Lorsqu’un CRM, une messagerie, un compte publicitaire, un CMS, un outil d’e-mailing ou une automatisation est compromis, la première erreur consiste à agir dans la panique. Couper tous les accès, supprimer des e-mails ou réinitialiser des comptes sans conserver de preuves peut compliquer l’investigation, interrompre l’activité et retarder les décisions importantes.
Une réponse à incident efficace suit une séquence simple : contenir, préserver, qualifier, informer les bonnes personnes, rétablir progressivement et tirer les leçons. Pour une PME, cette procédure doit inclure les outils marketing et commerciaux, car ils gèrent des données clients, des campagnes, des audiences, des budgets, des moyens de paiement et des canaux de communication sous la marque de l’entreprise.
Quand déclencher un plan de réponse à incident ?
Vous n’avez pas besoin d’attendre une confirmation complète pour déclencher les premières mesures de protection. Un plan de réponse peut être activé dès qu’un signal sérieux laisse penser qu’un compte, un poste, une plateforme ou une automatisation a pu être compromis.
| Signal observé | Exemple | Première réaction adaptée |
|---|---|---|
| Suspicion de compromission | Connexion inhabituelle, message suspect ou alerte MFA non sollicitée | Signaler, vérifier l’identité, surveiller les journaux et limiter le compte si le risque augmente |
| Compte probablement compromis | Mot de passe saisi sur une fausse page, règle de transfert inconnue ou session non reconnue | Révoquer les sessions, changer les secrets, vérifier les actions récentes et mobiliser IT ou prestataire |
| Action malveillante confirmée | Export CRM non autorisé, campagne frauduleuse, ajout d’administrateur ou dépense publicitaire inconnue | Contenir, préserver les preuves, cartographier l’impact et activer la cellule de crise |
| Violation de données possible | Fichiers clients téléchargés, boîte e-mail exfiltrée ou base partagée sans autorisation | Évaluer les données et les personnes concernées avec DPO, RSSI ou conseil compétent |
Le bon réflexe consiste à traiter un signal comme une hypothèse à qualifier, sans le minimiser ni le transformer immédiatement en certitude. Une revendication publiée par un attaquant, un message reçu par un client ou une alerte d’outil peut être le début d’un incident. La réponse doit documenter ce qui est observé, ce qui est plausible et ce qui reste à vérifier.
Les 60 premières minutes : contenir sans détruire les preuves
La première heure sert à réduire la capacité d’action d’un éventuel attaquant et à préserver les informations nécessaires à l’analyse. La priorité n’est pas de rédiger une communication publique ni de reconstruire tous les systèmes. Elle est de stabiliser la situation.
- Déclarez l’incident. Utilisez le canal interne prévu : responsable IT, RSSI, prestataire, direction ou adresse d’urgence. Indiquez l’outil concerné, l’heure, le compte, les actions observées et ce qui vous a alerté.
- Créez une chronologie initiale. Notez les faits, les heures, les messages reçus, les alertes, les captures et les personnes déjà informées. Distinguez les faits confirmés des hypothèses.
- Révoquez les sessions à risque. Déconnectez les sessions actives du compte concerné lorsque les procédures et l’outil le permettent. Changez les secrets associés et vérifiez les facteurs MFA si vous suspectez une compromission.
- Suspendre les connecteurs ou automatisations dangereuses. Mettez en pause les workflows qui pourraient exporter, modifier, supprimer ou envoyer des données depuis le compte suspecté.
- Préservez les preuves. Conservez les e-mails, en-têtes, journaux, exports, identifiants d’exécution, captures et horodatages. Ne supprimez pas les éléments qui pourraient expliquer la compromission.
- Contrôlez les changements récents. Recherchez les nouveaux administrateurs, règles de transfert, clés API, tokens, moyens de paiement, campagnes, exports ou accès prestataires ajoutés récemment.
- Évaluez les dépendances. Identifiez les outils reliés : messagerie, CRM, e-mailing, publicités, CMS, drive, automatisations, agents IA et fournisseurs externes.
- Informez uniquement les personnes nécessaires. Direction, IT, marketing, responsable CRM, DPO, juridique, prestataire ou agence selon le périmètre. Évitez les messages larges avant d’avoir un cadre factuel.
Constituer une cellule de crise adaptée à une PME
Une cellule de crise ne nécessite pas une grande organisation. Elle nécessite des rôles clairs, un canal de coordination et une personne capable d’arbitrer. La CNIL rappelle, dans le contexte des attaques par credential stuffing, l’importance d’une cellule associant les acteurs techniques, métiers et prestataires nécessaires.
| Rôle | Responsabilité pendant l’incident | Questions à traiter |
|---|---|---|
| Direction | Arbitrage, priorités, mobilisation des ressources et validation des messages majeurs | Quel impact métier accepter ? Qui décide de la reprise ou de la communication ? |
| IT, sécurité ou prestataire | Confinement, analyse, préservation des preuves et restauration technique | Quels comptes, postes, clés, connecteurs ou systèmes doivent être isolés ? |
| Marketing et CRM | Cartographie des campagnes, audiences, exports, comptes et communications sous la marque | Quels clients, listes, budgets, formulaires ou canaux peuvent être concernés ? |
| Commercial et relation client | Vérification des impacts sur les comptes, opportunités, demandes et suivis clients | Des messages frauduleux, changements de données ou accès anormaux ont-ils affecté des clients ? |
| DPO ou juridique | Évaluation des données personnelles, documentation et obligations de notification | Une violation de données est-elle avérée ? Quel risque pour les personnes ? |
| Communication | Préparation de messages internes et externes fondés sur des faits validés | Qui doit être informé, quand et avec quel niveau de détail ? |
Si votre entreprise fait appel à une agence marketing, un infogéreur, un prestataire CRM ou un intégrateur no-code, ajoutez-les à la cartographie de crise. Ils peuvent détenir des accès, des journaux, des clés API, des sauvegardes ou des informations nécessaires à la réponse.
Les scénarios marketing et commerciaux à préparer
Un plan générique ne suffit pas. Les équipes doivent savoir quoi vérifier selon l’outil concerné. Les scénarios suivants peuvent être intégrés à votre procédure interne.
CRM compromis
Vérifiez les connexions récentes, exports, nouveaux utilisateurs, modifications de rôles, champs modifiés, intégrations créées et activités associées au compte. Identifiez les données accessibles : contacts, prospects, opportunités, notes, documents, données de facturation ou historiques d’échanges.
Avant l’incident, la réduction des privilèges et la protection des identités restent essentielles. Consultez notre guide sur la sécurisation des CRM, campagnes publicitaires et outils marketing.
Compte e-mailing ou messagerie compromis
Contrôlez les campagnes envoyées, programmées ou modifiées, les règles de transfert, les expéditeurs, les segments, les modèles et les utilisateurs ajoutés. Vérifiez si des messages frauduleux ont été envoyés sous votre marque et si des clients doivent être avertis de ne pas cliquer sur certains liens.
Les incidents de messagerie commencent fréquemment par une usurpation, une pièce jointe ou un lien frauduleux. Si le signal initial est un e-mail ou une demande inhabituelle, retrouvez les réflexes de vérification dans notre guide sur le phishing généré par IA et les usurpations crédibles.
Compte Google Ads, Meta Ads ou plateforme publicitaire compromis
Vérifiez les changements de budget, de moyen de paiement, de rôles, de comptes partenaires, de campagnes, de créations, d’audiences et de destinations publicitaires. Contrôlez également les règles automatiques, les accès de l’agence et les notifications de sécurité.
Une campagne malveillante ou une dépense non autorisée peut avoir un effet immédiat sur le budget et la réputation. Préservez les informations de facturation, les identifiants de campagne et les journaux disponibles avant toute modification majeure.
CMS, site e-commerce ou Google Tag Manager modifié
Vérifiez les utilisateurs administrateurs, les extensions ou scripts ajoutés, les balises modifiées, les redirections, les formulaires, les pages publiées et les changements de code. Si possible, comparez l’état actuel à une version ou sauvegarde connue.
Ne restaurez pas aveuglément une sauvegarde sans comprendre le périmètre de l’incident. Une restauration peut corriger un changement malveillant, mais elle peut aussi effacer des données récentes ou laisser une autre porte d’entrée active.
Agent IA ou automatisation connectée aux données métier
Vérifiez les comptes de service, tokens, clés API, webhooks, workflows, sources consultées et actions exécutées. Mettez en pause les automatisations capables d’exporter, modifier, supprimer ou envoyer des données jusqu’à ce que leur comportement soit qualifié.
Lorsque l’incident implique un assistant ou une automatisation reliée au CRM, à la messagerie ou au drive, révisez les connecteurs, les comptes de service et les secrets. Consultez notre guide sur la sécurité des agents IA connectés au CRM et aux données.
Les 72 premières heures : qualifier, documenter et décider
Après le confinement initial, l’entreprise doit comprendre ce qui a été touché, évaluer les données concernées, organiser les communications nécessaires et préparer la reprise. Cette phase ne consiste pas à attendre d’avoir une certitude absolue sur chaque détail. Elle consiste à réunir un niveau d’information suffisant pour prendre des décisions proportionnées.
| Période | Objectif | Actions prioritaires |
|---|---|---|
| H+1 à H+24 | Qualifier l’incident et réduire l’exposition | Cartographier comptes, données, outils, actions récentes, sessions, clés et clients potentiellement concernés |
| H+24 à H+48 | Évaluer l’impact et préparer les décisions | Déterminer les données personnelles impliquées, les risques, les services affectés, les mesures correctives et les messages internes |
| H+48 à H+72 | Documenter, notifier si nécessaire et organiser la reprise | Finaliser l’analyse de risque, préparer la notification CNIL lorsque les conditions sont réunies, informer les personnes concernées si nécessaire et planifier la restauration contrôlée |
La CNIL rappelle que le responsable de traitement doit notifier une violation de données personnelles à la CNIL dans les 72 heures après en avoir pris connaissance lorsque la violation est susceptible d’engendrer un risque pour les droits et libertés des personnes. Cette appréciation dépend du contexte, de la nature des données, des mesures déjà prises et des conséquences possibles. Elle doit être menée avec le DPO, le juridique, la direction et les personnes compétentes en sécurité.
Une notification peut être complétée à mesure que l’investigation progresse. Ne retardez pas une décision nécessaire uniquement parce que tous les détails techniques ne sont pas encore connus. À l’inverse, ne supposez pas qu’une notification ou une information client est requise sans analyse du risque et du cadre applicable.
Utiliser l’IA pendant l’incident : ce qui est utile et ce qui ne l’est pas
L’IA peut aider une cellule de crise à traiter un volume important d’informations : journaux, tickets, messages, exports, captures, listes de comptes et comptes rendus de réunion. Elle peut résumer une chronologie, repérer des éléments manquants dans une procédure, préparer une liste de questions ou produire un premier brouillon de communication interne.
Elle doit cependant rester dans un rôle d’assistance. L’IA ne dispose pas du contexte juridique, métier et humain nécessaire pour prendre seule une décision de confinement, de notification, de communication publique ou de reprise de service.
Pour comprendre les usages réalistes de l’IA défensive, ses limites et les contrôles nécessaires, consultez notre article sur l’IA et la cybersécurité pour les PME.
Communiquer sans minimiser ni surinterpréter
La communication de crise commence en interne. Les collaborateurs doivent savoir qui coordonne l’incident, quels canaux utiliser, quelles informations ne pas diffuser et quelles actions concrètes appliquer. Un message interne clair réduit le risque de rumeurs, de publications non coordonnées ou de suppression involontaire de preuves.
Pour la communication externe, partez de faits vérifiés. L’ANSSI, via MesServicesCyber, recommande d’anticiper la communication de crise, de préparer des messages clés, d’organiser la communication interne et externe puis de réaliser un retour d’expérience.
Une méthode simple consiste à structurer les messages autour de cinq éléments :
- Faits : ce qui est confirmé à ce stade.
- Actions : les mesures de protection, d’investigation ou de restauration engagées.
- Considération : une formulation qui reconnaît l’impact potentiel pour les personnes concernées.
- Engagement : la mobilisation de l’organisation et les prochaines mises à jour prévues.
- Transparence : ce qui reste en cours d’analyse, sans promesse de délai ou de résultat non vérifié.
Ne reprenez jamais les revendications d’un attaquant comme des faits. Ne promettez pas qu’aucune donnée n’a été exposée tant que l’investigation ne le permet pas. Ne publiez pas de détail technique qui pourrait faciliter une nouvelle attaque ou perturber l’enquête.
Reprendre l’activité et réaliser le retour d’expérience
La reprise ne doit pas se limiter à remettre un compte en ligne. Elle doit vérifier que la porte d’entrée a été traitée, que les accès ont été revus, que les secrets ont été renouvelés et que les données critiques sont cohérentes.
- Restaurer les services progressivement, avec des tests fonctionnels et de sécurité.
- Réinitialiser les comptes, tokens, clés API et connecteurs concernés.
- Vérifier les administrateurs, partenaires, règles de messagerie et intégrations ajoutés récemment.
- Contrôler les données CRM, campagnes, audiences, budgets et contenus modifiés pendant l’incident.
- Documenter les décisions prises, les horaires, les preuves et les responsables.
- Mettre à jour les procédures, les contacts d’urgence et les règles d’accès.
- Organiser un retour d’expérience avec IT, marketing, direction, prestataires et autres équipes concernées.
- Transformer les leçons apprises en actions attribuées et suivies dans le temps.
Le retour d’expérience est l’étape qui transforme un incident en amélioration réelle. Il peut révéler un compte prestataire oublié, une absence de journal, un token trop puissant, une procédure de communication imprécise ou une dépendance excessive à un seul outil. Ces améliorations doivent être planifiées et suivies, pas seulement notées dans un compte rendu.
Questions fréquentes
Faut-il couper immédiatement tous les comptes et tous les outils ?
Quand faut-il notifier la CNIL après un incident ?
Faut-il informer immédiatement tous les clients ?
Que faire si l’incident vient d’un prestataire ou d’une agence ?
L’IA peut-elle gérer une réponse à incident seule ?
Comment préparer ce plan avant un incident réel ?
Une réponse à incident efficace ne repose pas sur une réaction spectaculaire. Elle repose sur des rôles clairs, des accès maîtrisés, une chronologie documentée, des preuves préservées et une reprise progressive. Pour une PME, le défi est d’intégrer les outils marketing, commerciaux et IA à la procédure, car ils peuvent contenir les données les plus sensibles et les canaux les plus visibles de l’entreprise.
Préparez le plan avant l’incident. Désignez les personnes à appeler, listez les comptes à privilégier, testez la révocation des accès, documentez les outils connectés et entraînez une cellule de crise à communiquer à partir de faits vérifiés. Vous ne pourrez pas empêcher tous les incidents, mais vous pourrez réduire leur impact et réagir avec davantage de méthode.
Explorer les analyses sur la sécurité numériqueSources et pour aller plus loin
- ANSSI / MesServicesCyber — Anticiper et gérer sa communication de crise cyber : guide consacré à la préparation, aux messages clés, à la communication interne et externe et au retour d’expérience.
- CNIL — Cyberattaque : le sous-traitant au centre de la crise : rôle du sous-traitant, documentation et notification des violations de données.
- data.gouv.fr — Notifications à la CNIL de violations de données à caractère personnel : rappel des informations publiques relatives au délai de notification de 72 heures.
- CNIL — Attaque par credential stuffing sur un site web : mesures de prévention et rôle de la cellule de crise.
- IA & Marketing — Sécuriser CRM, campagnes publicitaires et outils marketing : prévention des compromissions d’accès dans les actifs marketing.
- IA & Marketing — IA et cybersécurité : protéger une PME : usages défensifs de l’IA et limites des décisions automatisées.
- IA & Marketing — Phishing généré par IA : prévention des usurpations, validation hors canal et signalement rapide.
- IA & Marketing — Sécuriser les agents IA connectés au CRM : gestion des comptes de service, tokens, connecteurs et permissions des agents.
