SaaS ; c'est l'outil professionnel dont la croissance est la plus rapide et, de loin, le moins réglementé. Les mécanismes de gouvernance traditionnels, conçus pour la messagerie électronique, le partage de fichiers et les SaaS autorisés, n'avaient pas anticipé que le copier-coller dans une invite de commande du navigateur deviendrait le principal vecteur de fuite.
L’essor des navigateurs IA : la prochaine surface de risque invisible
Une nouvelle génération de navigateurs basés sur l'IA, tels que Perplexity, Arc Search, Brave AI, OpenAI Atlas et Edge Copilot, révolutionne le travail en ligne. Ces outils ne se contentent pas d'ouvrir des pages ; ils les lisent, les résument et les analysent, fusionnant ainsi navigation et assistance en une expérience unique.
Mais cette intelligence artificielle comporte des risques. Les navigateurs dotés d'IA accèdent à des contenus d'entreprise sensibles via les données de session, les cookies et les onglets SaaS afin de personnaliser les résultats. Chaque onglet, chaque copier-coller et chaque connexion pourrait discrètement alimenter des modèles d'IA externes, créant ainsi ce que nous appelons un système de partage de données. « Point de terminaison d'IA invisible. »
Contrairement aux navigateurs traditionnels, ces navigateurs basés sur l'IA fonctionnent en dehors de la visibilité de l'entreprise et des contrôles DLP, transformant la mémoire de session, les invites automatiques et le partage de cookies en nouvelles voies d'exfiltration. Et comme les employés les adoptent en parallèle de Chrome ou Edge, la plupart des outils de sécurité ne les détectent jamais.
Pour les responsables de la sécurité, La gouvernance des navigateurs IA est désormais aussi cruciale que le contrôle des applications IA. Les entreprises doivent étendre la visibilité native du navigateur et la DLP à ces environnements basés sur l'IA où les données, l'identité et l'automatisation convergent silencieusement.
Les extensions de navigateur représentent le plus grand risque invisible pour la chaîne d'approvisionnement des entreprises.
Si vous pensez que les extensions de navigateur ne sont que de simples modules complémentaires inoffensifs, détrompez-vous. 99 % des utilisateurs professionnels ont au moins une extension installée, et plus de la moitié disposent de droits d'accès élevés ou critiques. Pourtant, 54 % des éditeurs utilisent des comptes Gmail gratuits, et 26 % des extensions sont installées manuellement.
En réalité, l'écosystème des extensions de navigateur est devenu une chaîne d'approvisionnement logicielle non gérée, intégrée à chaque utilisateur. Des incidents récents, comme la compromission de l'extension Cyberhaven, montrent comment une simple mise à jour malveillante peut exposer des organisations entières. Ces extensions bénéficient d'un accès quasi-système aux cookies, aux jetons de session et aux onglets, permettant aux attaquants de contourner discrètement les contrôles de sécurité traditionnels. Résultat : une chaîne d'approvisionnement logicielle invisible, directement intégrée au navigateur. Il ne s'agit pas d'un simple manque de visibilité, mais d'un véritable angle mort.
Le contrôle d'identité s'arrête au niveau du fournisseur d'identité, mais le risque commence dans le navigateur.
On considère souvent que la couche d'identité est renforcée par l'authentification unique (SSO), l'authentification multifacteur (MFA) et les fédérations d'identités. Cependant, la plupart de ces protections ne concernent pas ce qui se passe à l'intérieur du navigateur. Plus des deux tiers des connexions en entreprise se font sans SSO. 43 % des accès aux logiciels SaaS se font via des identifiants personnels. 8 % des utilisateurs en entreprise disposent d'extensions qui accèdent aux identités ou aux cookies.
Des violations de données récentes et très médiatisées, comme la campagne Scattered Spider, ont mis en lumière le fait que l'usurpation d'identité ne repose plus uniquement sur le vol de mots de passe, mais sur le vol de sessions. Les attaquants ont exploité les jetons et cookies stockés dans le navigateur pour usurper l'identité des utilisateurs, se déplacer latéralement entre les applications SaaS et contourner totalement l'authentification multifacteur (MFA). Cette attaque a révélé que le risque d'usurpation d'identité moderne ne se situe pas au niveau de l'invite de connexion ; il se trouve au sein même des sessions de navigation actives, où les cookies, les identifiants et les jetons mis en cache circulent sans protection. Même les systèmes de gestion des identités et des accès (IAM) les plus sophistiqués se sont avérés impuissants, car les outils traditionnels ne pouvaient pas observer ce qui se passait à l'intérieur du navigateur.
En clair : la gouvernance des identités s’arrête à l’API, mais le risque persiste dans la session de navigation. Jetons de session, cookies, identifiants non gérés et comptes fantômes convergent tous au sein du navigateur, là où les outils IAM traditionnels n’ont aucune visibilité.
Le téléchargement de fichiers était le point faible, mais maintenant c'est le copier-coller qui prime.
Pendant des années, la protection contre la perte de données (DLP) basée sur les fichiers s'est concentrée sur les pièces jointes, les chargements et les lecteurs partagés. 38 % des utilisateurs chargent des fichiers sur des plateformes de partage ; 41 % des fichiers chargés sur ces plateformes contiennent des données personnelles (PII/PCI). Mais les chargements ne constituent plus le principal risque : c'est désormais le contenu du presse-papiers qui l'est.
La plupart des données sensibles quittent l'entreprise par copier-coller dans des comptes de navigateur non gérés, des invites, des messageries instantanées et des outils de chat. Aujourd'hui, 77 % des employés collent des données dans des outils d'intelligence artificielle générale (GenAI). Le stockage de fichiers, qui représente 46 %, est le deuxième canal de transfert le plus important, suivi par la messagerie instantanée et le CRM, qui représentent environ 15 %. Bien que globalement moins volumineux, les transferts de données vers des applications critiques présentent des risques considérables en raison de la nature des données concernées. Ces mouvements de données sans fichier, mais guidés par les données elles-mêmes, contournent généralement tous les contrôles DLP (Digital Loss Prevention) basés sur les fichiers actuellement en place et sont à l'origine des plus grandes fuites de données au monde.
Le récent scandale Rippling-Deel met en lumière la manière dont les applications SaaS et de messagerie instantanée non surveillées sont devenues des vecteurs d'exfiltration silencieux. Des informations confidentielles sur les clients et des discussions internes sensibles ont été exposées via ces applications. Cet incident a brisé l'illusion selon laquelle les applications de collaboration d'entreprise sont « sécurisées par défaut ». Un simple module complémentaire non autorisé ou une IA de chat peut permettre d'exfiltrer discrètement des milliers de messages internes par un simple copier-coller.
Le navigateur n'est pas qu'un simple outil de travail ; c'est le plus grand point d'accès non protégé de l'entreprise.
Le navigateur est désormais omniprésent : identités, applications SaaS, données d’entreprise. Il s’étend aux appareils gérés et non gérés, aux applications autorisées et non autorisées, aux comptes personnels et professionnels. Pourtant, malgré cela, il reste invisible pour les plateformes DLP, EDR, SSE et CASB.
Et à mesure que la frontière entre l'accès aux données et la fuite de données disparaît à l'intérieur du navigateur, le périmètre autrefois défini par les appareils et les réseaux s'est déplacé vers la barre d'onglets du navigateur.
Que faire maintenant : votre feuille de route en matière de sécurité native du navigateur
Les responsables de la sécurité doivent désormais repenser leur approche et considérer le navigateur comme le point de départ des risques liés à l'identité, aux données et à l'IA, plutôt que de se concentrer sur les appareils, les réseaux et les fichiers. Voici comment :
- Considérez le navigateur comme un plan de contrôle principal, et non comme une interface utilisateur.
Si le risque provient d'une session, les contrôles doivent s'y appliquer. Cela implique une visibilité en temps réel, native au navigateur, des chargements, des copier-coller, des invites et du contexte du compte (personnel ou professionnel). Il convient d'étendre ces contrôles aux navigateurs non gérés et aux navigateurs basés sur l'IA qui effectuent des résumés automatiques, affichent automatiquement des invites et transmettent discrètement le contexte de session aux modèles cloud. - Passer d'une protection d'identité basée sur l'authentification unique à une protection de session.
Mettez en œuvre l'authentification unique (SSO) et l'authentification multifacteur (MFA) lorsque cela est possible, mais tenez compte des risques de dérive. Validez en continu les sessions actives, surveillez la réutilisation des jetons et détectez les chevauchements de comptes. L'idée que l'identité est « terminée » au niveau du fournisseur d'identité est un mythe rassurant ; c'est au niveau du navigateur que le risque d'usurpation d'identité s'accumule. - Opérationnaliser la gouvernance de l'extension en tant que logiciel de chaîne d'approvisionnement
Un audit des permissions ne suffit pas. Évaluez en continu la réputation des développeurs, la fréquence des mises à jour, les sources chargées manuellement et les capacités d'IA/agents. Suivez les modifications comme vous le faites pour les bibliothèques tierces. - Perte de données bloquée au point d'interaction
Les fichiers sont importants, mais les saisies le sont encore plus. Mettez en œuvre une solution DLP native au navigateur qui surveille les copier-coller, les glisser-déposer, les saisies et les fichiers. Étendez les contrôles aux utilisateurs non gérés et classifiez les données en transit (PII/PCI) afin de bloquer les actions risquées d'exfiltration de données sensibles avant qu'elles ne quittent l'onglet. - Donnez du pouvoir aux utilisateurs, ne les paralysez pas.
Ne vous contentez pas de « bloquer tout ce que les utilisateurs pourraient vouloir faire ». Proposez des options d'IA et de SaaS sûres et approuvées, assorties de garde-fous clairs, sensibilisez vos employés et élaborez les politiques en fonction du comportement des données, et non de l'application elle-même.
En résumé
Les entreprises ont consacré des années à mettre en place une gouvernance autour de la messagerie électronique, du partage de fichiers et des fédérations d'identités. Pourtant, dans le même temps, la partie la plus axée sur le navigateur des flux de travail : les extensions, les invites GenAI, les identités et les sessions SaaS, s'est développée sans aucun contrôle.
Le paradoxe surprenant : plus le navigateur devient indispensable à la productivité, moins il est contrôlé.
Les responsables de la sécurité sont désormais confrontés à une réalité simple : si vous ne pouvez pas surveiller l’activité des utilisateurs dans leur navigateur, vous êtes non seulement à la traîne, mais aussi invisible face à votre principale source de vulnérabilité. Le navigateur n’est plus une option ; il constitue la plateforme de contrôle de tous les flux de travail d’une entreprise. Tant que vous ne le traiterez pas comme tel, les données s’échapperont et vous ne vous en apercevrez qu’une fois disparues.
Télécharger le rapport complet pour découvrir toute l'ampleur des principaux risques de sécurité des navigateurs en 2025
