Fuite de données sur votre site : les réflexes des premières heures

Une fuite de données n'arrive pas seulement aux grandes entreprises. Un compte email compromis, un fichier client envoyé au mauvais destinataire ou un formulaire mal protégé peut exposer des informations personnelles, même dans une petite structure.

Le Cybermois 2026 vient de commencer, et la CNIL et Cybermalveillance.gouv.fr ont publié une nouvelle ressource sur les bons réflexes face à une violation de données. Le Baromètre France Num 2026 apporte un autre signal : 39 % des TPE-PME déclarent avoir connu un incident cyber au cours des douze derniers mois. Cela ne signifie pas que 39 % ont subi une fuite de données, mais montre que le sujet concerne déjà beaucoup de petites organisations.

La première chose à retenir : un incident technique et une violation de données personnelles ne sont pas automatiquement la même chose. Un site indisponible peut relever d'un incident cyber ; s'il expose, altère, détruit ou rend indisponibles des données personnelles, il peut aussi s'agir d'une violation à évaluer au regard du RGPD.

Dans la première heure : contenir et garder des traces

Si vous pensez qu'un compte ou un site a été compromis, prévenez la personne qui gère votre informatique ou votre hébergeur. L'objectif immédiat est de limiter l'accès non autorisé : désactiver temporairement un compte compromis, suspendre un formulaire vulnérable ou isoler un système si votre prestataire le recommande.

Ne réinitialisez pas tout et ne supprimez pas les messages ou les journaux du serveur sans conseil technique. Ces éléments peuvent aider à comprendre ce qui s'est passé et à déterminer quelles données ont été concernées. Notez l'heure de la découverte, les actions déjà prises et les personnes contactées.

Depuis un appareil que vous estimez sûr, changez les mots de passe des comptes concernés, révoquez les sessions actives si le service le permet, et activez l'authentification multifacteur. Si le même mot de passe sert ailleurs, changez-le également sur ces services. En cas de doute, demandez à votre hébergeur de vérifier les accès et les journaux avant de remettre le service en ligne.

Dans les heures suivantes : établir les faits

Vous n'avez pas besoin de connaître immédiatement tous les détails, mais vous devez commencer à les rassembler. Notez ce que vous savez et ce qui reste à vérifier :

• Quelles données sont concernées ? Coordonnées, échanges par email, données de commande, identifiants ou autres informations.
• Combien de personnes peuvent être concernées ? Donnez une première estimation, puis corrigez-la si l'enquête apporte de nouveaux éléments.
• Que s'est-il passé et quand ? Distinguez la date probable de l'incident de la date à laquelle vous en avez eu connaissance.
• Quelles mesures avez-vous prises ? Compte désactivé, formulaire coupé, mots de passe changés, sauvegarde restaurée ou hébergeur contacté.
• Quel risque pour les personnes ? Une adresse email exposée n'a pas les mêmes conséquences qu'un mot de passe ou une donnée particulièrement sensible.

Conservez ces informations dans un document interne avec les décisions et leurs dates. Même lorsqu'une notification à la CNIL n'est finalement pas nécessaire, l'incident et l'analyse doivent être documentés.

Faut-il prévenir la CNIL dans les 72 heures ?

Le délai de 72 heures commence lorsque l'organisme prend connaissance de la violation. Il ne signifie pas que chaque panne ou tentative d'accès doit être signalée. Selon la CNIL, il faut notifier une violation lorsqu'elle est susceptible d'engendrer un risque pour les droits et libertés des personnes. Si le risque est élevé, les personnes concernées doivent aussi être informées dans les meilleurs délais.

Par exemple, un fichier contenant des coordonnées envoyé à un destinataire non prévu demande une évaluation rapide : le fichier a-t-il été ouvert ? Le destinataire peut-il le supprimer ? Les informations peuvent-elles être utilisées pour usurper une identité ou cibler les personnes ? À l'inverse, un incident sans donnée personnelle exposée n'entraîne pas automatiquement une notification au titre d'une violation de données.

Si vous ne savez pas évaluer le risque, contactez rapidement votre délégué à la protection des données, votre conseil ou un prestataire compétent. Ne laissez pas l'enquête attendre simplement parce que vous n'avez pas encore toutes les réponses : consignez ce qui est connu, ce qui est en cours de vérification et les raisons de vos décisions.

Vous pouvez effectuer la démarche depuis le service de notification des violations de données de la CNIL. La page de la CNIL détaille les cas à notifier et les informations à préparer.

Informer les clients sans spéculer

Si les personnes doivent être prévenues, dites clairement quelles données sont concernées, ce que vous avez déjà fait et ce qu'elles peuvent faire pour se protéger. Donnez un moyen de contact fiable. Ne minimisez pas l'incident et n'affirmez pas qu'il n'y a aucun risque tant que vous n'avez pas terminé l'analyse.

Méfiez-vous aussi des messages qui profitent de l'incident. Si les emails de vos clients ont été exposés, certains peuvent recevoir de faux messages se faisant passer pour votre entreprise. Prévenez-les de vérifier le nom de domaine de vos communications et de ne jamais transmettre leur mot de passe ou un code de connexion. Nous expliquons déjà comment les faux sites et le phishing peuvent viser les clients d'une TPE.

Après l'incident : corriger ce qui a permis la fuite

Quand le service est stabilisé, faites le point sur l'origine de l'incident : accès trop nombreux, mot de passe réutilisé, formulaire qui recueille trop d'informations, logiciel non mis à jour ou sauvegarde insuffisante. Corrigez la cause et vérifiez que la solution fonctionne avant de reprendre normalement.

Le Baromètre France Num relève que 84 % des TPE-PME ont au moins une mesure de cybersécurité, mais que la sauvegarde externe des données concerne 67 % d'entre elles et l'authentification multifacteur 39 %. Ce sont deux mesures concrètes à vérifier : une sauvegarde doit être isolée des accès habituels et testée ; le multifacteur doit être activé en priorité sur la messagerie, l'hébergement, le nom de domaine et les comptes d'administration.

Pour limiter les dégâts, commencez aussi par collecter le minimum nécessaire dans vos formulaires et supprimer les accès qui ne sont plus utilisés. Nos articles sur les rançongiciels visant les TPE et les passkeys et l'authentification complètent ces vérifications.

Une réponse préparée à l'avance fait gagner un temps précieux : qui appeler, où trouver les accès à l'hébergement, comment joindre le prestataire, où sont les sauvegardes et qui décide d'informer les clients. Même une courte fiche de contacts et d'étapes peut éviter de prendre les premières décisions dans la panique.

Sources : Baromètre France Num 2026, ministère de l'Économie (28 septembre 2026) ; ressource CNIL et Cybermalveillance publiée pour le Cybermois 2026 (1er octobre 2026) ; notifier une violation de données, CNIL.