Dans les 48 heures qui suivent la découverte d'une fuite de données, une entreprise doit contenir l'incident, mesurer ce qui est sorti, préparer la notification à la CNIL (72 heures maximum, article 33 du RGPD), décider s'il faut prévenir les personnes concernées (article 34) et porter plainte. Elle doit aussi fermer les portes que les escrocs vont utiliser ensuite : son domaine email, ses DNS et ses accès techniques. Ce dernier volet manque dans la plupart des guides. Pourtant, une fuite est presque toujours suivie de faux messages envoyés au nom de l'entreprise touchée.
Octobre 2026 l'a rappelé. La Région Hauts-de-France a annoncé le 3 octobre une attaque visant deux de ses prestataires, Atexo et Docaposte, et a chiffré à près de 545 000 le nombre de personnes concernées. DEKRA Automotive a informé ses clients d'un incident survenu le 20 octobre chez l'un de ses sous-traitants. Le réseau Autosur a confirmé un incident touchant une cinquantaine de centres. En 2025, la CNIL avait déjà reçu 6 167 notifications de violations, un record (+9,5 % sur un an).
Heures 0 à 6 : contenir et préserver les traces
La première urgence consiste à arrêter l'hémorragie sans effacer les preuves. Les deux objectifs se contredisent parfois : réinstaller un serveur supprime les journaux dont l'enquête aura besoin.
- Isolez le système touché : coupez l'accès réseau, désactivez le compte compromis, fermez la plateforme exposée. Ne l'éteignez pas si vous pouvez l'éviter, la mémoire contient des traces utiles.
- Conservez les journaux : logs du serveur web, de la base de données, du VPN, de la messagerie, de l'outil d'authentification. Copiez-les hors du système touché.
- Ouvrez un journal de crise : qui a constaté quoi, à quelle heure, quelles décisions ont été prises. Ce document servira pour la CNIL, la plainte et l'assureur.
- Demandez de l'aide : le service 17Cyber, opéré par la police, la gendarmerie et Cybermalveillance.gouv.fr, oriente les entreprises victimes vers des prestataires référencés.
Heures 6 à 24 : qualifier la violation
La notification à la CNIL et l'information des personnes dépendent de réponses précises. Vous n'aurez pas toutes les réponses au bout de 24 heures. Notez ce que vous savez et ce qui reste à établir.
| Question | Pourquoi elle compte |
|---|
| Quelles catégories de données ? (identité, email, téléphone, RIB, pièces d'identité, mots de passe) | Un RIB ou une pièce d'identité fait monter le risque, donc l'obligation d'informer les personnes |
| Combien de personnes, même approximativement ? | Exigé dans la notification CNIL |
| Les données étaient-elles chiffrées ? | Un chiffrement solide peut dispenser d'informer les personnes (article 34.3) |
| La fuite vient-elle de chez vous ou d'un prestataire ? | Vous restez responsable de traitement dans les deux cas |
| Les données sont-elles publiées ou mises en vente ? | Une revendication sur un forum ne prouve rien, mais elle accélère le calendrier |
Méfiez-vous des chiffres revendiqués. Dans le cas des Hauts-de-France, un pirate affirmait détenir les données de 708 068 personnes, un chiffre que la Région n'a pas validé. Dans le cas d'Autosur, l'entreprise confirme un incident, mais le lien avec une base mise en vente le 31 octobre n'est pas établi.
La notification à la CNIL (article 33)
Toute violation présentant un risque pour les personnes doit être notifiée à la CNIL dans les meilleurs délais, et au plus tard 72 heures après en avoir pris connaissance. Passé ce délai, il faut justifier le retard. La CNIL accepte une notification en deux temps : une notification initiale avec ce que vous savez, puis un complément dès que l'enquête avance. Ne retardez pas l'envoi pour attendre des chiffres parfaits.
La notification se fait sur le téléservice de la CNIL (notifications.cnil.fr). Elle décrit la nature de la violation, le nombre approximatif de personnes et d'enregistrements, les conséquences probables et les mesures prises. Même une violation sans risque doit être documentée en interne.
L'information des personnes (article 34)
Si la violation est susceptible d'engendrer un risque élevé, vous devez prévenir les personnes concernées, dans les meilleurs délais. Trois exceptions existent : des données rendues illisibles (chiffrement), des mesures prises ensuite qui suppriment le risque, ou un effort disproportionné, qui impose alors une communication publique. En cas de doute, notifiez la CNIL : elle vous dira s'il faut informer les personnes.
La plainte
Déposez plainte auprès de la police, de la gendarmerie ou du procureur de la République. Si vous êtes assuré contre le risque cyber, ce point est urgent : depuis le 24 avril 2023, l'article L. 12-10-1 du code des assurances subordonne l'indemnisation d'une cyberattaque à une plainte déposée dans les 72 heures suivant sa connaissance. Une simple pré-plainte en ligne peut ne pas suffire, vérifiez avec votre assureur.
Le volet que les guides oublient : le phishing à votre nom
Une fuite fournit aux escrocs une liste de destinataires, leurs noms, et le contexte exact de leur relation avec vous. Le message frauduleux suivant est facile à écrire : « Suite à l'incident de sécurité, merci de confirmer vos coordonnées bancaires ». Il arrive au moment où vos clients attendent justement un message de votre part.
Les organisations touchées en octobre l'ont anticipé. La Région Hauts-de-France a mis en garde ses usagers contre les courriels, SMS et appels frauduleux envoyés en son nom, en précisant qu'elle ne demandera jamais de mot de passe ni de coordonnées bancaires par courriel. Les conseils publiés après l'incident DEKRA Automotive vont dans le même sens : se méfier des emails se réclamant de l'entreprise et passer par le site officiel.
Ces faux messages prennent trois formes. Votre domaine exact dans l'adresse d'expéditeur, ce que DMARC peut bloquer. Un domaine qui ressemble au vôtre, contre lequel DMARC ne peut rien. Ou simplement votre nom affiché devant une adresse quelconque. Nous détaillons ces trois cas dans notre article sur les faux mails envoyés à votre nom, et les faux domaines dans notre guide sur les domaines cousins.
La checklist technique des 48 heures
1. Passez votre DMARC en p=reject
Vérifiez d'abord votre politique actuelle :
dig +short TXT _dmarc.votre-domaine.fr
Trois cas se présentent :
- Aucune réponse : n'importe qui peut envoyer un email avec votre adresse d'expéditeur, et beaucoup de messageries l'accepteront.
p=none : vous observez, mais rien n'est bloqué.p=quarantine ou p=reject : les messages non authentifiés vont en spam ou sont refusés.
L'objectif est ce type d'enregistrement :
_dmarc.votre-domaine.fr. TXT "v=DMARC1; p=reject; sp=reject; rua=mailto:dmarc@votre-domaine.fr"
Attention : passer en p=reject sans avoir vérifié vos envois légitimes peut bloquer vos propres factures ou newsletters. Si vous partez de zéro, commencez par p=quarantine le temps de contrôler que vos outils (CRM, facturation, emailing) sont bien authentifiés. Le contexte réglementaire est détaillé dans notre article sur les exigences DMARC de Google, Yahoo et Microsoft. Pour un diagnostic immédiat de SPF, DKIM et DMARC, utilisez l'outil de vérification de la sécurité email.
2. Surveillez les changements de vos DNS
Si l'attaquant a obtenu un accès à votre registrar ou à votre hébergeur DNS, il peut modifier vos enregistrements MX (pour recevoir vos emails), votre SPF (pour s'autoriser à écrire en votre nom) ou vos NS (pour prendre la main sur tout le domaine). Relevez l'état actuel maintenant, pour pouvoir comparer :
dig +short NS votre-domaine.fr
dig +short MX votre-domaine.fr
dig +short TXT votre-domaine.fr
Conservez ce relevé dans le journal de crise. Tout écart dans les jours qui suivent doit être expliqué.
3. Surveillez les nouveaux sous-domaines et certificats
Chaque certificat SSL émis est inscrit dans des journaux publics, les logs de Certificate Transparency. Un certificat émis pour paiement.votre-domaine.fr alors que ce sous-domaine n'existe pas chez vous signale un problème. Vous pouvez consulter ces journaux sur crt.sh en cherchant %.votre-domaine.fr.
4. Faites tourner les secrets
Changez en priorité les accès qui permettent d'agir sur votre identité en ligne :
- mots de passe du registrar et de l'hébergeur DNS, avec double authentification activée ;
- identifiants SMTP et clés d'API des plateformes d'envoi d'emails ;
- clés d'API exposées dans le système touché (paiement, CRM, stockage) ;
- comptes administrateurs du site et de la messagerie ;
- sessions actives et règles de transfert automatique dans les boîtes mail.
5. Prévenez vos clients avant les escrocs
Un message clair, envoyé tôt, désamorce une partie du phishing. Il doit dire ce que vous ne demanderez jamais. Voici un modèle à adapter :
Objet : Incident de sécurité : ce que nous savons et ce que vous devez savoir
Bonjour,
Le [date], nous avons détecté un accès non autorisé à [système].
Les données concernées sont : [liste]. Vos [mots de passe / données
bancaires] [ne sont pas / sont peut-être] concernés.
Nous avons notifié la CNIL et déposé plainte.
Dans les semaines qui viennent, vous pourriez recevoir de faux messages
à notre nom. Nous ne vous demanderons jamais, par email, SMS ou
téléphone, votre mot de passe, un code reçu par SMS ou vos coordonnées
bancaires. Nos emails proviennent uniquement de @votre-domaine.fr.
En cas de doute, connectez-vous directement sur votre-domaine.fr
ou appelez-nous au [numéro].
Envoyez ce message depuis votre domaine habituel, avec SPF, DKIM et DMARC en règle, sans lien de connexion ni pièce jointe. Un message d'alerte qui ressemble lui-même à du phishing produit l'effet inverse.
Si la fuite vient d'un prestataire
Le cas des Hauts-de-France est celui d'une fuite chez des sous-traitants. Le RGPD est clair : le sous-traitant doit vous prévenir dans les meilleurs délais (article 33.2), mais c'est vous, responsable de traitement, qui notifiez la CNIL et informez les personnes. Le délai de 72 heures court à partir du moment où vous en avez connaissance. Nous analysons ce cas et la manière de cartographier vos prestataires dans notre étude du risque sous-traitant.
Ce que Domains Defender surveille
Domains Defender ne détecte pas les fuites de données et ne surveille pas les forums où elles sont vendues. Il surveille votre domaine : il vous alerte quand un enregistrement DNS change (NS, MX, TXT…) et quand votre configuration SPF, DKIM ou DMARC se dégrade. Sur le plan Pro, il signale aussi les nouveaux sous-domaines et autorités de certification apparus dans les logs de Certificate Transparency. Pour un premier état des lieux gratuit, lancez un audit de votre domaine.
Questions fréquentes
Fuite de données : que faire en premier ?
Isolez le système touché, conservez les journaux et ouvrez un journal de crise daté. Ensuite seulement, mesurez l'ampleur : quelles données, combien de personnes. La notification à la CNIL doit partir dans les 72 heures, quitte à la compléter plus tard.
Faut-il prévenir la CNIL si la fuite vient d'un prestataire ?
Oui. Le responsable de traitement reste celui qui notifie la CNIL et informe les personnes, même quand l'incident a eu lieu chez un sous-traitant. Le prestataire doit vous alerter et vous aider, mais il ne vous remplace pas.
Doit-on prévenir tous les clients d'une fuite de données personnelles ?
Seulement si la violation présente un risque élevé pour eux, ce qui est souvent le cas avec des données bancaires, des pièces d'identité ou des mots de passe. Même sans obligation, un message qui annonce les faux emails à venir protège vos clients.
Le délai de 72 heures concerne-t-il aussi les clients ?
Non. Les 72 heures s'appliquent à la notification à la CNIL (et, pour l'assurance cyber, au dépôt de plainte). L'information des personnes doit intervenir « dans les meilleurs délais », sans délai chiffré.
Une fuite revendiquée sur un forum oblige-t-elle à notifier ?
Une revendication n'est pas une preuve, mais elle impose de vérifier vite. Dès que vous constatez une violation qui présente un risque, le délai de 72 heures court. Si l'enquête est en cours, une notification initiale à la CNIL reste possible.