Le 6 mai 2026, plusieurs médias spécialisés ont relayé une attaque informatique visant BNP Paribas Personal Finance, qui exploite notamment Cetelem, Cofinoga et Findomestic. Selon les informations communiquées à Numerama, l’incident serait intervenu le 20 avril 2026 et porterait, à ce stade, sur des adresses email de clients, sans mot de passe, donnée bancaire ou donnée de paiement annoncée comme compromise.

L’information peut sembler limitée. Elle ne l’est pas. Une adresse email liée à un organisme de crédit suffit à fabriquer des messages crédibles : faux conseiller Cetelem, faux dossier de crédit, faux impayé, faux remboursement, demande urgente de validation, lien vers un espace client imité. Le risque juridique commence souvent après la fuite, lorsque la victime clique, transmet un code SMS, envoie une pièce d’identité ou valide une opération.

La demande Google confirme l’intérêt immédiat du sujet. Google Ads remonte attaque cyber et cyberattaques à 110 000 recherches mensuelles en France, concurrence basse, CPC haut de 3,40 euros. La requête cyber attaque atteint 3 600 recherches mensuelles, CPC haut de 4,83 euros. L’angle plus juridique existe aussi : cyberattaque entreprise atteint 110 recherches mensuelles, CPC haut de 5,07 euros, et plainte cnil 1 300 recherches mensuelles. Les requêtes Cetelem spécifiques sont encore trop récentes pour afficher du volume, mais arnaque cetelem atteint déjà 390 recherches mensuelles.

Cet article répond donc à la question pratique : si vous recevez une notification, un email suspect, un appel de faux conseiller ou une demande liée à Cetelem après une fuite de données, que faut-il faire, quelles preuves conserver et quels recours envisager ?

Sources consultées : Numerama, article du 6 mai 2026 sur l’attaque informatique Cetelem ; CNIL, fuite ou vol de données ; CNIL, notification d’une violation de données personnelles ; Cybermalveillance.gouv.fr, que faire en cas de fuite de données personnelles ; Cetelem, page officielle phishing ; règlement général sur la protection des données.

Une adresse email suffit-elle à créer un risque juridique ?

Oui. Une adresse email est une donnée personnelle lorsqu’elle permet d’identifier directement ou indirectement une personne. Si elle est liée à un organisme de crédit, le risque augmente : l’escroc peut construire un scénario financier crédible, surtout si cette adresse est croisée avec d’autres données déjà disponibles ailleurs.

La CNIL rappelle que les fuites de données exposent notamment à l’hameçonnage. Le message frauduleux paraît réaliste parce qu’il utilise des informations récupérées lors d’une fuite : nom d’un service connu, contexte bancaire, livraison, impôt, crédit, mensualité ou remboursement.

Dans le cas d’un crédit à la consommation, les scénarios sont simples :

• un faux email annonce une anomalie sur une mensualité ;
• un faux conseiller appelle pour « sécuriser » le compte ;
• un faux espace client demande les identifiants ;
• un faux achat avec carte associée au crédit pousse à appeler un numéro ;
• un faux document de régularisation demande une pièce d’identité ou un RIB.

La fuite initiale n’est alors que le point d’entrée. Le préjudice peut naître ensuite : usurpation d’identité, ouverture frauduleuse d’un crédit, paiement non autorisé, transmission d’un code, inscription dans un fichier, anxiété documentée ou frais engagés pour se protéger.

Si vous recevez un email ou un appel Cetelem suspect

La première règle est de ne pas utiliser le lien reçu. Il faut ouvrir le site ou l’application par vos propres moyens, depuis l’adresse officielle déjà connue, ou contacter le service client via les coordonnées publiques. Cetelem rappelle lui-même, dans sa page officielle de lutte contre le phishing, de ne pas agir sous l’urgence et de vérifier l’origine d’un appel ou d’un email.

La deuxième règle est de ne jamais communiquer un code reçu par SMS, un mot de passe, un numéro de carte, une copie de pièce d’identité ou un justificatif en réponse à un message entrant. Un établissement financier légitime n’a pas besoin de votre code de validation pour « bloquer » une opération. Ce code sert précisément à autoriser ou confirmer une action.

La troisième règle est de conserver les preuves avant de supprimer. Gardez l’email complet avec ses en-têtes si possible, le numéro appelant, le SMS, l’heure, la capture de l’écran, l’adresse du site frauduleux, le message vocal et toute suite donnée. Si vous avez cliqué, notez exactement ce qui a été saisi.

La quatrième règle est de prévenir vite les organismes concernés. Si un identifiant ou un code a été transmis, changez le mot de passe, activez la double authentification lorsqu’elle existe, prévenez l’organisme de crédit et votre banque, puis surveillez les opérations.

La cinquième règle est de signaler. Selon le cas, le signalement peut passer par Signal Spam, 33700 pour les SMS, la plateforme PHAROS si un contenu frauduleux est en ligne, Cybermalveillance.gouv.fr pour être orienté, ou une plainte si une opération frauduleuse est intervenue.

Fuite de données : que doit faire l’organisme concerné ?

Le RGPD impose au responsable de traitement de documenter les violations de données personnelles. Lorsque la violation présente un risque pour les droits et libertés des personnes, elle doit être notifiée à l’autorité de contrôle, en France la CNIL, si possible dans les 72 heures après en avoir pris connaissance.

Si le risque est élevé pour les personnes concernées, celles-ci doivent aussi être informées afin de pouvoir limiter les conséquences. C’est l’article 34 du RGPD. En pratique, l’information doit permettre de comprendre la nature de la violation, les données concernées, les risques concrets et les mesures utiles.

Un organisme ne peut pas se contenter d’une formule vague si la situation impose des mesures précises. Le message d’information doit aider la personne : changer un mot de passe, surveiller les emails, ignorer les liens, contacter le service client par un canal officiel, vérifier les opérations, déposer plainte si nécessaire.

En revanche, toute fuite n’ouvre pas automatiquement droit à indemnisation. Il faut distinguer trois niveaux.

Le premier niveau est l’incident. Une donnée a été exposée ou consultée.

Le deuxième niveau est le manquement. Il faut pouvoir discuter la sécurité, la conservation, la réaction, la notification, l’information des personnes ou la gestion des sous-traitants.

Le troisième niveau est le préjudice. Il peut être financier, matériel, moral ou lié au temps passé, mais il doit être décrit et prouvé.

Plainte CNIL, plainte pénale, réclamation : ne confondez pas les démarches

La plainte à la CNIL sert à signaler un problème de protection des données personnelles. Elle peut porter sur l’absence d’information, une réponse insuffisante, l’impossibilité d’exercer ses droits, une sécurité contestée ou une conservation excessive. La CNIL peut contrôler, accompagner, mettre en demeure ou sanctionner, mais elle n’indemnise pas directement la victime comme le ferait un juge civil.

La plainte pénale vise les faits d’escroquerie, d’accès frauduleux, d’usurpation d’identité ou de tentative de fraude. Elle devient particulièrement utile si vous avez transmis des codes, subi un débit, découvert une ouverture de crédit, reçu des menaces ou identifié un faux site.

La réclamation auprès de l’organisme concerné sert à demander des explications et à obtenir des mesures concrètes : confirmation des données concernées, historique des connexions, blocage du compte, changement d’identifiant, suppression ou rectification de données, attestation de l’incident, copie des informations vous concernant.

Ces démarches peuvent se cumuler. Elles n’ont pas le même objet. Dans un dossier sérieux, il faut organiser les preuves et les demandes avant d’envoyer des messages dispersés.

Si un faux crédit ou une opération frauduleuse apparaît

La priorité change dès qu’une opération financière est constatée. Il faut agir comme dans un incident bancaire : contester l’opération, demander le blocage, déposer plainte lorsque c’est utile, conserver les échanges et exiger une réponse écrite.

Si un crédit a été ouvert à votre nom, il faut demander sans délai :

• le contrat ou la demande ayant servi à l’ouverture ;
• les pièces d’identité utilisées ;
• l’adresse email et le numéro de téléphone associés ;
• les dates de connexion et de validation ;
• le mode de signature ;
• les coordonnées bancaires utilisées ;
• les preuves de consentement invoquées.

L’objectif est double : stopper le préjudice et identifier la faille. Un organisme peut soutenir qu’il n’est pas responsable de la fraude commise par un tiers. La réponse dépendra des vérifications mises en place, de la cohérence des pièces, des alertes détectables, de la chronologie et de la manière dont la victime a réagi.

Il ne faut pas rester dans un échange téléphonique. Une contestation écrite permet de figer les dates, les demandes et les réponses. Elle permet aussi de montrer, plus tard, que vous avez réagi rapidement.

Les entreprises et dirigeants doivent aussi traiter le sujet

Même si l’actualité Cetelem concerne d’abord des clients, les dirigeants doivent y voir un signal. Une fuite d’emails peut toucher des clients particuliers, des salariés, des prospects ou des contacts professionnels. Elle peut devenir une porte d’entrée vers une fraude au président, un faux RIB fournisseur, une demande de paiement ou une compromission de messagerie.

Une entreprise qui reçoit une notification de fuite liée à un prestataire financier doit vérifier ses risques internes. L’adresse exposée est-elle utilisée pour la comptabilité ? Pour les virements ? Pour les relations bancaires ? Pour les contrats ? Pour les accès administrateur ? Les mêmes identifiants sont-ils réutilisés ? Des collaborateurs peuvent-ils recevoir un faux email suffisamment crédible pour déclencher un paiement ?

La bonne réaction tient en cinq gestes :

• identifier les adresses concernées ;
• changer les mots de passe lorsque l’adresse sert aussi d’identifiant ;
• prévenir les personnes exposées aux paiements ou validations ;
• renforcer la procédure de vérification des RIB et demandes urgentes ;
• conserver une trace interne de l’incident et des mesures prises.

Cette trace compte. Si un paiement frauduleux intervient ensuite, l’entreprise devra prouver ce qu’elle savait, ce qu’elle a fait et à quelle date.

Sous-traitant, prestataire, banque : qui peut être responsable ?

La responsabilité dépend de la chaîne de traitement. Le responsable de traitement détermine les finalités et moyens du traitement. Le sous-traitant traite des données pour le compte du responsable. En cas d’incident, le contrat, les mesures de sécurité, les instructions, les sous-traitants ultérieurs et les délais d’alerte deviennent décisifs.

L’article 32 du RGPD impose des mesures techniques et organisationnelles appropriées au risque. L’article 33 organise la notification à l’autorité. L’article 34 concerne l’information des personnes en cas de risque élevé. L’article 82 ouvre un principe de réparation du dommage matériel ou moral subi du fait d’une violation du règlement, sous réserve de démontrer le dommage et le lien avec le manquement.

Dans une relation commerciale, la question peut aussi devenir contractuelle. Si un prestataire traite les emails clients d’une entreprise et qu’une fuite déclenche une vague de phishing, il faut relire le contrat : sécurité promise, audit, notification, assistance, responsabilité, plafond d’indemnisation, assurance cyber, réversibilité et conservation des journaux.

Un article général sur les cyberattaques ne suffit pas. Il faut rattacher l’incident à la relation exacte : client, banque, organisme de crédit, fournisseur, sous-traitant, logiciel, prestataire de paiement ou partenaire commercial.

Paris et Île-de-France : un enjeu de preuve rapide

À Paris et en Île-de-France, beaucoup de dirigeants, indépendants, cabinets et PME utilisent des outils de crédit, de paiement, de leasing, de facturation ou de banque en ligne avec plusieurs interlocuteurs. En cas de fuite ou d’arnaque, le problème devient rapidement transversal : informatique, banque, contrat, données personnelles, plainte, assurance et preuve.

Le cabinet intervient en droit des affaires à Paris lorsque l’incident touche une entreprise, un dirigeant, un contrat, une facture, un paiement ou une relation bancaire. L’objectif n’est pas seulement de dénoncer la cyberattaque. Il faut reconstituer la chaîne, hiérarchiser les recours et éviter les erreurs de procédure.

Dans les premières 48 heures, les pièces utiles sont toujours les mêmes : notification reçue, emails suspects, captures, numéros appelants, relevés, contrats, échanges avec l’organisme, plainte ou pré-plainte, signalements, historique de connexion disponible et preuve des mesures prises.

Checklist immédiate après une fuite Cetelem ou un phishing financier

Commencez par isoler le message. Ne cliquez plus. Ne répondez pas. Ne rappelez pas le numéro indiqué dans le message.

Connectez-vous uniquement par l’application ou l’adresse officielle. Vérifiez les opérations, les coordonnées, les messages internes et les éventuelles demandes en cours.

Changez le mot de passe si l’adresse exposée sert d’identifiant. Si le même mot de passe est utilisé ailleurs, changez-le aussi.

Prévenez votre banque si un code, une carte, un RIB ou un identifiant bancaire a été transmis.

Demandez à l’organisme concerné une confirmation écrite des données touchées et des mesures prises.

Conservez toutes les preuves. La preuve d’un phishing disparaît vite : faux site fermé, numéro désactivé, email supprimé, conversation perdue.

Déposez plainte si une opération, une usurpation d’identité ou une tentative structurée est intervenue. Saisissez la CNIL si vous contestez la protection, l’information ou la réponse de l’organisme sur vos données.

Pour une entreprise, ajoutez une alerte interne : aucun changement de RIB, paiement urgent ou validation de crédit ne doit être accepté sur la seule base d’un email.

Besoin d’un avis rapide sur votre dossier.

Le cabinet peut analyser en 48 heures une fuite de données, une arnaque Cetelem ou bancaire, une plainte CNIL, une contestation de crédit ou un incident cyber touchant une entreprise.

Nous vous indiquons les preuves à conserver, les démarches à prioriser et les demandes à adresser à l’organisme concerné.

Appelez le cabinet au 06 46 60 58 22 ou adressez votre demande via le formulaire de contact.

Nous intervenons à Paris et en Île-de-France pour les dirigeants, indépendants, PME et particuliers confrontés à une fuite de données, une fraude financière ou une cyberattaque.