Le 26 septembre 2026, le site de veille FrenchBreaches a documenté une revendication de piratage qui vise une société française de services informatiques et de cybersécurité, Aestria : sur un forum cybercriminel, un auteur affirme avoir compromis l’infrastructure de l’entreprise et y diffuse dix dumps de bases de données présentés sous les noms dolibarr, erpinfonum, extranet, infonum, mysql, phpmyadmin, support, sys, visionpro et wordpress. Selon l’analyse des fichiers publiée par le site de veille, ces bases ne contiennent pas seulement des paramètres techniques : on y trouve des noms, prénoms et adresses électroniques, des identifiants de connexion et mots de passe hachés, des listes de clients, contacts et fournisseurs, des adresses et numéros de téléphone, des commandes, factures et données comptables, des tickets de support, des données d’inventaire informatique et réseau ainsi que des comptes et privilèges MySQL. L’information reste, à ce stade, une revendication jugée crédible par le site qui la relaie : elle n’est pas une décision de justice et ne prouve pas, à elle seule, que chaque fichier diffusé est authentique ni exhaustif. Mais pour les entreprises qui confient à un prestataire informatique leurs accès, leur support et parfois leur gestion, elle décrit un scénario dont les conséquences se propagent immédiatement à toute la chaîne : l’entreprise cliente dont les identifiants et les tickets d’assistance circulent, le fournisseur dont les factures et les coordonnées figurent dans l’ERP du prestataire, le partenaire dont les contacts sont exposés.
La réponse utile tient en quatre réflexes, à adapter à la place exacte que chacun occupe dans cette chaîne : figer les preuves de ce que l’on a confié au prestataire et de ce que l’on constate, couper et renouveler les accès compromis sans détruire les traces, respecter les délais de notification qui s’imposent à chacun selon son rôle, puis décider du sort du contrat et des recours en distinguant ce qui a été utile de ce qui a manqué. Cet article établit cette carte des conséquences et des décisions à partir de textes vérifiés dans leur version applicable et de décisions de justice lues intégralement, dont plusieurs rendues en 2026 dans des litiges entre un prestataire informatique et son client. Il ne remplace pas l’examen d’un dossier particulier : les contrats, les conditions générales et la chronologie des faits peuvent faire varier les solutions.
I. Une compromission au centre, trois cercles d’entreprises exposées
Quand le prestataire informatique est lui-même atteint, ses clients ne subissent pas seulement une panne : ce sont leurs propres données, confiées pour être administrées, qui changent de mains. La revendication détaillée le 26 septembre 2026 distingue plusieurs gisements de données, et chacun expose un acteur différent de la chaîne professionnelle.
A. Les entreprises clientes : accès, support et secrets à reprendre en main
Le premier cercle est celui des entreprises clientes dont le prestataire administre le système d’information : comptes utilisateurs, mots de passe hachés, tickets de support décrivant les incidents et les configurations, inventaire du réseau, paramètres et secrets de configuration. Pour ces entreprises, le risque est double. D’une part, des tiers disposent potentiellement des clés d’accès à leurs outils et de la documentation de leurs faiblesses, rédigée par leurs propres demandes d’assistance. D’autre part, leurs propres clients et salariés peuvent être affectés si les données administrées pour leur compte circulent à leur tour.
La première décision est conservatoire : inventorier tout ce que le prestataire détenait ou administrait — comptes, accès distants, sauvegardes, noms de domaine, certificats — puis révoquer et renouveler les identifiants et les clés, en commençant par les accès les plus sensibles. Cette opération doit être tracée : qui a fait quoi, à quelle heure, sur quel périmètre. La seconde décision concerne les preuves : conserver les contrats et leurs annexes, les bons de commande, les comptes rendus d’intervention, les échanges sur les mesures de sécurité demandées ou promises, et les constats datés des dysfonctionnements observés. Ces pièces serviront autant à établir les manquements du prestataire qu’à démontrer sa propre diligence, car le client a lui aussi des obligations, comme l’a rappelé la cour d’appel de Reims le 28 avril 2026 dans un litige né d’une attaque par rançongiciel : le client qui n’a pas défini ses besoins par un cahier des charges et n’a transmis que des informations insuffisantes à son prestataire voit sa part de responsabilité retenue. Dans cette affaire, la cour a relevé que « L’absence de cahier des charges et la transmission d’informations insuffisantes à son cocontractant ont également concouru à la réalisation du dommage subi par la société MISA », avant de limiter la charge du prestataire : « Dit que la société 3 services informatiques est responsable à hauteur de 50 % des dommages subis par la société MISA ». Le dirigeant qui documente aujourd’hui ses demandes de sécurité et ses relances se donne donc les moyens, demain, de ne pas se voir opposer sa propre passivité.
La troisième décision, pour l’entreprise cliente qui traite elle-même des données personnelles de ses propres clients ou salariés, est celle des notifications : si la compromission du prestataire constitue pour elle une violation de données à caractère personnel, c’est à elle, responsable du traitement, qu’il appartient d’évaluer le risque et de notifier dans les délais, sans attendre que toute la lumière soit faite sur l’incident. Le règlement européen est explicite sur l’enchaînement des alertes : « Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. » Et pour le responsable du traitement : « En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. » L’entreprise cliente doit donc exiger sans délai du prestataire une notification circonstanciée — nature des données concernées, volumes approximatifs, mesures prises — et, si le risque pour les personnes est élevé, prévoir l’information des personnes concernées : « Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais. » Ces trois textes figurent aux articles 33, paragraphe 2, 33, paragraphe 1, et 34, paragraphe 1, du règlement (UE) 2016/679 du 27 avril 2016, dit RGPD, dans sa version applicable. Le choix du prestataire n’est d’ailleurs pas neutre en amont : « Lorsqu’un traitement doit être effectué pour le compte d’un responsable du traitement, celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée. » C’est l’article 28, paragraphe 1, du même règlement, et il justifie de vérifier, dès la signature puis périodiquement, les garanties réelles du prestataire plutôt que ses seules affirmations commerciales.
B. Les fournisseurs et partenaires : quand l’ERP du prestataire expose la chaîne
Le deuxième cercle est moins visible mais tout aussi concerné : les fournisseurs, contacts et partenaires dont les noms, adresses, numéros de téléphone, commandes, factures et données comptables figurent dans les outils de gestion du prestataire compromis. La revendication du 26 septembre 2026 mentionne explicitement une base dolibarr — du nom d’un progiciel de gestion intégré bien connu des petites et moyennes entreprises — ainsi que des commandes, factures et données comptables. Pour un fournisseur, cela signifie que ses coordonnées bancaires éventuelles, ses tarifs, ses encours et l’historique de ses échanges commerciaux avec le prestataire, voire avec d’autres clients de celui-ci, peuvent circuler. Le risque est alors celui de l’escroquerie au faux RIB ou au faux ordre de virement : un tiers qui connaît les références exactes d’une relation commerciale en cours peut se faire passer pour le prestataire ou pour le fournisseur et détourner un paiement.
La décision à prendre, côté fournisseur, est d’abord une vigilance renforcée sur les circuits de paiement : vérifier par un canal indépendant et préalablement connu toute demande de changement de coordonnées bancaires, rappeler par écrit à ses propres clients la procédure de vérification convenue, et conserver la preuve de ces diligences. Ensuite, le fournisseur doit demander au prestataire — ou à l’entreprise cliente par l’intermédiaire de laquelle il est exposé — quelles données le concernant sont affectées et quelles mesures sont prises, afin d’évaluer s’il doit lui-même procéder à des notifications. Enfin, il doit figer ses propres preuves : contrats-cadres, bons de commande, factures émises et reçues, relevés de compte, échanges sur les paiements. Car entre commerçants, la preuve est libre : « A l’égard des commerçants, les actes de commerce peuvent se prouver par tous moyens à moins qu’il n’en soit autrement disposé par la loi. » C’est l’article L110-3 du code de commerce, dans sa version en vigueur, et la cour d’appel de Chambéry en a fait application le 1er avril 2025 dans un litige sur des factures contestées : « L’émission des factures et la production du grand livre satisfait donc à l’exigence de preuve pesant sur Net’Alp. » En revanche, les messages informels non attribués ne prouvent rien : dans la même affaire, la cour a écarté un échange de messages dont rien ne permettait d’établir l’auteur ni le lien avec le litige. Pour le fournisseur comme pour le client, la leçon est la même : seules les pièces rattachées à une personne et à un fait identifiés portent leurs effets devant le juge.
Le troisième cercle, enfin, est celui des partenaires dont les contacts figurent dans les bases du prestataire sans relation contractuelle directe avec lui : apporteurs d’affaires, sous-traitants de second rang, prospects. Ils doivent être informés par celui qui a collecté leurs données, et ils peuvent interroger ce dernier sur l’usage qui en est fait. La chaîne des responsabilités suit ici la chaîne des contrats : chacun répond envers son propre cocontractant et doit l’alerter, de sorte que l’information remonte et redescende jusqu’aux personnes exposées.
II. Prouver puis décider : l’ordre utile des démarches
Une fois les mesures d’urgence prises et les notifications engagées, restent deux questions liées : avec quelles preuves agir, et quelle décision prendre sur le contrat et les recours. L’ordre compte : on ne résilie pas utilement sans avoir constaté, et on ne réclame pas sans avoir chiffré.
A. Qui détient quelle preuve, et ce qu’elle vaut
La règle de départ est posée par l’article 1353 du code civil, en vigueur : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » Appliquée à la relation avec le prestataire informatique, elle se décline simplement : à l’entreprise cliente qui invoque un manquement de prouver l’obligation promise et les faits qui établissent sa mauvaise exécution ; au prestataire qui soutient avoir tout fait pour prouver ses diligences. Et sur ce terrain, la jurisprudence récente rappelle que le prestataire informatique ne part pas gagnant d’avance.
D’abord, le prestataire est tenu d’une obligation exigeante. La cour d’appel de Reims, le 28 avril 2026, l’a formulée sans détour : « Le prestataire de services informatique chargé de la création et de l’élaboration de logiciels, sites web ou applications mobiles, prestations intellectuelles complexes par nature soumises à des aléas résultant de l’obligation de collaboration du client et de l’évolution rapide du secteur informatique, est tenu d’une obligation de moyens renforcée quant à la délivrance de l’ouvrage commandé. » Mieux encore pour le client qui s’estime mal informé : « Si le client soutient qu’il n’a pas été correctement informé des limites du logiciel ou des risques du projet, il lui suffit d’alléguer qu’une information était due ; c’est alors au prestataire de prouver qu’il a effectivement délivré les explications et mises en garde nécessaires. » Concrètement, l’entreprise cliente qui a alerté son prestataire sur ses besoins de sécurité, ou qui lui a demandé des mesures précises restées sans réponse, part avec un atout sérieux : c’est au prestataire de démontrer ce qu’il a conseillé et mis en œuvre.
Ensuite, le devoir de conseil du prestataire s’apprécie à l’aune du risque prévisible de cyberattaque. La cour d’appel de Bordeaux, le 5 mai 2026, saisie d’un litige où le piratage de l’environnement cloud d’un client avait provoqué une surconsommation de services payants, a jugé que le grief tiré du défaut de conseil du prestataire relevait de la responsabilité contractuelle : le manquement allégué était « susceptible de trouver son fondement non pas sur les dispositions de l’article 1112-1 du code civil (exclusivement visées dans ses conclusions), mais sur les dispositions de l’article 1231-1 du code civil ». Et la cour a précisé l’enjeu indemnitaire : « le manquement au devoir de conseil est susceptible de donner lieu à indemnisation au titre de la perte de chance d’éviter le dommage survenu à l’occasion du piratage du compte administrateur de la société Cabinet Christophe Guérin ». Elle a rouvert les débats pour que les parties concluent sur ce fondement. Pour les entreprises exposées par la compromission de leur prestataire, l’enseignement est direct : le défaut d’alerte sur les paramétrages de sécurité, l’absence de recommandation sur l’authentification ou la gestion des accès, et plus généralement le silence sur un risque connu du professionnel se discutent sur le terrain de l’inexécution contractuelle, avec pour mesure la chance perdue d’éviter le dommage.
Enfin, la charge de la preuve du devoir d’information obéit à un partage précis, rappelé par la même cour : « Il incombe à celui qui prétend qu’une information lui était due de prouver que l’autre partie la lui devait, à charge pour cette autre partie de prouver qu’elle l’a fournie. » L’entreprise cliente doit donc établir que l’information relevait bien du périmètre confié au prestataire — audit, infogérance, administration de la sécurité — ce qui suppose un contrat qui décrit ce périmètre. Un contrat flou profite rarement au client : sans périmètre écrit, il devient difficile de démontrer que telle mesure de sécurité incombait au prestataire plutôt qu’à l’entreprise elle-même.
Côté pièces, la hiérarchie qui se dégage des décisions citées est claire. Au sommet, les écrits contractuels et comptables : contrats, devis acceptés, conditions générales effectivement jointes et signées, factures et grands livres. La cour de Reims a ainsi écarté une clause limitative de responsabilité que le prestataire invoquait mais qui ne figurait pas au devis accepté et ne portait aucune signature du client : non jointe et non acceptée, elle lui était inopposable. Viennent ensuite les écrits d’exécution : comptes rendus d’intervention signés, constats d’huissier ou constats techniques datés, rapports d’expertise, attestations d’expert-comptable pour la perte d’exploitation. La cour de Reims a indemnisé la perte d’exploitation sur la foi d’une attestation d’expert-comptable chiffrant 15 724,95 euros pour dix jours d’arrêt, ramenée dans la part mise à la charge du prestataire. En bas de l’échelle, les messages informels non attribués et les captures décontextualisées, que le juge écarte lorsqu’elles ne sont rattachées ni à une personne ni à un fait, comme l’a fait la cour de Chambéry. Pour les entreprises concernées par la diffusion des bases d’un prestataire, cela signifie : privilégier les constats formels et les écrits signés, faire attester les chiffres par le comptable, et éviter de noyer le dossier sous des captures d’écran inexploitables.
B. Rester, suspendre, résilier, recourir : choisir la sanction adaptée
Le contrat tient lieu de loi aux parties qui l’ont signé — « Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. » — et le code civil offre à la partie qui fait face à une inexécution une palette de sanctions, énoncées par l’article 1217, en vigueur : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution. » Face à un prestataire compromis, ces options se combinent dans le temps plutôt qu’elles ne s’excluent : suspendre ce qui peut l’être pour stopper l’hémorragie, exiger la remise en état de ce qui peut être sauvé, puis trancher le sort du contrat et chiffrer la réparation.
La suspension se justifie quand la poursuite des prestations aggraverait le risque : « Une partie peut refuser d’exécuter son obligation, alors même que celle-ci est exigible, si l’autre n’exécute pas la sienne et si cette inexécution est suffisamment grave. » C’est l’article 1219 du code civil, en vigueur, et il impose une inexécution suffisamment grave en face : maintenir des accès ouverts vers un système dont le prestataire a perdu la maîtrise, ou continuer à lui confier des données, n’a pas de sens pendant la crise. Mais la suspension doit être notifiée et proportionnée, et elle ne dispense pas de payer ce qui est légitimement dû pour la période antérieure. La résiliation, elle, suppose une inexécution suffisamment grave. L’article 1224 du code civil, en vigueur, dispose : « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice. » La cour d’appel de Paris en a donné un exemple topique le 26 janvier 2024 dans un litige d’infogérance : le prestataire n’avait pas réalisé l’audit préalable du parc informatique alors que les prestations hors forfait avaient représenté, moins de neuf mois après l’entrée en vigueur, plus de 31 000 euros en sus du forfait annuel. La cour en a déduit « la preuve que l’audit du parc informatique devait précéder la définition des prestations prévisibles », puis a tranché : « A défaut d’avoir réalisé cet audit dont la société Cube était débitrice, la gravité du manquement au devoir de conseil qui en est résulté justifie la dénonciation de la résiliation du contrat par la société Auditec de sorte que le jugement sera en conséquence infirmé de ce chef. » La cour a « PRONONCE la résiliation du contrat avec effet au 30 janvier 2020 » (cour d’appel de Paris, 26 janvier 2024), date de réception de la dénonciation.
Mais résilier n’efface pas ce qui a été utilement exécuté. Dans la même affaire, la cour a maintenu à la charge du client les factures correspondant à des prestations et fournitures dont il n’était pas contesté qu’elles avaient été utiles à son parc, soit 25 259,13 euros outre les frais de recouvrement, en application de la distinction entre résolution et résiliation, l’article 1229 du code civil disposant que « La résolution met fin au contrat. » : « Lorsque les prestations échangées ont trouvé leur utilité au fur et à mesure de l’exécution réciproque du contrat, il n’y a pas lieu à restitution pour la période antérieure à la dernière prestation n’ayant pas reçu sa contrepartie; dans ce cas, la résolution est qualifiée de résiliation. » Pour l’entreprise cliente d’un prestataire compromis, la leçon est pratique : on peut mettre fin au contrat pour l’avenir en cas de manquement grave avéré, mais on reste redevable des prestations utiles déjà reçues, et la notification de résiliation doit être motivée avec précision pour produire ses effets à la date voulue.
Quant à la réparation, elle suppose de rapporter le dommage au manquement sans exagération. L’article 1231-1 du code civil, en vigueur, dispose : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Le piratage subi par le prestataire n’est pas, en soi, une force majeure qui l’exonérerait : encore faut-il examiner si ses diligences étaient à la hauteur de son obligation, et si le client a lui-même contribué au dommage. La cour de Reims a ainsi partagé les responsabilités par moitié entre un prestataire dont le déploiement était, selon l’expert, « en totale inadéquation avec les prescriptions sécuritaires du moment », et un client qui n’avait pas défini ses besoins par un cahier des charges. Elle a condamné le prestataire à 12 097,59 euros, détaillés en perte d’exploitation, remise en état, paramétrage, réinstallation et coût de la rançon, tout en rejetant les postes non justifiés comme l’audit ou le préjudice moral. Pour les entreprises victimes par ricochet, le chiffrage doit donc suivre la même discipline : perte d’exploitation attestée, coûts de remise en état facturés, mesures de sécurisation documentées — et rien d’autre.
Reste la question du recours en chaîne. Le fournisseur qui a payé deux fois, ou dont un virement a été détourné grâce aux informations puisées dans les bases du prestataire, agit d’abord contre son propre cocontractant selon leur contrat, puis ce dernier se retourne contre le prestataire si le manquement de celui-ci est établi. À chaque étage, la preuve suit les mêmes règles : écrits signés, factures et grands livres, constats datés, chiffrages attestés. Et lorsque les données personnelles de tiers sont en jeu, chaque responsable de traitement assume ses propres notifications, sans pouvoir s’abriter derrière le silence ou le retard de son sous-traitant. Pour être accompagné dans cet enchaînement de décisions, de la mise en demeure à la gestion du contentieux des contrats entre professionnels en droit des affaires, l’appui d’un conseil habitué aux litiges entre entreprises permet de calibrer chaque étape sans compromettre les suivantes.
En définitive, la compromission d’un prestataire informatique ne crée pas un contentieux unique mais une série de litiges en miroir : chaque entreprise de la chaîne doit établir sa propre preuve, respecter ses propres délais et prendre ses propres décisions contractuelles, en tenant compte de ce que les autres maillons font ou omettent de faire. Les décisions rendues en 2024, 2025 et 2026 citées ici convergent sur trois points : le prestataire informatique est tenu d’une obligation exigeante en matière de conseil et de sécurité, le client qui néglige de définir ses besoins en paie une partie du prix, et seules les pièces rattachées à des faits précis emportent la conviction du juge. Appliquer ces trois enseignements dès les premières heures de la crise, c’est se donner les moyens d’en limiter la propagation plutôt que de la subir.