Pendant une cyberattaque, l’attention se porte naturellement sur la technique : isoler, analyser, restaurer. Mais l’entreprise ne perd pas seulement des fichiers. Elle perd, heure après heure, la confiance de gens qui ne comprennent pas ce qui se passe.
Un client dont la commande n’arrive pas, un fournisseur qui n’obtient plus de réponse, un employé qui ne sait pas quoi dire au téléphone : chacun se fabrique une explication. Et l’explication qu’on invente est presque toujours plus grave que la réalité.
Pourquoi le silence est-il la pire option ?
L’argument du silence paraît raisonnable sur le moment. On ne sait pas encore ce qui s’est passé, on craint d’aggraver les choses, on préfère attendre d’y voir clair. Le problème, c’est que pendant qu’on attend, les autres voient déjà.
Votre site est hors ligne. Vos e-mails restent sans réponse. Les livraisons prennent du retard, les factures ne partent pas, le téléphone sonne dans le vide. Vos clients ne découvrent pas l’incident quand vous le leur annoncez : ils l’ont constaté avant, ils cherchent simplement à comprendre.
Le silence ne protège donc rien. Il transfère juste le récit à quelqu’un d’autre : un client qui en parle à un autre client, un concurrent, un salarié qui se confie, parfois un message de l’attaquant lui-même. Vous perdez la seule chose qui vous reste vraiment en main, la version des faits.
Les clients savent que les entreprises se font attaquer. Ce qu'ils pardonnent mal, c'est de l'avoir appris par quelqu'un d'autre, ou d'avoir reçu une information rassurante démentie trois jours plus tard. La crédibilité ne se joue pas sur la gravité de l'incident, mais sur la fiabilité de ce que vous dites.
Le vrai dilemme : trop tôt ou trop tard
Le dilemme est réel, et il ne faut pas le minimiser. Communiquer tôt, c’est risquer d’affirmer des choses fausses, parce qu’au début d’un incident on ne sait à peu près rien. Communiquer tard, c’est laisser le vide s’installer et perdre la main.
La sortie de ce dilemme tient en une distinction simple. Séparez ce que vous savez de ce que vous supposez, et ne communiquez que sur le premier.
Vous savez que votre système est indisponible. Vous savez ce qui, concrètement, ne fonctionne plus pour votre interlocuteur. Vous savez que vous avez mobilisé un prestataire et lancé une analyse. Ces éléments sont établis, ils ne seront pas démentis demain, vous pouvez les dire immédiatement.
En revanche, vous ne savez pas encore par où l’attaquant est entré, ni quelles données ont été consultées ou copiées, ni quand tout sera rétabli. Ces trois questions sont précisément celles qu’on vous posera, et ce sont celles sur lesquelles il ne faut pas s’avancer. « Nous ne le savons pas encore, nous vous le dirons dès que ce sera établi » est une réponse professionnelle, pas un aveu de faiblesse.
Une règle pratique découle de tout cela : mieux vaut un message court et sûr toutes les quelques heures qu’un message complet et hasardeux au bout de trois jours. Le rythme rassure autant que le contenu.
Qui prévenir en premier ? Vos employés
C’est l’erreur la plus fréquente, et la plus facile à éviter. On prépare un beau message pour les clients, et on oublie que ceux qui vont le porter, ce sont les personnes qui répondent au téléphone et à l’accueil.
Un employé qui n’a pas d’information ne se tait pas. Il improvise, ou il se tait maladroitement, ce qui est pire encore : un « je ne peux rien vous dire » gêné laisse entendre qu’on cache quelque chose de grave.
Informez donc l’équipe en premier, et donnez-lui trois choses : ce qui se passe en quelques phrases, ce qu’elle a le droit de dire à un client qui appelle, et le nom de la personne à qui transférer les questions auxquelles elle ne peut pas répondre. Précisez aussi ce qu’elle ne doit pas faire, notamment publier quoi que ce soit sur les réseaux sociaux ou dans les groupes de discussion du métier.
C’est aussi le moment de leur donner les consignes techniques immédiates, celles que détaille notre article sur les 24 premières heures d’une cyberattaque.
Que faut-il dire à un client, et dans quel ordre ?
Un bon message de crise est court et répond à quatre questions, toujours dans cet ordre, plus une cinquième qui est souvent la plus utile.
| Ce que le client veut savoir | Ce que vous écrivez |
|---|---|
| Que s’est-il passé ? | Une phrase factuelle, sans jargon et sans détail technique |
| Qu’est-ce que ça change pour moi ? | Ce qui est indisponible, ce qui est retardé, ce qui fonctionne encore |
| Que faites-vous ? | Les mesures engagées, en termes simples |
| Quand aurai-je des nouvelles ? | Une date ou une heure de prochain point, tenable |
| Dois-je me méfier de quelque chose ? | L’alerte aux messages frauduleux envoyés en votre nom |
Cette dernière ligne mérite qu’on s’y arrête. Quand une messagerie professionnelle est compromise, les attaquants s’en servent pour écrire à vos clients depuis vos propres fils de discussion : fausse facture, changement de coordonnées bancaires, demande urgente. Le message paraît légitime parce qu’il l’est presque. Prévenir vos clients et leur rappeler de vérifier tout changement de coordonnées par téléphone, à un numéro connu d’eux, évite des pertes financières concrètes. Ce mécanisme est décrit dans notre article sur la compromission de messagerie professionnelle.
Quelles erreurs coûtent le plus cher ?
Trois réflexes reviennent constamment, et tous trois se retournent contre l’entreprise.
Minimiser. « Un petit incident technique », « rien de sérieux » : si l’ampleur réelle apparaît ensuite, chaque mot rassurant devient une preuve de mauvaise foi, alors qu’il n’y avait le plus souvent qu’une envie de ne pas inquiéter.
Promettre une date qu’on ne tiendra pas. Annoncer un retour à la normale pour le lendemain quand personne ne peut le garantir vous condamne à décevoir une deuxième fois. Donnez plutôt une heure de prochaine information, que vous maîtrisez, plutôt qu’une heure de rétablissement, que vous ne maîtrisez pas.
Communiquer par un canal compromis. C’est l’erreur la plus discrète et la plus dangereuse.
Coordonner la réponse par les e-mails de l'entreprise alors qu'un intrus y a accès revient à lui communiquer votre stratégie, vos délais et vos points faibles, en temps réel. Il sait alors quand relancer sa pression et à qui écrire en se faisant passer pour vous. Tant que le système n'est pas déclaré sain, la gestion de crise se fait hors du système.
Cela suppose d’avoir préparé les canaux de secours à l’avance : la liste des numéros de téléphone personnels de l’équipe de crise, sur papier ou hors du réseau de l’entreprise, un groupe de messagerie sur un service indépendant, et les coordonnées directes de votre prestataire informatique, de votre assurance et de votre juriste. Cette liste ne sert à rien tant qu’il ne se passe rien, et elle est irremplaçable le jour où vous n’avez plus accès à votre annuaire. La liste complète des interlocuteurs figure dans qui contacter en cas de cyberattaque.
Communication et obligation légale, deux choses différentes
Informer ses clients pour préserver la relation et informer les personnes concernées parce que la loi le demande ne se confondent pas. Le premier exercice est commercial, le second est juridique, et satisfaire l’un ne satisfait pas automatiquement l’autre.
En règle générale, la loi sur la protection des données prévoit deux niveaux. L’annonce au Préposé fédéral à la protection des données et à la transparence n’est due qu’en cas de risque élevé pour la personnalité ou les droits fondamentaux des personnes concernées, et elle doit intervenir dans les meilleurs délais. Contrairement à une idée répandue, la loi suisse ne fixe aucun délai chiffré : les 72 heures relèvent du règlement européen, pas du droit suisse. L’information des personnes concernées, elle, est due lorsqu’elle est nécessaire à leur protection, ou lorsque le Préposé l’exige.
Un message commercial rassurant ne remplit donc pas nécessairement l’obligation légale, qui suppose des éléments précis sur les données touchées et sur les mesures à prendre. À l’inverse, une annonce juridique ne dit rien à un client de ce qu’il attend au quotidien. Le détail de la procédure est traité dans l’annonce d’une violation de la sécurité des données et dans vos obligations légales après une cyberattaque.
Un modèle de message à préparer maintenant
Le meilleur moment pour écrire ce message est aujourd’hui, à froid. Le jour de l’incident, il ne reste qu’à remplir les blancs.
Madame, Monsieur,
Notre entreprise est actuellement touchée par un incident informatique. Nos équipes travaillent avec un prestataire spécialisé à son traitement.
Concrètement pour vous : [ce qui est indisponible ou retardé]. [Ce qui fonctionne normalement] reste accessible.
Point de vigilance : par précaution, méfiez-vous de tout message reçu à notre nom, en particulier concernant une facture ou un changement de coordonnées bancaires. Nous ne modifions jamais nos coordonnées par e-mail. En cas de doute, appelez-nous au [numéro].
Prochaine information : [jour et heure].
Nous restons joignables au [numéro] et vous remercions de votre compréhension.
Ce modèle se décline en trois versions courtes : une pour les clients, une pour les fournisseurs et partenaires, une pour les employés. Rangez-les avec vos numéros de secours, hors du réseau de l’entreprise, et relisez-les une fois par an.
Ce que vous pouvez préparer seul, et ce qui demande un regard extérieur
Tout ce qui précède se fait très bien en interne, sans budget particulier : lister les canaux de secours, désigner un porte-parole, rédiger les modèles, prévenir l’équipe qu’elle sera informée en premier. Une PME qui a fait cela est déjà très au-dessus de la moyenne, et elle gagnera plusieurs heures précieuses.
Le jour de l’incident, en revanche, l’exercice change de nature. Il faut décider ce qu’on dit et ce qu’on tait alors que les faits sont incertains, que l’analyse technique n’est pas terminée, que la responsabilité juridique de l’entreprise et parfois celle de son dirigeant sont en jeu, et qu’une phrase mal calibrée peut compliquer autant la relation client que le dossier d’assurance. Cet arbitrage en direct ne s’improvise pas : c’est le moment où un regard extérieur, habitué à ces situations et capable de faire dialoguer l’analyse technique et les obligations légales, change réellement l’issue.
Autrement dit, préparer sa communication de crise est un socle indispensable, mais cela ne remplace pas l’accompagnement au moment où il faut trancher. Pour situer votre niveau de préparation global, le check-up cyber balaie les points essentiels en quelques minutes, et les autres réflexes de crise sont regroupés dans le pilier Réagir.