Votre site a été piraté : comment communiquer après une cyberattaque ?

Mais une autre question arrive très vite : que faut-il dire à ses clients ? Faut-il les prévenir immédiatement ? Attendre d'en savoir plus ? Publier un message sur son site ? Et surtout : dans quels cas la loi impose-t-elle de communiquer ?

Car après une cyberattaque, la communication ne sert pas uniquement à protéger l'image de l'entreprise. Elle peut aussi permettre à vos clients de prendre rapidement des mesures pour se protéger. Voici les bons réflexes à adopter :

 

Comprendre ce qui s'est réellement passé

Lorsqu'un piratage est découvert, les premières informations sont souvent incomplètes. Votre site peut être inaccessible sans que les données de vos clients aient été consultées. À l'inverse, un site peut continuer à fonctionner parfaitement alors qu'un pirate a réussi à accéder discrètement à sa base de données. Avant toute prise de parole, il faut donc rapidement réunir les personnes capables d'établir les premiers faits : votre prestataire web ou informatique, le dirigeant et, selon votre organisation, votre responsable communication, votre DPO ou votre conseil juridique.

L'objectif n'est pas d'attendre que toute l'enquête soit terminée, mais de répondre à quelques questions essentielles :

• Que s'est-il passé ?
• Quelle partie du site est concernée ?
• L'attaque est-elle toujours active ?
• Des données personnelles ont-elles pu être consultées, modifiées ou volées ?
• Quels utilisateurs peuvent être concernés ?
• Une action immédiate de leur part est-elle nécessaire ?

Cybermalveillance.gouv.fr recommande notamment aux entreprises victimes d'une cyberattaque de constituer une équipe de gestion de crise, tenir une chronologie des événements et préserver les preuves de l'attaque. Cette première analyse est importante pour la résolution technique, mais aussi pour éviter une erreur fréquente en communication de crise : transformer trop vite une hypothèse en certitude.

Dire dès les premières heures qu'« aucune donnée n'a été compromise » peut sembler rassurant. Mais si l'enquête démontre ensuite le contraire, le problème de cybersécurité devient également un problème de confiance.

Mieux vaut reconnaître ce que l'on ne sait pas encore que rassurer avec une information que l'on ne peut pas confirmer.

 

Vérifier si le piratage doit être déclaré à la CNIL

C'est probablement l'une des questions les plus importantes à se poser après le piratage d'un site. Et une distinction est essentielle : Un site piraté ne signifie pas automatiquement qu'il faut effectuer une déclaration à la CNIL.

La CNIL intervient lorsqu'il existe une violation de données personnelles. Autrement dit, lorsqu'une attaque entraîne notamment la perte, la modification, la destruction, l'indisponibilité ou l'accès non autorisé à des données concernant des personnes.

Prenons deux exemples.

👉🏻 Un pirate modifie la page d'accueil d'un site vitrine pendant quelques minutes, sans accéder à aucune donnée personnelle. Il y a bien eu piratage du site, mais pas nécessairement violation de données personnelles.

👉🏻 À l'inverse, si le pirate accède à la base clients d'un site e-commerce et récupère des noms, adresses e-mail, mots de passe ou coordonnées, nous sommes bien face à une violation de données.

 

Quand faut-il prévenir la CNIL ?

La règle dépend du niveau de risque créé pour les personnes concernées. Si la violation est peu susceptible d'entraîner un risque pour leurs droits et libertés, elle doit être documentée en interne, mais il n'est pas nécessaire de la notifier à la CNIL.

Si elle présente un risque pour les personnes, l'entreprise doit en revanche prévenir la CNIL dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance. Ce délai ne signifie pas qu'il faut avoir terminé toute l'analyse technique en trois jours.

La CNIL précise justement qu'il ne faut pas attendre d'avoir toutes les informations si la violation est déjà établie : une première notification peut être effectuée puis complétée lorsque l'enquête apporte de nouveaux éléments.

 

Quand faut-il également prévenir les clients ?

Une étape supplémentaire est prévue lorsque la violation est susceptible d'entraîner un risque élevé pour les personnes concernées. Dans ce cas, celles-ci doivent également être informées dans les meilleurs délais, sauf exceptions prévues par le RGPD. Le niveau de risque dépend notamment de la nature des données exposées, de leur sensibilité, du nombre de personnes concernées et des conséquences possibles.

La fuite d'un mot de passe, de données bancaires ou d'informations permettant une usurpation d'identité ne présente évidemment pas le même risque que l'exposition d'une information déjà publique.

La CNIL résume donc la logique ainsi :

• pas de risque : documentation interne ;
• risque : documentation + notification à la CNIL ;
• risque élevé : documentation + CNIL + information des personnes concernées.

En cas de doute, mieux vaut rapidement solliciter son DPO, son conseil ou la CNIL plutôt que de laisser passer le délai.

 

Informer d'abord les personnes qui ont besoin d'agir

Une cyberattaque ne nécessite pas nécessairement de publier immédiatement un long communiqué sur LinkedIn ou sur la page d'accueil de l'entreprise. La priorité est d'identifier qui a réellement besoin de l'information.

Si des comptes clients ont été compromis, ce sont d'abord leurs propriétaires qu'il faut prévenir. Si une fausse page de paiement a pu être présentée sur votre site, les personnes ayant commandé pendant la période concernée doivent être identifiées aussi rapidement que possible. Si votre site est simplement temporairement indisponible et qu'aucune donnée n'est compromise, une information courte sur la perturbation du service peut suffire.

L'ANSSI recommande justement d'adapter la communication aux différentes parties prenantes et de coordonner étroitement communication et gestion opérationnelle de l'incident. Le bon canal dépend ensuite de la situation : e-mail, téléphone, réseaux sociaux, message depuis un autre site de l'entreprise… Un point de vigilance cependant : si votre site ou votre messagerie fait partie des systèmes compromis, évitez de les utiliser aveuglément pour communiquer. Votre prestataire doit d'abord pouvoir confirmer que le canal utilisé est fiable.

 

Dire clairement ce qui s'est passé… et surtout ce que le client doit faire

Quand un client reçoit un message annonçant un piratage, il se pose rarement des questions sur la faille technique exploitée. Il veut surtout savoir :

Est-ce que je suis concerné ? Quelles données sont touchées ? Qu'est-ce que je risque ? Et que dois-je faire ?

Votre communication doit donc répondre directement à ces questions. Lorsqu'une information individuelle est obligatoire au titre du RGPD, la CNIL demande qu'elle expose, dans des termes clairs et précis :

• la nature de la violation ;
• ses conséquences probables ;
• les mesures prises pour y remédier ou en limiter les conséquences ;
• les coordonnées d'une personne pouvant être contactée pour obtenir davantage d'informations.

Elle recommande également d'ajouter, lorsque cela est pertinent, les actions permettant aux personnes de se protéger.

Par exemple :

• changer son mot de passe ;
• modifier ce même mot de passe sur d'autres services s'il a été réutilisé ;
• surveiller les opérations réalisées sur son compte ;
• se méfier de futurs e-mails ou appels utilisant les informations compromises ;
• contacter sa banque lorsque des données de paiement peuvent être concernées.

L'enjeu n'est pas de trouver une formule qui minimise l'incident. Il est de donner suffisamment d'informations pour permettre au client de comprendre et d'agir.

 

Communiquer au bon moment, même si tout n'est pas encore résolu

Une communication de crise cyber se fait rarement en un seul message. Dans les premières heures, vous ne connaîtrez probablement pas encore l'origine exacte de l'attaque, son périmètre définitif ou la date de retour à la normale. Ce n'est pas forcément une raison pour rester silencieux.

Lorsque des clients doivent immédiatement prendre une précaution, attendre la fin de l'analyse technique peut au contraire augmenter les conséquences de l'attaque. Un premier message peut parfaitement indiquer : « Voici ce que nous savons aujourd'hui. Voici ce que nous avons déjà fait. Voici ce que nous vérifions encore. »

Puis être complété au fur et à mesure. Cette approche évite également de tomber dans une autre erreur classique : annoncer dès les premières heures que « le problème sera réglé cet après-midi » alors que personne ne peut encore le garantir. Dans son guide de communication de crise cyber mis à jour en juin 2026, l'ANSSI recommande notamment de communiquer à partir d'informations vérifiées et de mettre régulièrement à jour les différentes parties prenantes pendant la crise.

Votre communication doit donc évoluer en même temps que votre niveau de connaissance.

 

Une fois le site sécurisé, ne pas oublier de fermer la crise

La remise en ligne du site n'est pas forcément la fin de l'incident. Une fois l'origine identifiée et le risque maîtrisé, il peut être utile d'effectuer une dernière communication auprès des personnes qui ont été informées pendant la crise. Pas besoin d'entrer dans tous les détails techniques.

Expliquez simplement :

• ce qui s'est finalement passé ;
• si le périmètre a évolué depuis les premières communications ;
• les mesures mises en place ;
• si les utilisateurs doivent encore effectuer une action ;
• et, lorsque c'est possible, que le service est désormais revenu à une situation normale.

Cette dernière prise de parole est importante. Une personne informée d'une cyberattaque peut rester plusieurs jours dans l'incertitude si elle ne reçoit plus aucune nouvelle. Lui confirmer que les investigations sont terminées et que les mesures nécessaires ont été prises permet réellement de clôturer la crise.

Préparer sa communication avant d'en avoir besoin reste donc l'une des meilleures façons de bien communiquer le jour où l'incident arrive.

 

Lorsqu'un site est piraté, le réflexe peut être de communiquer le moins possible par peur d'inquiéter ses clients ou de nuire à son image. À l'inverse, vouloir communiquer immédiatement sur chaque détail peut également créer de la confusion.

La bonne approche se situe entre les deux : identifier les faits, respecter ses obligations, prévenir rapidement les personnes lorsqu'elles doivent agir et communiquer uniquement ce que l'on est capable d'affirmer. La bonne approche se situe entre les deux : établir les faits, respecter ses obligations, prévenir rapidement les personnes qui doivent agir et communiquer uniquement ce que l’on est capable d’affirmer.

Et comme souvent en communication, le meilleur moment pour préparer une crise, c’est avant qu’elle n’arrive. Clarifier ses messages, ses interlocuteurs et son organisation en amont permet ensuite d’être plus rapide, plus cohérent et plus serein lorsqu’il faut réellement prendre la parole.

C’est finalement la même logique que celle que nous défendons avec ComInTime !