Comptes compromis : comment protéger votre CRM, vos campagnes publicitaires et vos outils marketing
Les clefs pour protéger CRM, CMS, publicité et automatisations
Les outils marketing et commerciaux sont devenus des actifs critiques. Un compte administrateur de CRM, de plateforme e-mailing, de gestionnaire publicitaire, de CMS ou d’automatisation peut donner accès à des données clients, des audiences, des budgets, des canaux de communication et parfois à des moyens de paiement. Lorsqu’un compte est compromis, les conséquences dépassent donc largement l’informatique : fuite de contacts, campagne frauduleuse, phishing envoyé sous votre marque, dépenses publicitaires non autorisées ou perte de confiance des clients.
Les récentes intrusions touchant des institutions françaises rappellent que l’identité constitue une surface d’attaque majeure. Dans son communiqué d’août 2026, la Direction générale des Finances publiques a indiqué que des accès illégitimes avaient reposé sur l’usurpation des identifiants d’un agent et d’un tiers habilité. Pour une PME, le même risque peut concerner une agence, un ancien collaborateur, une boîte e-mail, une clé API ou un compte administrateur oublié.
Dans cet article...
Pourquoi les outils marketing sont devenus une cible prioritaire
Le marketing gère des actifs particulièrement attractifs pour un attaquant. Un CRM peut contenir des prospects, clients, opportunités et historiques de conversations. Une plateforme e-mailing peut envoyer un message à grande échelle sous l’identité de votre marque. Un compte publicitaire peut donner accès à des audiences, à des budgets et à des moyens de paiement. Un CMS ou un gestionnaire de tags peut modifier le site, injecter un script ou rediriger des visiteurs.
Le danger ne vient pas uniquement d’un mot de passe faible. Il peut venir d’une session déjà ouverte, d’un e-mail de phishing crédible, d’un ancien accès d’agence, d’une clé API mal stockée, d’un compte partagé ou de droits d’administration attribués « temporairement » puis jamais retirés.
| Outil ou actif | Ce qu’un compte compromis peut exposer | Conséquence métier possible |
|---|---|---|
| CRM | Contacts, opportunités, notes, historiques d’échanges, documents et exports | Fuite de données, fraude commerciale, phishing ciblé et perte de confiance |
| Plateforme e-mailing | Listes, segments, modèles, expéditeurs, scénarios et statistiques | Envoi frauduleux, usurpation de marque, désinscriptions et réputation dégradée |
| Google Ads ou Meta Ads | Budgets, campagnes, audiences, pixels, moyens de paiement et utilisateurs | Dépenses non autorisées, campagnes malveillantes ou données d’audience exposées |
| CMS et e-commerce | Contenus, comptes clients, commandes, extensions et accès administrateur | Défacement, fraude, redirection, fuite de données ou interruption de vente |
| Google Tag Manager et analytics | Balises, déclencheurs, données de mesure, liens publicitaires et paramètres de suivi | Mesure faussée, script non autorisé, redirection ou collecte excessive |
| n8n, Make, Zapier et API | Webhooks, clés, connecteurs CRM, drive, e-mail, base de données et automatisations | Exfiltration de données, actions massives non contrôlées ou propagation d’un accès compromis | Outils IA connectés | Documents, e-mails, CRM, drives et contextes transmis aux assistants | Fuite de contexte, accès excessifs ou actions déclenchées sans validation suffisante |
La première erreur consiste à considérer ces outils comme des logiciels isolés. Ils forment un système connecté. Un compte compromis dans une boîte e-mail peut permettre une réinitialisation de mot de passe. Un accès à Google Tag Manager peut modifier la collecte de données. Une clé n8n peut relier un attaquant à plusieurs outils en quelques minutes.
Les comptes à protéger en priorité
Vous n’avez pas besoin de commencer par un audit technique complexe. Commencez par une cartographie simple : quels comptes peuvent lire, exporter, publier, dépenser, supprimer ou connecter des données ? Les comptes qui disposent de plusieurs de ces capacités doivent être traités comme prioritaires.
1. Les administrateurs de domaine, messagerie et hébergement
Les comptes qui gèrent le nom de domaine, les DNS, la messagerie professionnelle, l’hébergement et les sauvegardes peuvent permettre de reprendre le contrôle d’une grande partie de votre environnement numérique. Ils doivent être nominatifs, limités à quelques personnes autorisées, protégés par MFA et documentés dans une procédure de continuité.
2. Les administrateurs CRM et e-mailing
Un administrateur CRM peut souvent exporter les contacts, modifier les rôles, supprimer des données, créer des intégrations ou accorder de nouveaux droits. Un administrateur e-mailing peut envoyer une campagne à l’ensemble de votre base. Vérifiez qui possède ces privilèges et si chaque accès est encore nécessaire.
3. Les comptes publicitaires et moyens de paiement
Google Ads, Meta Ads et les autres plateformes publicitaires doivent faire l’objet d’une attention particulière. Vérifiez les administrateurs, les partenaires, les moyens de paiement, les utilisateurs ayant droit de modifier les budgets et les personnes capables d’ajouter une agence ou un nouveau compte.
4. Les outils de mesure et de publication
Google Tag Manager, Google Analytics, Search Console, les CMS, les plateformes e-commerce et les outils de création de landing pages peuvent sembler moins sensibles qu’un CRM. Pourtant, un accès compromis peut modifier vos données de mesure, injecter un script, perturber vos pages, rediriger des visiteurs ou publier un contenu frauduleux.
5. Les automatisations et assistants IA
Les outils no-code, webhooks, clés API et assistants IA connectés méritent une revue dédiée. Ils peuvent disposer d’un accès silencieux à plusieurs sources. N’accordez pas à un workflow ou à un agent plus de droits que nécessaire. Un assistant chargé de résumer des demandes clients n’a pas nécessairement besoin de supprimer des fiches CRM, d’envoyer des e-mails ou d’accéder à un drive complet.
Les sept protections essentielles pour vos outils marketing
La cybersécurité ne consiste pas à empiler des logiciels. Elle consiste à réduire les occasions où une identité compromise peut accéder à trop de données ou provoquer trop d’actions. Les sept protections suivantes constituent une base réaliste pour une PME.
- Utilisez un gestionnaire de mots de passe. Chaque compte doit disposer d’un mot de passe fort, unique et partagé uniquement par un mécanisme contrôlé lorsque cela est indispensable.
- Activez l’authentification multifacteur. Priorisez les administrateurs, messageries, domaines, CRM, comptes publicitaires, CMS, outils d’automatisation et plateformes de paiement.
- Interdisez les comptes partagés. Chaque personne, agence ou prestataire doit disposer d’un compte nominatif afin que les actions soient attribuables et que l’accès puisse être retiré sans perturber toute l’équipe.
- Appliquez le moindre privilège. Donnez le niveau d’accès nécessaire à la mission, pas le niveau le plus élevé par confort ou habitude.
- Révisez les accès régulièrement. Vérifiez les administrateurs, partenaires, comptes dormants, tokens, clés API, règles d’e-mail et intégrations au moins chaque trimestre.
- Limitez dans le temps les accès prestataires. Un accès temporaire doit avoir un propriétaire, une date de fin et une procédure de retrait vérifiée.
- Activez les journaux et alertes utiles. Surveillez notamment les connexions inhabituelles, exports importants, création de nouveaux administrateurs, changements de moyens de paiement et règles de transfert de messagerie.
La CNIL recommande notamment d’adopter un gestionnaire de mots de passe, la double authentification, des mises à jour régulières, des sauvegardes, des protections contre les intrusions et une sensibilisation continue des équipes. Elle rappelle également que le mot de passe seul offre un niveau de protection limité, particulièrement pour les comptes sensibles.
MFA : indispensable, mais pas suffisant
L’authentification multifacteur, souvent appelée MFA, ajoute une preuve supplémentaire au mot de passe : application d’authentification, clé matérielle, notification sécurisée ou autre facteur reconnu par le service. Elle réduit fortement le risque lié à un mot de passe volé ou réutilisé.
Elle ne protège toutefois pas contre tout. Un utilisateur peut valider une demande de connexion frauduleuse, être trompé par une fausse page, laisser une session ouverte sur un appareil non protégé ou voir un token d’accès compromis. Le MFA doit donc être accompagné d’une surveillance des sessions, d’une formation sur le phishing et d’une limitation des droits.
La CNIL recommande la double authentification parmi les mesures essentielles de sécurité. Elle souligne aussi que les attaques de credential stuffing visent les espaces authentifiés avec des couples identifiant-mot de passe issus de fuites précédentes. C’est pourquoi la combinaison de mots de passe uniques, MFA, limitation de tentatives et détection de comportements inhabituels est plus solide qu’une simple politique de complexité.
Agences, freelances et prestataires : sécurisez les accès tiers
Les agences marketing, consultants SEO, développeurs, freelances, intégrateurs CRM et prestataires publicitaires peuvent avoir besoin d’accéder à vos outils. Le problème n’est pas de leur donner un accès. Le problème est de leur donner un compte partagé, un rôle d’administrateur total ou un accès qui reste ouvert après la fin de la mission.
Une gestion saine des tiers repose sur une règle simple : l’accès doit être nominatif, justifié, limité et réversible.
| Mauvaise pratique | Pratique recommandée | Pourquoi |
|---|---|---|
| Partager le mot de passe du compte principal | Créer un accès partenaire ou utilisateur nominatif | Les actions sont attribuables et l’accès peut être retiré individuellement |
| Donner un rôle administrateur à toute l’agence | Attribuer les rôles nécessaires à chaque mission | Réduit l’impact si un compte est compromis ou si une personne quitte le prestataire |
| Laisser un accès actif après la fin du contrat | Prévoir une date de revue et de suppression dans la procédure de fin de mission | Évite les comptes dormants et les accès oubliés |
| Envoyer une clé API par e-mail ou messagerie | Utiliser un gestionnaire de secrets ou les identifiants sécurisés de l’outil | Réduit le risque de fuite et facilite la rotation des secrets |
| Autoriser des exports complets par défaut | Limiter les exports, les journaliser et les valider lorsque les données sont sensibles | Réduit le risque d’exfiltration massive de données clients |
Lorsqu’une mission se termine, ne vous contentez pas de désactiver une adresse e-mail. Vérifiez les accès dans chaque plateforme concernée : CRM, e-mailing, publicités, CMS, analytics, gestionnaire de tags, hébergement, domaine, drive, automatisations, comptes sociaux, outils IA et outils de reporting.
Comment l’IA peut renforcer la sécurité marketing
L’IA peut soutenir les équipes de sécurité et de marketing lorsqu’elle aide à analyser un volume important d’événements. Elle peut notamment résumer une alerte, repérer une anomalie, classer un e-mail suspect, rapprocher des informations techniques et préparer un brouillon de plan d’action.
| Usage IA | Valeur possible | Contrôle humain nécessaire |
|---|---|---|
| Détection d’anomalies | Repérer une connexion inhabituelle, un export massif ou une création soudaine d’administrateur | Vérifier si l’événement est réellement suspect avant de couper un accès |
| Tri d’e-mails suspects | Classer et résumer des tentatives de phishing ou d’usurpation de marque | Ne pas supprimer ou bloquer automatiquement une communication critique sans validation |
| Analyse de droits | Identifier des comptes dormants, rôles excessifs ou accès redondants | Évaluer l’impact métier avant de retirer un droit |
| Assistance à incident | Construire une chronologie, résumer les logs et préparer une liste d’actions | La cellule de crise décide du confinement, de la notification et de la communication |
| Veille de sécurité | Lire des avis de vulnérabilité et préparer une liste de systèmes à vérifier | Vérifier les versions, l’exposition réelle et les correctifs applicables |
L’IA introduit aussi des risques. Un assistant connecté au CRM, au drive ou à la messagerie peut recevoir trop de permissions. Un agent peut interpréter une instruction malveillante présente dans un document ou un e-mail. Un modèle peut produire une analyse de sécurité plausible mais erronée. Ne donnez donc jamais à un agent le pouvoir de supprimer des données, envoyer un e-mail externe, modifier une campagne ou révoquer des utilisateurs sans validation humaine et journalisation.
Compte compromis : que faire dans les 60 premières minutes ?
Chaque entreprise devrait disposer d’un plan simple, même si elle ne possède pas de SOC ou d’équipe cybersécurité interne. L’objectif n’est pas de tout résoudre immédiatement. Il est de limiter l’exposition, préserver les preuves et mobiliser les bonnes personnes avant que l’incident ne s’aggrave.
- Ne paniquez pas et ne supprimez pas les preuves. Notez l’heure, le compte concerné, les alertes reçues et les actions observées.
- Suspendre ou révoquer la session compromise. Utilisez les mécanismes du service pour déconnecter les sessions actives lorsque cela est possible.
- Changez le mot de passe et vérifiez le MFA. Réinitialisez les facteurs d’authentification si vous suspectez qu’ils ont été compromis.
- Examinez les droits et nouveaux utilisateurs. Vérifiez les administrateurs ajoutés, rôles modifiés, partenaires, comptes de service et accès API.
- Contrôlez les actions récentes. Cherchez les exports, téléchargements, règles de transfert, campagnes créées, changements de budgets, modifications de tags ou publications non autorisées.
- Protégez les secrets liés. Faites tourner les clés API, tokens, mots de passe applicatifs et webhooks qui pourraient être associés au compte.
- Alertez les personnes responsables. Direction, IT, RSSI ou prestataire, responsable marketing, DPO ou juridique selon la nature des données et l’impact potentiel.
- Évitez une communication publique précipitée. Distinguez les faits confirmés, les hypothèses et les informations en cours d’investigation avant d’informer des clients ou partenaires.
La CNIL rappelle que les attaques de messagerie utilisent fréquemment le phishing ou le spear phishing. En cas de demande inhabituelle reçue par e-mail, notamment une modification de coordonnées bancaires, un export de données ou une attribution de droits, vérifiez la demande par un autre canal connu : téléphone, visioconférence, messagerie interne ou contact enregistré dans votre CRM.
Checklist trimestrielle de sécurité marketing
La sécurité des comptes ne doit pas être revue uniquement après un départ, une alerte ou une cyberattaque médiatisée. Une revue trimestrielle courte permet de réduire les accès accumulés et de détecter les outils oubliés.
- Vérifier la liste des administrateurs de chaque outil critique.
- Supprimer ou désactiver les comptes d’anciens collaborateurs et prestataires.
- Contrôler que le MFA est activé sur les comptes à privilèges.
- Revoir les rôles CRM, publicitaires, CMS, e-mailing, analytics et automatisations.
- Vérifier les partenaires, agences et comptes externes ayant encore accès.
- Recenser les clés API, tokens, mots de passe applicatifs et webhooks actifs.
- Vérifier les règles de transfert de messagerie et les applications connectées aux boîtes e-mail.
- Contrôler les moyens de paiement et alertes de dépense dans les plateformes publicitaires.
- Examiner les exports inhabituels et les changements majeurs dans les journaux d’audit disponibles.
- Tester la procédure de récupération d’un compte administrateur ou de domaine.
- Vérifier les sauvegardes critiques et leur restauration, pas seulement leur existence.
- Mettre à jour la liste de contacts d’urgence : direction, IT, marketing, agence, DPO, juridique et prestataire sécurité.
Les TPE, PME et ETI peuvent s’appuyer sur MesServicesCyber, catalogue de solutions gratuites créé à l’initiative de l’ANSSI, pour identifier des ressources d’accompagnement, de diagnostic et de sensibilisation adaptées à leur niveau de maturité.
Questions fréquentes
Le MFA suffit-il à protéger un compte CRM ou publicitaire ?
Peut-on partager un compte Google Ads, Meta Ads ou CRM avec une agence ?
Faut-il supprimer tous les accès d’une agence à la fin d’une mission ?
Comment sécuriser n8n, Make, Zapier et les automatisations ?
L’IA peut-elle détecter un compte compromis ?
Quand faut-il prévenir la CNIL ou les personnes concernées ?
La sécurité marketing ne consiste pas à empêcher les équipes de travailler. Elle consiste à s’assurer que les outils qui gèrent données clients, campagnes, budgets et canaux de communication ne reposent pas sur quelques comptes surpuissants, partagés ou oubliés.
Commencez par l’inventaire des accès à privilèges. Activez le MFA, retirez les comptes inutiles, limitez les droits prestataires, surveillez les exports et testez votre capacité à reprendre le contrôle d’un compte. Cette démarche réduit le risque d’incident et améliore aussi la continuité d’activité lorsque l’entreprise doit réagir rapidement.
Explorer les analyses sur la sécurité numériqueSources et pour aller plus loin
- Ministère de l’Économie — Accès illégitimes au système d’information de la DGFiP : communiqué officiel du 14 août 2026 sur les accès illégitimes, l’usurpation d’identifiants et les mesures engagées.
- CNIL — Sécurité des données : les règles essentielles : mots de passe, gestionnaire, double authentification, sauvegardes et sensibilisation.
- CNIL — Mots de passe : recommandations pour maîtriser sa sécurité : actualisation des recommandations relatives aux secrets et à l’authentification.
- CNIL — Attaque par credential stuffing sur un site web : prévention du bourrage d’identifiants et rôle du MFA, des limitations de tentatives et de la gestion de crise.
- CNIL — Les attaques sur les messageries : phishing, spear phishing, vérification hors canal et contrôle des règles de messagerie.
- France Num — MesServicesCyber : ressources gratuites pour aider les TPE, PME et ETI à améliorer leur cybersécurité.
