Le mot « cyberattaque » figure parmi les recherches en forte progression sur Google France ce 29 septembre 2026, avec une croissance de 1 000 % et un volume supérieur à 500 recherches, pour une tendance démarrée dans la nuit et toujours active au moment de la rédaction. Les internautes tapent en particulier « cyberattaque en cours », « cyberattaque France aujourd’hui », « cyberattaque crédit agricole aujourd’hui » et « cyberattaque la banque postale aujourd’hui ». Derrière cette vague, la presse spécialisée décrit deux logiciels malveillants visant les téléphones Android : d’après Capital du 28 septembre 2026 (article de Solina Prak sur le nouveau virus visant les smartphones et les données bancaires), un cheval de Troie surnommé RemControl, identifié par les chercheurs de Group-IB et actif depuis le mois de mai en France et dans plusieurs autres pays, s’attaquerait aux données bancaires de ses victimes ; d’après le le Journal du Geek du 26 septembre 2026 (article sur le programme RatHat), un autre programme, RatHat, repéré par les équipes de Zimperium, utiliserait une intelligence artificielle embarquée pour prendre les commandes d’un smartphone Android. Pour une entreprise, la question n’est pas seulement celle du téléphone personnel de chaque salarié : quand les mobiles utilisés pour travailler, fournis par la société ou personnels dans le cadre du BYOD, se trouvent compromis, ce sont les données des clients, les accès aux comptes professionnels et parfois la trésorerie qui se trouvent exposés. Le présent article explique, côté entreprise et côté dirigeant, comment vérifier l’exposition, dans quel délai notifier et informer, et qui supporte la charge financière et probatoire en cas de virements frauduleux ou de mise en cause par les clients. À la date de rédaction, aucune intrusion ni aucun dommage n’a été constaté par une source officielle s’agissant des faits rapportés par la presse, aucune responsabilité n’est établie, et les qualifications juridiques envisagées ci-dessous restent formulées au conditionnel : les contrats signés, notamment avec la banque, le prestataire informatique et l’assureur, priment sur toute analyse générale, et seul le juge décide en cas de litige.
I. Cyberattaque en France aujourd’hui : comment savoir si les mobiles de l’entreprise ont exposé des données
A. Cyberattaque en cours : quels signaux vérifier sur les smartphones liés à l’entreprise
Selon Capital, RemControl viserait les appareils fonctionnant sous Android, les iPhone n’étant pas concernés d’après cette source, et se diffuserait par des applications proposées en dehors du Google Play Store ainsi que par des publicités renvoyant vers des pages de téléchargement. Le journal décrit des fausses pages imitant une application de télévision par internet absente du Play Store, diffusées notamment par des publicités frauduleuses sur de grands réseaux sociaux et ciblant les internautes qui consultent ces plateformes depuis leur smartphone. Selon le Journal du Geek, RatHat emprunterait un chemin comparable : un SMS frauduleux ou une publicité malveillante conduirait vers une fausse page de téléchargement pouvant imiter le Play Store et proposer une prétendue version d’un navigateur ou d’une application de streaming, le fichier téléchargé étant en réalité le programme malveillant. Une entreprise dont les collaborateurs installent des applications professionnelles ou personnelles sur le même terminal, ou reçoivent des SMS relatifs à des colis, des banques ou des services publics sur leur ligne professionnelle, se trouve donc exposée par ce vecteur, sans qu’aucune faille de son propre système d’information ne soit nécessaire au départ.
Toujours selon ces sources, une fois installé, le programme chercherait à neutraliser les protections du téléphone. Capital rapporte que RemControl utiliserait un faux réseau privé virtuel pour couper la connexion du dispositif de sécurité de Google, puis s’attaquerait aux fonctions d’accessibilité d’Android, prévues pour faciliter l’usage du téléphone par les personnes malvoyantes, afin d’obtenir un contrôle étendu sur l’appareil. Le Journal du Geek décrit pour RatHat un mécanisme voisin : l’application réclamerait l’accès aux services d’accessibilité, parcourrait les réglages, ouvrirait les options réservées aux développeurs et activerait un mode de débogage sans fil, avant d’installer des composants discrets créant un tunnel vers des serveurs distants, avec 162 applications infectées communiquant avec une douzaine de serveurs selon Zimperium. Concrètement, une demande d’accès aux fonctions d’accessibilité par une application qui n’a aucune raison d’en avoir besoin, l’apparition d’une application inconnue, l’activation inexpliquée d’options de développement, une surconsommation de batterie ou de données, ou encore des opérations bancaires que personne n’a initiées, constituent des signaux d’alerte sérieux. Le premier réflexe consiste à isoler le terminal du réseau de l’entreprise, à révoquer ses accès aux applicatifs et à la messagerie, à faire changer depuis un poste sain les mots de passe des comptes accessibles depuis ce mobile, et à contacter la banque à ses coordonnées officielles en cas d’opération suspecte sur un compte professionnel.
La préservation de la preuve conditionne toute la suite. Les journaux de connexion de l’opérateur de flotte mobile, les traces de l’outil de gestion des terminaux, les captures d’écran des messages et des pages frauduleuses, les relevés bancaires et la chronologie des installations doivent être sauvegardés avant toute réinitialisation du téléphone, et un constat par commissaire de justice peut figer utilement l’état des traces. Un dépôt de plainte, au commissariat, à la gendarmerie ou par la plainte en ligne, fait courir le dossier pénal et fournit un récépissé souvent exigé par les assureurs. Sur le plan pénal, les faits décrits par la presse pourraient, s’ils étaient établis, relever de l’accès frauduleux à un système de traitement automatisé de données : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » (article 323-1 du code pénal). La captation d’identifiants et de données de carte par de fausses interfaces pourrait quant à elle être regardée comme une collecte déloyale, sachant que « Le fait de collecter des données à caractère personnel par un moyen frauduleux, déloyal ou illicite est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende. » (article 226-18 du code pénal). Ces qualifications appartiennent au parquet et au juge pénal, sur la base de l’enquête, et ne sauraient être affirmées par l’entreprise sur la seule foi d’articles de presse.
B. Données bancaires et données clients : qualifier une violation de données au sens du droit des données personnelles
Selon Capital, RemControl afficherait une fausse interface par-dessus une véritable application bancaire pour récupérer identifiants, codes et données de carte, surveillerait l’écran, enregistrerait les frappes sur le clavier virtuel et récupérerait les schémas de déverrouillage sur plusieurs grandes marques de smartphones, tandis que plus de trente établissements financiers auraient été ciblés par ses différentes campagnes, dont deux variantes développées spécifiquement pour les utilisateurs français. Si un mobile utilisé pour le travail subit un tel traitement, deux familles de données se trouvent potentiellement concernées : d’une part les données d’accès aux comptes de l’entreprise et les données de paiement, d’autre part les données des clients stockées ou consultées depuis ce terminal, qu’il s’agisse de coordonnées, d’historiques de commandes, de pièces d’identité ou d’informations bancaires de clients. Dès lors que des données à caractère personnel sont concernées, l’entreprise qui détermine les finalités et les moyens du traitement, par exemple son fichier clients ou sa gestion des commandes, serait susceptible d’être regardée comme responsable de traitement, tandis que son prestataire informatique ou son éditeur de logiciel, qui traite pour son compte, serait susceptible d’être regardé comme sous-traitant. Cette qualification commande tout le régime des notifications et des responsabilités, et elle doit être vérifiée contrat par contrat avant toute démarche.
Le règlement européen sur la protection des données impose au responsable du traitement et au sous-traitant de mettre en œuvre des mesures de sécurité proportionnées au risque : le responsable du traitement et le sous-traitant doivent mettre en œuvre des « mesures techniques et organisationnelles appropriées » pour garantir un « niveau de sécurité adapté au risque » (article 32 du règlement (UE) 2016/679), ce texte citant notamment la pseudonymisation et le chiffrement, la garantie de confidentialité, d’intégrité, de disponibilité et de résilience des systèmes, et les procédures de test régulier de l’efficacité des mesures. Pour une entreprise, cela se traduit par des questions très concrètes que le juge ou la CNIL poseraient en cas de contrôle : les terminaux mobiles accédant aux données clients étaient-ils chiffrés et verrouillés, les applications bancaires et métier étaient-elles isolées des usages personnels, l’authentification à deux facteurs était-elle activée, les mises à jour de sécurité étaient-elles déployées, et une charte informatique encadrait-elle l’installation d’applications hors magasin officiel ? L’absence de traitement des données personnelles sans les mesures de sécurité requises est par ailleurs pénalement sanctionnée : le fait de procéder à un traitement sans mettre en œuvre les mesures prescrites notamment par l’article 32 du règlement « est puni de cinq ans d’emprisonnement et de 300 000 euros d’amende » (article 226-17 du code pénal). Chaque manquement allégué devra être prouvé et rattaché à un dommage précis, comme le rappelle la jurisprudence récente citée plus bas.
Les lecteurs confrontés à une fuite de données personnelles trouveront un éclairage complémentaire, côté personnes concernées, dans notre analyse de ce qu’il faut faire après une cyberattaque visant un organisme détenant des données personnelles, et, quand c’est le prestataire informatique lui-même qui se trouve compromis, dans notre dossier sur le prestataire informatique compromis, la résiliation et la réparation. Ces situations illustrent la même logique : documenter vite, notifier dans les délais et séparer le traitement de l’incident technique du traitement des responsabilités.
II. Données exposées : dans quel délai notifier, qui indemnise et comment prouver
A. Notification à la CNIL, information des clients et traçabilité : que faire et dans quel délai
Lorsqu’une violation de données à caractère personnel est établie ou raisonnablement suspectée, le décompte des délais part de la prise de connaissance par l’entreprise, ce qui suppose d’horodater la découverte : signalement d’un collaborateur, alerte de la banque, détection par l’antivirus ou le gestionnaire de flotte. Le texte applicable impose au responsable du traitement de notifier la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques, tout retard devant être motivé (article 33, paragraphe 1, du règlement (UE) 2016/679). En France, l’autorité compétente est la CNIL, saisie par son téléservice dédié dont la page d’information est consultable sur le site de la CNIL consacré aux violations de données personnelles. La notification doit décrire la nature de la violation, les catégories et le nombre approximatif de personnes et d’enregistrements concernés, les coordonnées du délégué à la protection des données ou d’un point de contact, les conséquences probables et les mesures prises ou envisagées. Quand le prestataire informatique ou l’éditeur détecte l’incident le premier, il doit prévenir l’entreprise cliente et le sous-traitant doit lui-même prévenir le responsable du traitement dans les meilleurs délais après en avoir pris connaissance (article 33, paragraphe 2, du règlement (UE) 2016/679). Les contrats de sous-traitance sérieux prévoient un délai chiffré, souvent de vingt-quatre ou quarante-huit heures, et c’est ce délai contractuel qui s’applique en premier.
L’information des clients n’est due que sous conditions, et son périmètre doit être calibré avec soin car un message maladroit crée un contentieux. Le règlement prévoit une communication à la personne concernée, en termes clairs et simples et dans les meilleurs délais, lorsque la violation est susceptible d’engendrer un « risque élevé » pour ses droits et libertés (article 34, paragraphe 1, du règlement (UE) 2016/679). Le risque élevé s’apprécie concrètement : des identifiants bancaires ou des pièces d’identité exposés en clair appellent une information rapide, en termes clairs et simples, avec les mesures de protection recommandées, tandis que des données chiffrées avec une clé restée secrète ou des mesures ultérieures ayant neutralisé le risque peuvent dispenser de cette communication individuelle. En parallèle, l’entreprise doit documenter chaque violation dans un registre interne, avec les faits, les effets et les mesures correctives, car ce registre constitue la première pièce réclamée en cas de contrôle et fonde la crédibilité de toute la procédure. Les clients qui s’estimeraient lésés disposent d’un droit à réparation contre le responsable du traitement ou le sous-traitant : « toute personne ayant subi un dommage matériel ou moral du fait d’une violation du présent règlement a le droit d’obtenir du responsable du traitement ou du sous-traitant réparation du préjudice subi » (article 82, paragraphe 1, du règlement (UE) 2016/679). Mais la Cour de cassation vient de rappeler, le 24 juin 2026, que « la simple violation des dispositions de ce règlement ne suffit pas pour conférer un droit à réparation » (Cass. soc., 24 juin 2026, arrêt n° 571 FS-B, pourvoi n° V 24-22.792), en s’appuyant sur la jurisprudence de la Cour de justice selon laquelle le demandeur doit établir, outre la violation, le dommage matériel ou moral qu’elle lui aurait causé, sans qu’un seuil de gravité puisse lui être opposé pour le dommage moral. Pour l’entreprise, l’enjeu est donc double : limiter le dommage réel par une réaction rapide et documentée, et conserver les preuves de cette réaction pour répondre à d’éventuelles demandes d’indemnisation.
B. Virements frauduleux, assurance et dirigeant : qui paie et qui prouve en cas d’opérations initiées depuis un mobile compromis
Quand le mobile compromis servait à valider des paiements professionnels, l’entreprise doit contester sans tarder auprès de sa banque. Le code monétaire et financier impose à l’utilisateur de préserver ses instruments : « Dès qu’il reçoit un instrument de paiement, l’utilisateur de services de paiement prend toute mesure raisonnable pour préserver la sécurité de ses données de sécurité personnalisées. » (article L. 133-16 du code monétaire et financier), et la contestation doit intervenir « sans tarder », « au plus tard dans les treize mois suivant la date de débit sous peine de forclusion à moins que le prestataire de services de paiement ne lui ait pas fourni ou n’ait pas mis à sa disposition les informations relatives à cette opération de paiement conformément au chapitre IV du titre 1er du livre III » (article L. 133-24 du même code, texte sur Légifrance). Une fois l’opération signalée, le principe est le remboursement rapide : « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant » (article L. 133-18 du code monétaire et financier), avec des intérêts de retard qui s’alourdissent par paliers : « Les sommes dues produisent intérêt au taux légal majoré de cinq points », puis de dix points au-delà de sept jours de retard, et de quinze points au-delà de trente jours. L’exception qui prive du remboursement est étroite : « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » (article L. 133-19, IV, du code monétaire et financier).
Un jugement très récent du tribunal judiciaire de Paris illustre concrètement l’application de ces textes à une fraude au faux conseiller bancaire adossée à un SMS frauduleux, puis à des validations opérées depuis le téléphone de la victime (TJ Paris, 9e chambre, 3e section, 10 septembre 2026, RG n° 25/10000). Le tribunal y rappelle qu’« Une opération de paiement n’est autorisée au sens des articles L.133-3 et L.133-6 du code monétaire et financier que si le payeur l’a initiée et a consenti au montant de l’opération et au bénéficiaire. », puis que « La victime de phishing ne peut se voir reprocher une négligence grave au sens de l’article L.133-19 IV du code monétaire et financier en l’absence d’autres éléments caractérisant une imprudence ou un manquement intentionnel à ses obligations de sécurité. » Dans cette affaire, la cliente avait toutefois validé elle-même l’ajout de bénéficiaires et trois virements à la demande de son interlocuteur, modifié son mot de passe à sa demande et le lui avait communiqué : le tribunal a retenu une négligence grave et rejeté la demande de remboursement. Transposée à l’entreprise, la leçon est nette : un collaborateur qui valide des bénéficiaires ou des virements sur instruction téléphonique d’un prétendu conseiller, ou qui communique ses codes, expose la société au refus de remboursement, tandis qu’une fraude subie sans validation ni transmission d’identifiants laisse le remboursement acquis, la preuve de l’enregistrement régulier et de l’absence de déficience technique incombant à la banque. À Paris et en Île-de-France, où siègent de nombreuses directions financières, ces litiges relèvent du tribunal judiciaire du lieu du siège ou du domicile, avec à Paris un contentieux bancaire nourri devant le tribunal judiciaire de Paris, et la plainte peut être déposée auprès du parquet territorialement compétent : l’assignation et la mise en demeure doivent intervenir dans des délais compatibles avec les intérêts de retard précités, sans attendre l’issue de l’enquête pénale.
Reste la question du dirigeant et des recours de l’entreprise contre ses partenaires. Les textes visent les administrateurs, directeurs généraux et gérants « soit des fautes commises dans leur gestion » (article L. 225-251 du code de commerce pour les sociétés anonymes ; article L. 223-22 du code de commerce pour les gérants de SARL), et le droit commun de la responsabilité pour faute demeure : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » (article 1240 du code civil). Un défaut durable de politique de sécurité des mobiles, l’absence de double validation des virements ou le maintien d’accès excessifs pourraient, s’ils étaient établis et rattachés à un dommage, être invoqués comme des fautes de gestion, sans que cela ne dispense jamais de prouver la faute, le dommage et le lien de causalité. En miroir, l’entreprise peut se retourner contre son prestataire informatique ou son éditeur en cas de manquement à ses obligations de sécurité et de surveillance, et activer sa garantie cyber si elle en a souscrit une, en respectant strictement les délais de déclaration du contrat d’assurance, qui priment sur toute analyse générale. Chaque recours suppose la même discipline probatoire : registre des violations, constats, journaux techniques, échanges avec la banque et récépissé de plainte.
Conclusion
La vague de recherches autour de la cyberattaque s’explique, selon la presse spécialisée, par des logiciels malveillants de nouvelle génération visant les smartphones Android et les données bancaires, avec une France particulièrement ciblée. Pour l’entreprise, la réponse tient en quatre réflexes : isoler et sécuriser les terminaux, préserver les preuves avant de réparer, notifier la CNIL dans les soixante-douze heures sauf absence de risque et informer les clients en cas de risque élevé, puis contester sans tarder toute opération de paiement suspecte. Les textes protègent l’utilisateur de services de paiement par un remboursement rapide, mais sanctionnent la négligence grave, comme l’illustre le jugement parisien du 10 septembre 2026, et le droit des données personnelles n’ouvre réparation qu’à celui qui prouve un dommage concret, comme l’a rappelé la Cour de cassation le 24 juin 2026. À la date de rédaction, aucune intrusion ni aucun dommage n’a été constaté par une source officielle s’agissant des faits rapportés par la presse, aucune responsabilité d’aucune entreprise, banque ou personne n’est établie, les contrats signés avec la banque, le prestataire et l’assureur priment sur toute analyse générale, et seul le juge, saisi au vu des preuves de chaque dossier, peut trancher les responsabilités.