Fuite de données : le plan de réaction concret pour votre PME lyonnaise

SFR, la DGFiP, l'IRD. En quelques semaines à l'été 2026, trois vols de données majeurs ont frappé la France. Des millions de personnes concernées. Un même pseudonyme derrière plusieurs attaques : ZeroBytes. Et à chaque fois, la même question qui remonte dans les entreprises : "Et nous, on ferait quoi ?"

Spoiler : la plupart des PME ne sont pas prêtes. Pas parce qu'elles sont négligentes, mais parce que personne n'a jamais écrit la procédure. Cet article corrige ça. On regarde ce que ces trois cas révèlent, puis on déroule un plan de réaction concret, étape par étape. Objectif : savoir que faire en cas de fuite de données entreprise, sans paniquer ni improviser.

Trois fuites, trois leçons

SFR : le délai qui fait mal

SFR a essuyé deux incidents. En décembre 2025, une première fuite exposait nom, prénom, adresse postale, téléphone et email. Puis, révélé en août 2026, un second incident touchant sa filiale fibre : un accès non autorisé à un outil de gestion des raccordements, détecté le 2 juillet. Un pirate a revendiqué l'extraction de 2,1 millions de lignes.

Les données concernées : nom, prénom, civilité, adresse, numéro de mobile, identifiant de contrat et données techniques de la ligne. Pas les mots de passe ni les infos bancaires, selon l'opérateur.

Le point qui pique : sept semaines entre la détection et l'information des abonnés. Sur le plan technique, SFR a bien réagi : compte compromis désactivé, adresses IP bloquées, surveillance maintenue, CNIL notifiée. Mais le délai de communication a fait le buzz, dans le mauvais sens.

DGFiP : quand on ne voit rien pendant 48 jours

La Direction générale des Finances publiques a confirmé le 14 août 2026 le vol des données de 678 000 contribuables. Les connexions malveillantes datent de juin et juillet. Elles n'ont été revendiquées que les 12 et 13 août. L'accès a été obtenu via une usurpation d'identité.

Faites le calcul : environ 48 jours entre l'intrusion et la confirmation officielle. Et une deuxième fuite a suivi moins de 48h après, cette fois sur une API cadastrale, avec plus de 2 millions de propriétaires potentiellement touchés. Le parquet de Paris a ouvert une enquête, confiée à l'Office anticybercriminalité.

La leçon : une intrusion peut rester invisible des semaines. Sans détection, vous ne réagissez pas. Vous subissez.

IRD : le manuel de la réaction propre

L'Institut de recherche pour le développement a détecté sa cyberattaque le 24 juillet 2026. Environ 7 500 personnes exposées, avec des données sensibles : identités, dates et lieux de naissance, nationalités, coordonnées, infos professionnelles et numéros de Sécurité sociale.

Ce que l'IRD a bien fait, et que vous devriez copier :

• Plainte déposée.
• CNIL notifiée.
• Cellule de crise mise en place.
• Serveurs concernés isolés.

Nuance honnête à retenir : l'IRD précise ne pas pouvoir confirmer, à ce stade, que les données ont été effectivement exfiltrées. L'étendue reste à déterminer. C'est normal. Communiquer avec prudence sur ce qu'on ne sait pas encore, c'est aussi ça, une gestion de crise saine.

Le cadre RGPD en deux articles

Avant le plan, le socle légal. Deux articles du RGPD encadrent le vol de données clients RGPD :

• Article 33 : notification à la CNIL en cas de violation de données personnelles, en principe dans les 72 heures après en avoir pris connaissance.
• Article 34 : information des personnes concernées lorsque la violation présente un risque élevé pour leurs droits et libertés.

La logique est graduée. Toute violation ne déclenche pas les mêmes obligations. Tout dépend du niveau de risque. Une exposition de numéros de Sécurité sociale ou de données bancaires ne pèse pas comme une simple liste d'emails. À vous de qualifier.

Point neuf à connaître : l'action de groupe, issue de la loi du 30 avril 2025, permet à une association agréée de porter une plainte collective. Pour une entreprise privée, une action en responsabilité individuelle reste possible sur le fondement de l'article 82 du RGPD. Autrement dit, une fuite mal gérée peut coûter plus que l'amende CNIL.

Le plan de réaction en 5 étapes

Étape 1 : détecter et confiner

Vous ne pouvez pas réagir à ce que vous ne voyez pas. La DGFiP l'a appris à ses dépens. Première brique : la détection. Journalisation des accès, alertes sur les connexions anormales, revue régulière des comptes actifs.

Dès qu'un incident est confirmé, on confine. Les cas SFR et IRD donnent le mode d'emploi :

• Désactiver les comptes compromis.
• Bloquer les adresses IP suspectes et les surveiller.
• Isoler les serveurs concernés du reste du réseau.
• Ne pas éteindre brutalement : vous risquez d'effacer des preuves utiles à l'enquête.

Objectif : stopper l'hémorragie sans détruire les traces.

Étape 2 : qualifier la violation

Quelles données ? Combien de personnes ? Quel niveau de sensibilité ? C'est cette qualification qui déclenche, ou non, vos obligations. Numéros de Sécu, données de santé, coordonnées bancaires : risque élevé quasi automatique. Une simple liste de prénoms : risque plus faible.

Documentez tout. Date de détection, nature de l'accès, périmètre estimé, mesures prises. Ce registre vous servira face à la CNIL et, si besoin, devant un juge.

Étape 3 : notifier la CNIL

Si la violation présente un risque pour les personnes, vous notifiez la CNIL, en principe sous 72 heures après en avoir pris connaissance. Le formulaire se fait en ligne. Si vous n'avez pas encore toutes les infos, vous notifiez quand même et complétez ensuite. Mieux vaut une notification partielle dans les temps qu'un dossier parfait trop tard.

Notifier n'est pas un aveu de faute. C'est une obligation légale, et c'est aussi ce qui montre que vous gérez sérieusement.

Étape 4 : informer vos clients, vite et clair

Quand le risque est élevé, l'article 34 impose d'informer les personnes concernées. Et là, l'exemple SFR fait figure de contre-modèle. Sept semaines, c'est trop. La colère des clients ne porte pas tant sur le piratage que sur le silence.

Un bon message d'information contient :

• Ce qui s'est passé, en langage clair, sans minimiser.
• Quelles données sont concernées, et lesquelles ne le sont pas.
• Les risques concrets : phishing, usurpation, appels frauduleux.
• Ce que la personne peut faire : changer ses mots de passe, se méfier des mails suspects, surveiller ses comptes.
• Un contact dédié pour poser ses questions.

Attention, le phishing explose après une fuite. Les données volées servent à monter des arnaques crédibles. Prévenez explicitement vos clients que vous ne leur demanderez jamais leur mot de passe par mail. Le sujet est documenté dans notre article sur le phishing dopé à l'IA et la leçon pour les PME lyonnaises.

Étape 5 : limiter le préjudice et tirer les leçons

Une fois la crise passée, le travail continue. Portez plainte, comme l'IRD. Conservez les preuves pour l'enquête. Puis analysez : par où est passé l'attaquant ? Quel compte ? Quelle faille ?

Ensuite, corrigez :

• Rotation des mots de passe et authentification à deux facteurs partout où c'est possible.
• Revue des droits d'accès : qui peut voir quoi, et est-ce vraiment nécessaire ?
• Vérification de vos sauvegardes.
• Réduction des données stockées : ce que vous n'avez pas ne peut pas fuiter.

Ce que vous pouvez préparer dès maintenant

La meilleure gestion de crise se joue avant la crise. Trois chantiers concrets, réalisables même dans une petite structure :

• Une fiche réflexe. Une page A4 avec les étapes ci-dessus, les coordonnées CNIL, le contact juridique, le prestataire IT. Affichée, connue de tous.
• Un tri de vos données. Quelles données clients détenez-vous, où, et pour combien de temps ? Notre guide pour écrire une politique de conservation des données vous donne la méthode.
• Des sauvegardes testées. Une sauvegarde jamais restaurée est une sauvegarde théorique. On explique comment automatiser ses sauvegardes et vérifier qu'elles fonctionnent.

Pour aller plus loin sur le volet organisationnel, la fuite de l'Éducation nationale décryptée comme leçon de gestion de crise complète bien cette lecture. Et si vous manipulez de la donnée personnelle dans vos outils d'IA, relisez ce qui est permis et ce qui ne l'est pas avec RGPD et IA en entreprise.

À retenir

Les fuites SFR, DGFiP et IRD ne sont pas des accidents isolés. La CNIL a enregistré un nombre record de violations en 2025. La question n'est plus de savoir si vous serez visé, mais quand, et surtout comment vous réagirez.

Retenez trois réflexes. Détecter vite, parce que 48 jours d'aveuglement, c'est 48 jours de trop. Communiquer clairement, parce que le silence coûte plus cher que l'incident. Documenter tout, parce que la CNIL et vos clients jugeront votre gestion, pas votre malchance. Écrivez votre fiche réflexe cette semaine. Vous ne le regretterez pas le jour où ça tombe.