Le 26 septembre 2026, le site spécialisé FrenchBreaches a publié une revendication de piratage visant Celinni, maison française de joaillerie spécialisée notamment dans le diamant : un groupe de cybercriminels affirme avoir compromis les systèmes de celinni.com et détenir des données de clients et de fournisseurs. Selon la publication, mise à jour le 26 septembre à 19 heures, environ 12 000 clients seraient potentiellement exposés, avec des noms, des adresses postales, des numéros de téléphone, des historiques de commandes, des factures et des documents d’identité, ainsi que des informations commerciales relatives aux fournisseurs. La page a été consultée le 27 septembre 2026 et aucun article du cabinet ne traite ce cas.
La réponse tient en cinq gestes que cet article détaille. D’abord, vérifier sans paniquer : une revendication publiée par des attaquants n’est pas une preuve d’intrusion, et seul un rapprochement avec ses propres commandes, factures et échanges permet à chaque entreprise de savoir si elle est réellement concernée. Ensuite, geler les paiements suspects : toute demande de règlement vers de nouvelles coordonnées bancaires reçue dans les jours qui suivent doit être vérifiée par un canal indépendant avant exécution. Puis notifier et tracer : le droit européen impose au responsable du traitement de notifier la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, tandis que le sous-traitant doit prévenir le responsable dans les meilleurs délais. Ensuite, conserver chaque preuve : bons de commande, factures, relevés bancaires, journaux de connexion et échanges avec le joaillier ou le fournisseur. Enfin, se retourner vers l’amont : mettre le cocontractant défaillant en demeure, chiffrer le préjudice poste par poste et préparer le recours contractuel, en attaquant le bon débiteur et avec le bon fondement.
Deux réserves s’imposent avant d’aller plus loin. La première tient à la nature du signal : il s’agit d’une revendication relayée par un site spécialisé, pas d’un constat d’huissier ni d’une décision de justice. Les volumes, le périmètre exact et l’origine des données restent affirmés par leur diffuseur ; chaque entreprise doit vérifier sa propre exposition au lieu de présumer qu’elle figure dans la fuite ou, à l’inverse, qu’elle y échappe. La seconde réserve est juridique : les montants, les délais et les qualifications exposés ici découlent des textes et des décisions cités, chacun daté et sourcé ; ils ne prédisent l’issue d’aucun litige particulier, qui dépendra toujours du contrat signé, des pièces conservées et du rôle exact de chaque acteur, responsable du traitement ou sous-traitant, client ou fournisseur.
I. La carte des conséquences : du joaillier jusqu’aux entreprises de la chaîne
A. L’étage du maillon central : ce que la revendication dit et ce qu’elle ne prouve pas
Le premier étage du domino est Celinni elle-même. La publication décrit un scénario classique des fuites de 2026 : l’attaquant ne s’en prend pas séparément à chaque client ou à chaque fournisseur, il frappe le point de concentration où dorment ensemble les commandes des uns et les informations commerciales des autres. Pour une maison qui vend des diamants et des bijoux, ce point de concentration contient des données à forte valeur : identité complète des acheteurs, adresses de livraison, montants, factures et copies de pièces d’identité exigées pour les paiements importants. Quand un tel gisement est revendiqué comme compromis, l’effet de chaîne est mécanique : des entreprises qui n’ont jamais été attaquées directement peuvent voir leurs coordonnées, leurs conditions d’achat et leurs documents exposés parce qu’ils figuraient dans le système du partenaire.
Mais une revendication n’est pas une intrusion établie. Les groupes criminels ont intérêt à exagérer les volumes pour faire pression en vue d’une rançon, et les démentis ou confirmations des entreprises visées mettent souvent plusieurs jours à venir. Pour l’entreprise cliente ou fournisseur, la bonne attitude probatoire se situe entre deux excès : ni la panique qui fait tout réinitialiser sans tracer, ni l’attentisme qui laisse passer les délais de notification et de contestation. Concrètement, le dirigeant fait d’abord l’inventaire interne : a-t-on commandé chez Celinni, pour quels montants, avec quelles coordonnées bancaires échangées, quels interlocuteurs, et quels documents d’identité transmis ? Cet inventaire, daté et conservé, est la pièce maîtresse de tout ce qui suit : il permet de répondre à une notification, de contester un paiement frauduleux et de chiffrer un préjudice. Une leçon utile vient du contentieux des données personnelles : le 13 février 2025, le tribunal judiciaire de Paris a débouté un demandeur qui reprochait à une société financière de lui avoir refusé l’accès à ses données personnelles et réclamait 5 000 euros de dommages et intérêts (tribunal judiciaire de Paris, 5e chambre 2e section, 13 février 2025, n. 21/07085). Le jugement, contradictoire et en premier ressort, rappelle une règle d’expérience : celui qui invoque un manquement doit prouver ses propres diligences, demandes écrites, dates et pièces à l’appui. L’entreprise qui écrit tôt, accuse réception de chaque alerte et conserve chaque échange se place en position de force ; celle qui téléphone sans tracer s’expose à voir sa parole contestée.
Le deuxième réflexe concerne les flux d’argent. Après chaque fuite exposant des factures et des coordonnées, la fraude au faux fournisseur prospère : un message bien renseigné, citant une vraie commande et un vrai montant, demande de régler sur un nouveau relevé d’identité bancaire. La parade est procédurale et doit être écrite : gel de tout changement de coordonnées bancaires pendant la période d’exposition, vérification par un canal indépendant déjà connu, double validation interne au-delà d’un seuil, et journal des refus. Ces mesures, horodatées, serviront deux fois : elles préviennent le préjudice et elles démontrent, en cas de litige avec la banque ou avec le partenaire, que l’entreprise a agi en opérateur diligent.
B. Les deux étages professionnels : fournisseurs exposés et entreprises clientes
Le signal vise nommément deux catégories de professionnels, et c’est ce qui fait l’intérêt du cas pour la chaîne. D’un côté, les fournisseurs : diamantaires, ateliers, façonniers, dont des informations commerciales figureraient dans les données revendiquées. Pour eux, l’exposition n’est pas seulement celle de leurs coordonnées : ce sont leurs conditions tarifaires, leurs volumes, leurs délais et parfois leurs propres sous-traitants qui peuvent circuler. Le fournisseur doit donc vérifier s’il est concerné, alerter ses propres partenaires si des données les concernant transitent par lui, et sécuriser ses encours : factures en attente, acomptes versés, marchandises confiées. De l’autre côté, les entreprises clientes : sociétés qui achètent des bijoux pour des cadeaux d’affaires, des récompenses ou des stocks, et dont les bons de commande, les adresses de livraison et les documents de paiement seraient exposés. Pour elles, le risque est double : usurpation de leur identité auprès de tiers et exploitation de leurs habitudes d’achat pour des escroqueries ciblées.
Chaque étage détient une partie différente de la preuve, et c’est la carte maîtresse de l’article. Le joaillier détient les journaux de connexion, les périmètres compromis et la chronologie de l’incident : c’est à lui d’informer, et aux partenaires d’exiger cette information par écrit. Le fournisseur détient ses tarifs, ses échanges commerciaux et la preuve de ce qu’il a transmis : c’est sur ses pièces que reposera l’évaluation de son préjudice concurrentiel si ses conditions circulent. L’entreprise cliente détient ses bons de commande, ses factures et ses relevés : c’est avec ces pièces qu’elle contestera un débit frauduleux ou justifiera une résolution. Aucun des trois ne peut reconstituer seul la chaîne complète, d’où l’importance d’échanges écrits croisés dès les premiers jours : demande d’information au joaillier, notification aux assureurs, information des sous-traitants exposés par ricochet.
Un arrêt récent illustre ce qui arrive quand un maillon disparaît ou se tait et que le créancier doit se débrouiller avec la chaîne telle qu’elle est. Le 29 février 2024, la cour d’appel de Paris a statué sur le cas d’un client qui se disait créancier d’une société depuis placée en liquidation judiciaire par le tribunal de commerce de Bobigny le 29 novembre 2022 : l’intéressé avait déclaré sa créance auprès du liquidateur le 10 janvier 2023 avant d’assigner en intervention forcée, et soutenait notamment l’existence d’une chaîne de contrats et d’un droit direct (cour d’appel de Paris, pôle 4 chambre 10, 29 février 2024, n. 20/14792). La cour a confirmé le jugement déféré et condamné l’appelant aux dépens. La leçon pour les entreprises de la chaîne Celinni est nette : quand le débiteur est en difficulté ou conteste, les constructions juridiques ingénieuses ne remplacent ni une créance déclarée en temps et forme, ni des pièces probantes. Le fournisseur ou le client qui attend pour chiffrer et déclarer perd l’avantage que donne la diligence.
II. Les décisions à prendre : notifier, conserver, puis attaquer au bon endroit
A. Notifier dans les délais et conserver les preuves de la chaîne
Le premier front est réglementaire et il est enfermé dans des délais courts. Le règlement européen sur la protection des données impose au responsable du traitement : le règlement européen impose au responsable du traitement de notifier la violation à l’autorité de contrôle (la CNIL en France) dans les meilleurs délais et, si possible, dans les 72 heures après en avoir pris connaissance, sauf si le risque pour les droits et libertés est improbable, tout retard devant être motivé. Et la chaîne de sous-traitance est couverte par l’obligation miroir : Symétriquement, le sous-traitant doit prévenir le responsable du traitement dans les meilleurs délais après en avoir pris connaissance. En France, cette notification se fait auprès de la CNIL, qui met à disposition le téléservice dédié (notifier une violation de données personnelles, CNIL).
Pour les entreprises de la chaîne, la question pratique est de savoir qui est quoi. Celinni, qui collecte les commandes et les pièces, est en principe responsable du traitement de sa base clients ; son hébergeur ou son prestataire de site, s’il y a lieu, est sous-traitant. Le fournisseur dont les informations commerciales sont exposées n’est pas responsable de la fuite du joaillier, mais il peut lui-même devenir responsable s’il détient des données de ses propres clients affectées par ricochet. Chacun doit donc qualifier son rôle avant d’agir : le responsable notifie à la CNIL sous 72 heures, le sous-traitant alerte le responsable sans délai, et tous documentent le registre des violations. Lorsque le risque pour les personnes est élevé, s’ajoute l’obligation d’information directe : Lorsque le risque pour les personnes est élevé, le responsable doit en outre informer directement les personnes concernées dans les meilleurs délais. Avec des pièces d’identité et des factures exposées, ce seuil mérite un examen sérieux, dossier par dossier, avec le délégué à la protection des données ou le conseil.
Le choix des sous-traitants se juge aussi en amont, et la fuite du partenaire est le moment de relire ses propres contrats : Le règlement n’autorise le responsable à recourir qu’à des sous-traitants présentant des garanties suffisantes sur leurs mesures techniques et organisationnelles. L’entreprise cliente qui confie ses données à un prestataire, comme le fournisseur qui partage ses tarifs avec un donneur d’ordres, a intérêt à vérifier les clauses de sécurité, de notification et d’audit de ses contrats : elles feront la différence entre un recours solide et une discussion sans pièces.
Parallèlement, chaque entreprise constitue son dossier de preuves : inventaire des données transmises au maillon compromis, copies des commandes et factures, relevés des connexions et des paiements, échanges écrits avec le partenaire, attestations des préjudices subis comme les frais de surveillance bancaire, le temps de reconstitution ou les commandes annulées. Ce dossier servira à la CNIL, à l’assureur, à la banque et, le cas échéant, au juge. L’entreprise déclare aussi le sinistre à son assureur cyber ou responsabilité civile professionnelle dans le délai stipulé au contrat, en joignant l’inventaire des données exposées et les premières mesures prises : les garanties couvrent souvent les frais de notification, d’expertise et de reconstitution, mais l’assureur peut opposer une exclusion si la déclaration est tardive ou si les mesures de sécurité contractuellement exigées faisaient défaut. En parallèle, le dépôt de plainte pour accès frauduleux et extraction de données s’effectue auprès du commissariat, de la gendarmerie ou sur la plateforme THESEE, avec remise des journaux techniques et des échantillons reçus : la plainte ne répare pas le préjudice à elle seule, mais elle fige la chronologie officielle, ouvre l’accès aux investigations et fonde la constitution de partie civile si les auteurs sont identifiés.
B. Attaquer le bon débiteur avec le bon fondement
Le second front est contractuel et se joue vers l’amont. Le fondement est la responsabilité de droit commun : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure » (article 1231-1 du code civil). Un piratage subi par le partenaire n’est pas automatiquement une force majeure qui l’exonère : il lui faudra démontrer un événement échappant à son contrôle, imprévisible et irrésistible, car : « Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur » (article 1218 du code civil). Pour un professionnel qui centralise des données sensibles de milliers de clients et de fournisseurs, cette démonstration est exigeante : mesures de sécurité conformes à l’état de l’art, audits, sauvegardes et engagements contractuels seront passés au crible.
L’entreprise créancière dispose de tout l’arsenal des sanctions de l’inexécution : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution. Les sanctions qui ne sont pas incompatibles peuvent être cumulées ; des dommages et intérêts peuvent toujours s’y ajouter » (article 1217 du code civil). Concrètement : suspendre les paiements si la prestation est insécurisée, exiger la remise en état et la communication du périmètre compromis, demander une réduction de prix pour la période dégradée, et chiffrer chaque poste. Quant à la résolution, elle obéit à un régime précis : « La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice » (article 1224 du code civil). Avant toute notification unilatérale, le créancier vérifie la gravité du manquement, met en demeure et pèse le risque : une résolution lancée à tort se retourne contre son auteur.
C’est ici qu’intervient la leçon la plus précieuse pour la chaîne, tirée d’un arrêt du 28 mai 2026. La cour d’appel d’Aix-en-Provence statuait sur un dossier où une société avait financé un équipement informatique par location financière auprès d’un bailleur, tandis que le fournisseur assurait la fourniture et la maintenance : serveur inaccessible, réplication défaillante constatée par huissier. La cour a prononcé la résolution du contrat informatique aux torts du fournisseur, retenant : « Il résulte des dispositions des articles 1224, 1226 et 1227 du code civil que la résolution d’un contrat peut être prononcée, en cas de manquement de grave à l’exécution d’une obligation, par voie de notification par le créancier au débiteur de l’obligation inexécutée, sauf à préciser que la notification intervient aux risques et périls du créancier » (cour d’appel d’Aix-en-Provence, chambre 3-3, 28 mai 2026, n. 20/02068). Mais dans le même arrêt, elle a condamné le client à payer au bailleur financier 18 194,74 euros au titre du contrat de location, avec intérêts majorés, tout en condamnant le fournisseur à relever et garantir le client de cette condamnation. Autrement dit : gagner contre le fournisseur ne fait pas disparaître la dette envers le financeur, et chaque contrat de la chaîne se juge séparément. Pour les entreprises de la chaîne Celinni, la morale est directe : le client qui cesse de payer son propre fournisseur au motif que le joaillier a été piraté s’expose à être condamné envers ce fournisseur, sauf à démontrer une inexécution propre à ce dernier ; le recours doit remonter étage par étage, avec mise en demeure de chacun et chiffrage distinct par contrat.
Deux outils complètent la panoplie. Si le partenaire en difficulté n’agit pas contre son propre débiteur, le créancier peut agir à sa place : « Lorsque la carence du débiteur dans l’exercice de ses droits et actions à caractère patrimonial compromet les droits de son créancier, celui-ci peut les exercer pour le compte de son débiteur, à l’exception de ceux qui sont exclusivement rattachés à sa personne » (article 1341-1 du code civil). Et si le maillon central venait à faire l’objet d’une procédure collective, la règle des contrats en cours protège la continuité : « Nonobstant toute disposition légale ou toute clause contractuelle, aucune indivisibilité, résiliation ou résolution d’un contrat en cours ne peut résulter du seul fait de l’ouverture d’une procédure de sauvegarde » (article L622-13 du code de commerce), tandis que les créances antérieures doivent être déclarées au passif, comme l’a fait le créancier de l’affaire jugée à Paris en 2024. Pour un suivi global des contentieux contractuels entre professionnels et de la chaîne de responsabilités, l’entreprise vérifie avec son conseil l’étage à attaquer, le fondement et le calendrier de chaque action.
Reste la question des partenaires situés hors de France : les fournisseurs diamantaires opèrent souvent depuis d’autres États membres ou des pays tiers, et les clauses de droit applicable et de juridiction compétente de chaque contrat déterminent alors le tribunal et la loi applicables au recours. L’entreprise vérifie ces clauses avant d’assigner, car une action engagée devant une juridiction incompétente fait perdre des mois. En pratique, la séquence recommandée tient en quatre temps écrits. Premièrement, la mise en demeure du cocontractant direct : description des faits, référence aux clauses de sécurité et de confidentialité, demande de communication du périmètre compromis et des mesures prises, délai de réponse. Deuxièmement, la suspension proportionnée : retenue des paiements strictement liée à la partie inexécutée, notifiée par écrit, sans résiliation sauvage. Troisièmement, le chiffrage : frais de notification, temps passé, commandes perdues ou retardées, surcoûts de sécurisation, atteinte concurrentielle si des tarifs ont circulé. Chaque écrit compte, même bref, dès lors qu il est daté, conservé et adressé à la bonne personne, et chaque délai manqué complique durablement la position de l entreprise. Quatrièmement, l’assignation ou la négociation au vu des pièces, en visant chaque débiteur pour sa propre inexécution et en sollicitant, quand les conditions sont réunies, la garantie du fournisseur contre les condamnations subies envers les autres étages.
La revendication visant Celinni, publiée le 26 septembre 2026, n’est donc ni une simple anecdote de cybersécurité ni une condamnation du joaillier : c’est le révélateur d’une chaîne où chaque entreprise dépend des systèmes de ses partenaires. Les fournisseurs y apprennent que leurs informations commerciales peuvent circuler sans qu’ils aient été attaqués ; les entreprises clientes y apprennent que leurs commandes et leurs pièces peuvent nourrir des fraudes ciblées ; tous y vérifient la même leçon, prouver tôt, notifier dans les délais et attaquer étage par étage. La carte des conséquences ne sert qu’à une chose : transformer un signal anxiogène en décisions écrites, datées et chiffrées, opposables à chaque maillon.