L’article précédent posait les chiffres et le constat. Celui-ci change de registre. Vous allez suivre, étape par étape, ce que vit un dirigeant quand l’incident survient. L’entreprise dont il est question ici est réelle : une TPE de 25 salariés, activité B2C, plusieurs milliers de clients particuliers dans sa base. Les détails ont été anonymisés, mais chaque élément correspond à des faits réels.
Trois semaines avant l’attaque : personne ne se doute de rien
Un commercial télécharge un petit logiciel gratuit sur son poste de travail. Un outil pratique, trouvé en deux clics sur Internet. Le logiciel n’est pas détecté par l’antivirus et le salarié n’est pas conscient qu’il ne doit pas agir ainsi. Ce qu’il ne sait pas, c’est que ce logiciel enregistre silencieusement tous les mots de passe tapés sur la machine.
Le commercial, par nature, a accès à beaucoup de choses : le logiciel de gestion clients, les fichiers partagés du service, la messagerie, les devis, les contrats. C’est son outil de travail. C’est aussi, sans que personne y ait pensé, une porte grande ouverte.
Pendant trois semaines, un inconnu utilise ces accès. Il parcourt la base clients : noms, adresses, numéros de téléphone, historiques de commande, coordonnées bancaires pour certains. Il copie les échanges commerciaux, les contrats en cours, les conditions tarifaires. Il ne touche à rien d’autre. L’entreprise fonctionne normalement.
Par chance, les droits du salariés étaient limités.
Si quelqu’un entrait dans vos locaux et passait trois semaines à photocopier vos dossiers clients la nuit, le sauriez-vous ? Dans le monde numérique, la plupart des TPE ne le sauraient pas.
Le jour où tout bascule
Un matin, le dirigeant reçoit un message. Quelqu’un affirme détenir l’intégralité de la base clients de l’entreprise (avec copies de fichiers sensibles) : plusieurs milliers de fiches, avec les données personnelles et les informations financières. Il exige un paiement. Sans quoi, tout sera publié en ligne.
Le dirigeant vérifie. Les fichiers sont toujours là, rien n’a été bloqué, rien n’a disparu. Tout semble normal. Sauf que quelqu’un a tout copié, et qu’il peut le prouver.
Les premières heures : par où commencer ?
Qui appeler ? Le prestataire informatique ? L’assureur ? La CNIL ? La police ? Et dans quel ordre ?
Le prestataire IT confirme qu’il n’y a pas eu de blocage du système, mais il n’a aucun moyen de dire depuis combien de temps l’intrus avait accès, ni exactement ce qu’il a copié. Il n’y avait pas de journaux d’accès activés sur les ressources partagées. Personne ne surveillait qui consultait quoi.
Le dirigeant découvre dans l’urgence qu’il doit déclarer la fuite à la CNIL sous 72 heures. Qu’il doit prévenir individuellement chaque client dont les données ont été compromises. Qu’il a des obligations légales dont il ignorait même l’existence le matin même.
Les jours suivants : la confiance se fissure
Les clients reçoivent un courrier de l’entreprise les informant que leurs données personnelles ont été dérobées. Certains appellent, inquiets. D’autres ne renouvellent pas. Quelques-uns annulent des commandes en cours. Un client plus exposé menace de porter plainte.
Sur les réseaux sociaux, l’information circule. Pas de gros scandale médiatique, mais le genre de réputation qui se défait silencieusement, client après client.
En parallèle, le dirigeant est face au dilemme de la rançon. Payer, sans aucune garantie : selon le Hiscox Cyber Readiness Report 2025, 29 % des entreprises ayant payé ont vu leurs données publiées malgré tout. Ne pas payer, et vivre avec le risque.
Le vrai coût du vol d’informations
Pas de serveurs détruits, pas de semaines d’arrêt. L’entreprise a continué de fonctionner. Mais la facture est là : coût du prestataire mobilisé en urgence, frais juridiques, temps passé à gérer la crise, notification aux clients. Et surtout, la perte de confiance. Des clients qui partent, un avantage concurrentiel exposé, une réputation fragilisée.
Les données volées, elles, ne reviennent pas. Elles circulent, elles se revendent, elles servent à d’autres attaques. C’est un dommage permanent.
Ce qui aurait changé la donne
Aucune de ces actions ne demande de compétence technique. Ce sont des décisions de dirigeant.
Savoir quelles données sensibles l’entreprise détient et qui y a accès, y compris les commerciaux. Limiter les accès à ce qui est strictement nécessaire pour chaque poste. Exiger une double vérification pour se connecter aux outils qui contiennent des données clients. Avoir un contrat clair avec le prestataire informatique, incluant la traçabilité des accès. Sensibiliser les équipes une fois par an, en particulier sur ce qu’on installe sur un poste professionnel.
Ne pas agir, c’est déjà un choix. Et quand l’incident arrive, il coûte toujours plus cher que la prévention.
Pour aller plus loin : le récit détaillé de la cyberattaque subie par Manutan en 2021 est disponible sur LeMagIT. C’est un article un peu technique par endroits, mais il vaut la lecture : il montre comment un grand groupe a vécu et géré une attaque de l’intérieur, étape par étape. Lire le récit sur LeMagIT
Sources et références
- ANSSI · Panorama de la cybermenace 2025, CERT-FR, mars 2026 · cyber.gouv.fr
- Hiscox · Cyber Readiness Report 2025 · hiscoxgroup.com
- Cybermalveillance.gouv.fr · Assistance et prévention · cybermalveillance.gouv.fr
- LeMagIT · Récit : comment Manutan s’est sorti de la cyberattaque du 21 février · lemagit.fr