Vos données sont dans la fuite d’un autre : par où commencer

Cinq incidents relayés en une seule matinée le 21 août, plus de douze millions de comptes potentiellement concernés au total. L’été a été dense, et la plupart de ces fuites ont un point commun : l’organisation dont les données circulent n’est pas celle qui a été attaquée.

Un hébergeur, un éditeur, une plateforme de fidélisation, un prestataire de gestion. La compromission a lieu chez eux, les données sont les vôtres.

La réaction typique consiste à demander à l’informatique de changer les mots de passe et à attendre. C’est rarement la bonne réponse, et c’est presque toujours la première.

Une fuite chez un tiers reste votre violation

Le point juridique est net et surprend encore beaucoup de dirigeants. Si vous êtes responsable de traitement, une violation survenue chez votre sous-traitant est une violation qui vous incombe. Le sous-traitant doit vous informer sans délai ; c’est ensuite à vous de qualifier, de documenter, et le cas échéant de notifier la CNIL.

Le délai de soixante-douze heures ne démarre pas à la découverte publique de l’incident, ni à la fin des investigations de votre prestataire. Il démarre au moment où vous en avez connaissance — c’est-à-dire, en pratique, quand votre fournisseur vous appelle. D’où l’importance de savoir qui, chez vous, reçoit cet appel.

Qualifier avant de communiquer

La première question n’est pas « sommes-nous concernés » mais « concernés sur quoi ». Une revendication d’attaquant mentionne rarement le détail, et elle est fréquemment gonflée : le volume annoncé sert à faire monter le prix.

Trois éléments à obtenir de votre prestataire, par écrit : quelles catégories de données étaient présentes dans le périmètre compromis, quelles personnes sont concernées, et sur quelle période. Tant que vous n’avez pas ces réponses, vous ne pouvez ni évaluer le risque ni décider s’il faut informer les personnes.

Si le prestataire tarde, la nature de la relation change. Le silence après incident est le meilleur indicateur de ce que vaut réellement une clause contractuelle, et c’est un élément à verser au dossier du prochain renouvellement.

Documenter, même sans notifier

Toutes les violations ne se notifient pas. Toutes se documentent.

Le registre des violations est une obligation autonome : il consigne les faits, les effets, les mesures prises, et le raisonnement qui a conduit à notifier ou non. C’est ce document que la CNIL demandera en cas de contrôle, et c’est aussi ce qui protège une décision de non-notification prise de bonne foi.

Une décision motivée et écrite se défend. Une absence de trace ne se défend pas.

Le risque réel n’est pas celui qu’on croit

Quand une fuite ne contient aucun identifiant de connexion, réinitialiser les mots de passe de toute l’entreprise ne réduit rien. Cela occupe les équipes, rassure la direction, et laisse le vrai risque intact.

Ce que les attaquants font de ces jeux de données, c’est de la fraude ciblée. Un escroc qui connaît le nom de votre comptable, celui de votre fournisseur habituel, un montant de commande plausible et une échéance réelle n’a plus besoin d’un courriel maladroit. Il appelle, et il est crédible.

L’action utile tient en une conversation : prévenir nommément les personnes exposées — comptabilité, assistants de direction, toute personne pouvant déclencher un paiement — qu’une demande bien informée va probablement arriver, et rappeler la règle de vérification par un canal indépendant. Pas un courriel générique de sensibilisation : une consigne nominative.

Et si vous ne savez pas dans quels services vous êtes

C’est le cas le plus fréquent, et il révèle un problème antérieur : personne ne tient la liste des prestataires qui hébergent ou traitent des données pour l’entreprise.

Cette liste est obligatoire — elle découle du registre des traitements — et elle est le seul moyen de répondre vite à la question « sommes-nous dedans ». Sans elle, chaque annonce de fuite déclenche une enquête interne de plusieurs jours pour un résultat incertain.

Une demi-journée suffit à la constituer, et elle sert ensuite à chaque fois.

Sources

• Règlement (UE) 2016/679 (RGPD), articles 5.2, 28, 33 et 34
• CNIL — notification des violations de données personnelles ; registre des violations
• Recensements publics de fuites de données françaises, août 2026