La requête « cyberattaque » s’est envolée le 29 septembre 2026 sur Google France : plus de 1 000 recherches, une progression de 900 %, un sujet toujours actif au moment où ces lignes sont écrites. Derrière cette flambée, Google Trends pointe des articles de presse consacrés à un logiciel malveillant surnommé RatHat, qui utiliserait une intelligence artificielle dite « agentique » pour prendre le contrôle de smartphones Android et siphonner des données bancaires. Selon le Journal du Geek, qui rapporte les travaux de chercheurs en sécurité, ce cheval de Troie se déguiserait en fausse mise à jour de navigateur ou en application de streaming diffusée hors boutique officielle, réclamerait l’accès aux services d’accessibilité d’Android, déploierait 162 applications infectées reliées à une douzaine de serveurs, superposerait de fausses fenêtres aux applications financières pour récolter identifiants et codes, intercepterait les SMS et enregistrerait jusqu’aux pressions sur l’écran. Le même article précise qu’une simple désinstallation ne suffirait pas et qu’une réinitialisation complète du téléphone serait nécessaire.
Pour un dirigeant, la question n’est pas technique, elle est juridique : quand le téléphone compromis est celui d’un salarié, d’un associé ou de vous-même, et que l’appareil contient des accès professionnels, des données de clients et des codes bancaires de l’entreprise, chaque heure compte. Le droit applicable tient en trois blocs : le droit pénal de la cybercriminalité pour qualifier les faits et porter plainte utilement, le règlement général sur la protection des données (RGPD) qui impose de notifier la violation à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, et le droit des paiements pour traiter l’argent détourné. Le présent article s’adresse au dirigeant d’une TPE ou PME francilienne dont l’organisation vient d’être exposée par ce type d’attaque. Il part des faits tels que la presse spécialisée les rapporte, cités comme source, et ne prétend rien au-delà : à la date de rédaction, aucune intrusion précise visant une entreprise identifiée n’est établie par une source officielle, et ce que la source ne dit pas est écrit au conditionnel.
I. Cyberattaque en cours : qualifier l’attaque et figer les preuves
A. Ce que le logiciel malveillant fait subir au téléphone et ce que le code pénal en dit
Comprendre l’attaque, c’est déjà la qualifier. Le mode opératoire décrit par le Journal du Geek cumule trois comportements que le code pénal incrimine séparément. D’abord, l’accès au téléphone et le maintien dans le système sans autorisation : l’article 323-1 du code pénal dispose que « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende », la peine montant à cinq ans et 150 000 € quand il en est résulté une suppression ou une modification de données ou une altération du fonctionnement du système. Ensuite, le vol des identifiants, mots de passe et codes de validation aspirés par les fausses fenêtres et l’interception des SMS : l’article 323-3 du code pénal punit de cinq ans d’emprisonnement et de 150 000 € d’amende « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient ». Enfin, la diffusion même de l’outil : l’article 323-3-1 du code pénal punit « Le fait, sans motif légitime, notamment de recherche ou de sécurité informatique, d’importer, de détenir, d’offrir, de céder ou de mettre à disposition un équipement, un instrument, un programme informatique ou toute donnée conçus ou spécialement adaptés pour commettre » ces infractions. Et quand l’argent quitte le compte parce que la victime, manipulée, a validé elle-même l’opération, la qualification d’escroquerie s’ajoute : l’article 313-1 du code pénal définit l’escroquerie comme « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque », punie de cinq ans d’emprisonnement et de 375 000 euros d’amende.
La jurisprudence donne à ces textes une portée très concrète pour l’entreprise. Dans un arrêt du 16 janvier 2018, la chambre criminelle a rejeté le pourvoi d’un homme condamné pour avoir fait installer un enregistreur de frappe sur les ordinateurs d’un centre hospitalier, retenant « qu’en effet, se rend coupable de l’infraction prévue à l’article 323-1 du code pénal la personne qui, sachant qu’elle n’y est pas autorisée, accède, à l’insu des victimes, à un système de traitement automatisé de données » (Cass. crim., 16 janv. 2018, n° 16-87.168). Le parallèle avec un logiciel qui enregistre les pressions sur l’écran d’un téléphone professionnel est direct : la captation furtive des codes, même sans dégradation visible de l’appareil, caractérise l’infraction. Plus récemment, le 2 septembre 2025, la même chambre a rejeté le pourvoi d’un administrateur réseau qui, fort de ses droits d’accès généraux, lisait clandestinement la messagerie de son dirigeant et s’en transférait automatiquement les courriels : « se rend coupable de l’infraction prévue par l’article 323-1 du code pénal celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès à la messagerie » (Cass. crim., 2 sept. 2025, n° 24-83.605). Pour le dirigeant, l’enseignement est double : l’attaque venue de l’extérieur comme l’indiscrétion venue de l’intérieur relèvent du même article, et les privilèges techniques d’un salarié ne couvrent jamais une consultation étrangère à sa mission.
Reste une précaution de méthode : à ce stade, les détails techniques (nombre exact d’applications piégées, périmètre des services bancaires visés, serveurs utilisés) ne sont connus que par la presse spécialisée rapportant des travaux de chercheurs, et ils sont ici repris avec cette réserve. Une plainte bien rédigée ne recopie pas un article de presse : elle décrit des faits propres et vérifiables — date et heure de l’installation suspecte, origine du lien ou du fichier, autorisations accordées, opérations constatées, captures conservées — et laisse à l’enquête le soin d’établir la chaîne technique. C’est cette discipline qui rend la plainte exploitable au lieu d’en faire un simple signalement.
B. Les premières heures du dirigeant : isoler sans détruire, constater, porter plainte
Le réflexe naturel — effacer l’application, réinitialiser le téléphone, « nettoyer » au plus vite — est souvent la première faute. Or tout ce qui prouve l’attaque réside dans l’appareil : journaux d’installation, autorisations accordées, SMS interceptés, captures des fausses fenêtres, relevés bancaires horodatés. La conduite à tenir tient en quatre gestes ordonnés. D’abord, isoler : passer l’appareil en mode avion pour couper le tunnel vers les serveurs des attaquants, sans éteindre ni réinitialiser, et mettre sous séquestre tout support concerné ; si l’entreprise dispose d’un prestataire informatique, lui demander de figer une image du téléphone avant toute manipulation. Ensuite, couper les accès depuis un appareil sain : changer les mots de passe des messageries professionnelles, des espaces bancaires et des outils exposés, révoquer les sessions actives, prévenir la banque pour placer les comptes sous surveillance et, si des opérations frauduleuses sont déjà parties, demander par écrit le rappel des fonds. Troisièmement, faire constater : photographier et inventorier chaque trace avec sa date, conserver les courriels et SMS d’hameçonnage avec leurs en-têtes complets, éditer les relevés d’opérations, et, pour les constats à valeur probante renforcée, recourir à un commissaire de justice ou à un expert qui décrira la méthode de collecte. Quatrièmement, porter plainte : au commissariat ou à la gendarmerie, ou par écrit auprès du procureur de la République, en visant les qualifications vérifiées plus haut et en joignant l’inventaire des traces ; la constitution de partie civile, possible dès la plainte ou devant le juge d’instruction, conditionne l’indemnisation dans le procès pénal.
Identifier l’auteur, même masqué derrière des serveurs étrangers, n’est pas une cause perdue, et le droit processuel offre des leviers. La cour d’appel de Paris a ainsi infirmé une ordonnance de référé et ordonné à une grande plateforme d’hébergement de communiquer, dans les huit jours de la signification de l’arrêt, les données d’identification des titulaires de comptes litigieux qu’elle détenait (CA Paris, pôle 1, ch. 3, 10 sept. 2024, RG n° 23/16504). Transposée à une cyberattaque, la leçon est claire : le juge civil peut ordonner en référé, sous astreinte, la communication des données d’identification détenues par les intermédiaires — hébergeurs, plateformes, opérateurs — dès lors que la demande est précise et proportionnée. En pratique parisienne, ces requêtes relèvent du président du tribunal judiciaire de Paris statuant en référé, et la signification doit être exécutée vite, avant l’effacement des journaux de connexion. Parallèlement, le signalement sur la plateforme officielle de signalement des contenus illicites et le dépôt de plainte alimentent l’enquête pénale, seule à disposer des réquisitions internationales. Le dirigeant avisé mène donc les deux actions ensemble : référé civil pour figer l’identité numérique pendant qu’elle existe encore, plainte pénale pour la répression et la réparation.
Un point de vigilance propre aux petites structures : le téléphone « personnel » du salarié qui reçoit ses courriels professionnels, accède au logiciel de facturation ou valide les virements est, au regard du droit des données, un terminal de l’entreprise. Le dirigeant qui tolère cet usage mixte sans règle écrite — charte informatique, registre des appareils autorisés, double authentification imposée — se prive, le jour de l’attaque, de la possibilité de démontrer des mesures de sécurité appropriées. La charte se rédige avant la crise ; après, il ne reste que la gestion de crise, dont le centre de gravité est la notification à la CNIL.
II. L’entreprise responsable de traitement face à la CNIL, aux clients et à la banque
A. Notifier la CNIL en 72 heures, informer les personnes, documenter
Dès lors que le téléphone compromis donnait accès à des données de clients, de prospects, de salariés ou de fournisseurs — carnet d’adresses synchronisé, messagerie professionnelle, application de gestion, photos de documents — l’entreprise devient le siège d’une « violation de données à caractère personnel » au sens du RGPD, et le dirigeant en est le responsable de traitement. L’article 33, paragraphe 1, du règlement (UE) 2016/679 impose au responsable du traitement de notifier la violation à l’autorité de contrôle « dans les meilleurs délais » et, « si possible, 72 heures au plus tard » après en avoir pris connaissance, sauf si la violation n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques, toute notification tardive devant être « accompagnée des motifs du retard ». En France, l’autorité compétente est la CNIL, dont le siège est à Paris, et la notification s’effectue par son téléservice dédié. Le délai court à partir de la prise de connaissance, c’est-à-dire du moment où l’entreprise dispose d’un degré raisonnable de certitude qu’une violation a eu lieu — la découverte d’un logiciel espion aspirant les SMS sur le terminal d’un commercial constitue typiquement ce point de départ, sans attendre la fin de l’audit complet, puisque le même texte autorise à fournir les informations « de manière échelonnée sans autre retard indu ».
Le contenu de la notification est encadré et doit, « à tout le moins », décrire la nature de la violation, y compris si possible les catégories et le nombre approximatif de personnes concernées et d’enregistrements touchés, communiquer le nom et les coordonnées du délégué à la protection des données ou d’un autre point de contact, décrire les conséquences probables, et décrire les mesures prises ou envisagées pour remédier à la violation et en atténuer les conséquences. Concrètement, le dirigeant joint donc : le récit daté de la découverte, le périmètre estimé des données exposées (identité, coordonnées bancaires, mots de passe, correspondances), les mesures déjà prises (isolement des terminaux, révocation des accès, réinitialisation supervisée, information de la banque) et celles programmées (audit, renforcement de l’authentification, formation). Cinquième paragraphe du même article, trop souvent oublié : impose de « documenter toute violation », en consignant faits, effets et mesures dans un registre interne des violations, que la CNIL pourra contrôler. Une violation non documentée est une violation non pilotée, et le défaut de documentation aggrave systématiquement la position de l’entreprise en cas de contrôle.
Second étage de l’obligation : l’information des personnes elles-mêmes. L’article 34, paragraphe 1, du même règlement prévoit que le responsable du traitement communique la violation « dans les meilleurs délais » à toute personne exposée à un « risque élevé », en des « termes clairs et simples ». Avec un logiciel qui intercepte les codes de validation et enregistre les frappes au clavier, le risque élevé est en général caractérisé dès que des identifiants bancaires ou des accès à des comptes figurent parmi les données exposées. Trois dispenses seulement sont admises : des mesures de protection préalables rendant les données inexploitables sans autorisation, « telles que le chiffrement », des mesures ultérieures garantissant que le risque élevé ne peut plus se matérialiser, ou des efforts disproportionnés justifiant une communication publique équivalente. Autrement dit, le chiffrement réel des terminaux et des sauvegardes — et non sa simple mention dans un contrat — est la seule dispense qui se prépare à l’avance ; tout le reste se subit. Et la sanction de l’inaction est double : amendes administratives que la CNIL peut prononcer sur le fondement du règlement, et droit à réparation : toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement peut obtenir « réparation du préjudice subi » auprès du responsable du traitement ou du sous-traitant (article 82, paragraphe 1), le responsable n’étant exonéré que s’il prouve que le fait dommageable ne lui est « nullement imputable » (paragraphe 3). Pour une PME francilienne, une fuite de données clients non notifiée ni indemnisée à l’amiable se transforme donc vite en contentieux de masse devant le tribunal judiciaire de Paris, où chaque client peut chiffrer son préjudice moral.
En amont, l’article 32 du règlement imposait déjà des « mesures techniques et organisationnelles appropriées » garantissant un niveau de sécurité adapté au risque, citant « la pseudonymisation et le chiffrement », la « confidentialité, l’intégrité, la disponibilité et la résilience » des systèmes, le rétablissement rapide après incident et l’évaluation régulière de l’efficacité des mesures. Le jour où la CNIL contrôle, elle ne juge pas l’attaque — elle juge la préparation : terminaux chiffrés ou non, double authentification activée ou non, sauvegardes isolées ou non, personnel formé à refuser les autorisations d’accessibilité injustifiées ou non. Chaque mesure manquante documentée par l’entreprise elle-même devient une pièce du dossier de sanction. Le dirigeant parisien qui lit ces lignes avant toute attaque tient donc sa feuille de route : charte mobile écrite, chiffrement généralisé, authentification forte sur tous les accès professionnels, registre des violations prêt à l’emploi, coordonnées du délégué ou du référent affichées dans la procédure de crise.
B. L’argent détourné : banque, virements suspects et assurance
Quand le logiciel espion a capté les codes et que des virements ont quitté les comptes de l’entreprise, le dirigeant change de front : il devient le client de sa banque qui conteste des opérations. Le régime dépend d’une distinction que la pratique confond souvent, entre l’opération non autorisée et l’opération autorisée par un client manipulé. Pour les opérations non autorisées signalées par l’utilisateur, l’article L. 133-18 du code monétaire et financier impose au prestataire de rembourser « immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant, sauf s’il a de bonnes raisons de soupçonner une fraude de l’utilisateur du service de paiement et s’il communique ces raisons par écrit à la Banque de France », le prestataire devant, « le cas échéant, » rétablir « le compte débité dans l’état où il se serait trouvé si l’opération de paiement non autorisée n’avait pas eu lieu ». Mais ce remboursement immédiat connaît une limite majeure : l’article L. 133-19 du même code fait supporter au payeur « toutes les pertes occasionnées par des opérations de paiement non autorisées s’il n’a pas satisfait intentionnellement ou par négligence grave » à son obligation de préserver la sécurité de ses données personnalisées et d’utiliser l’instrument conformément à ses conditions d’emploi. C’est sur ce terrain de la négligence grave que la Cour de cassation vient de trancher un cas d’école : un client, appelé par un faux conseiller dont le numéro affiché était celui de son agence, avait validé sur son téléphone ce qu’il croyait être des annulations d’opérations frauduleuses. La chambre commerciale casse le jugement qui écartait toute négligence grave au seul motif du numéro rassurant : le juge aurait dû rechercher si, « à réception du message de confirmation adressé par la banque mentionnant que les opérations litigieuses constituaient des opérations de validation de paiement, et non d’annulation », le client n’était pas « en mesure de suspecter le caractère frauduleux de ces opérations » (Cass. com., 4 mars 2026, n° 24-19.588). Le même arrêt rappelle une limite symétrique : « L’obligation de vigilance à l’égard de la clientèle imposée aux organismes financiers en application des articles L. 561-4-1 à L. 561-14-2 du code monétaire et financier a pour seule finalité la lutte contre le blanchiment de capitaux et le financement du terrorisme », de sorte que « la victime d’agissements frauduleux ne peut se prévaloir de leur inobservation pour réclamer des dommages et intérêts à l’organisme financier ». Pour l’entreprise victime d’un logiciel espion, la leçon opérationnelle est nette : contester vite et par écrit chaque opération, démontrer que les validations ont été extorquées par le logiciel et non consenties en connaissance de cause, et ne pas fonder la demande sur la lutte anti-blanchiment, moyen voué au rejet.
Le second cas de figure — le virement que le dirigeant ou son comptable a lui-même ordonné vers l’IBAN dicté par un escroc — obéit à une autre logique, que le tribunal des activités économiques de Marseille vient d’illustrer le 17 septembre 2026 (RG n° 2025F00430, jugement de première instance) dans une affaire de faux conseiller bancaire : une cliente avait fait virer 150 000 € puis 50 000 € vers des IBAN fournis par l’escroc, le second virement ayant d’abord été rejeté par les systèmes de la banque pour « suspicion de fraude » avant d’être réémis manuellement par le conseiller sans vérification complémentaire. Le tribunal déboute la cliente pour le premier virement, exécuté conformément à l’IBAN qu’elle avait elle-même fourni, mais condamne la banque à 50 000 € de dommages et intérêts, 5 000 € de préjudice moral et 3 000 € au titre de l’article 700 du code de procédure civile pour le second. Deux motifs méritent l’attention. D’une part, l’article L. 133-21 du code monétaire et financier, aux termes duquel « Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté », ne fait nullement obstacle à l’obligation de vigilance du banquier : face à une anomalie apparente, le banquier reste tenu de s’enquérir auprès de son client de la régularité de l’opération avant de l’exécuter. D’autre part, le rejet initial du virement par les systèmes internes de la banque pour « suspicion de fraude » constituait une « alerte caractérisée », de sorte qu’en réémettant manuellement l’ordre sans vérification ni alerte de la cliente, le conseiller a commis une négligence grave engageant la responsabilité de l’établissement. Le tribunal ajoute que l’établissement répond des fautes de son préposé, quel que soit le degré de spécialisation interne de ce dernier. Transposé à l’entreprise dont le comptable, dont le poste fait l’objet d’une prise en main à distance, ordonne un virement vers un IBAN frauduleux après une alerte anti-fraude de sa propre banque : l’alerte ignorée devient le cœur du recours contre l’établissement. À l’inverse, sans anomalie apparente décelable par la banque, l’ordre exécuté conformément à l’IBAN fourni reste réputé dûment exécuté, et la charge de la perte pèse sur l’entreprise — d’où l’importance d’une procédure interne de double validation des nouveaux bénéficiaires, par un canal indépendant, avant tout premier virement.
À Paris et en Île-de-France, ce contentieux bancaire se joue devant le tribunal des activités économiques de Paris ou le tribunal judiciaire selon les parties, avec des assignations qui doivent chiffrer précisément chaque préjudice et viser les bons fondements — remboursement pour opération non autorisée, responsabilité contractuelle pour manquement à la vigilance, préjudice moral documenté par pièces — sous peine de rejet partiel comme dans le jugement marseillais. Le dirigeant vérifiera aussi son contrat d’assurance cyber et sa garantie pertes d’exploitation : les polices excluent fréquemment la fraude interne, la négligence grave ou les virements validés sans double contrôle, et la déclaration de sinistre obéit à des délais contractuels brefs, distincts des délais légaux. Enfin, si l’entreprise est cliente d’une banque en ligne et que sa trésorerie est bloquée pendant l’enquête, elle anticipera le besoin de financement relais plutôt que de découvrir l’asphyxie au moment des échéances sociales et fiscales. Si vous êtes un particulier dont le compte a été vidé par ce type d’attaque, le raisonnement est proche mais le parcours diffère : notre analyse du remboursement après une cyberattaque bancaire en cours détaille la contestation des paiements et le rétablissement du compte.
Conclusion
La flambée de la requête « cyberattaque » le 29 septembre 2026 n’est pas un bruit de fond : elle signale une vague d’attaques par logiciel espion mobile dont les victimes potentielles incluent chaque entreprise qui laisse des accès professionnels sur des smartphones insuffisamment protégés. Le dirigeant qui découvre l’attaque tient sa séquence : isoler les terminaux sans détruire les traces, couper les accès depuis un poste sain, faire constater, porter plainte et agir en référé pour identifier les auteurs ; puis, en qualité de responsable de traitement, notifier la violation à la CNIL dans les meilleurs délais et, si possible, dans les 72 heures, informer les personnes exposées à un risque élevé dans des termes clairs et simples, documenter chaque étape dans le registre des violations ; enfin, contester sans délai les opérations bancaires frauduleuses, en distinguant l’opération non autorisée, remboursable immédiatement, de l’ordre exécuté vers un IBAN frauduleux, où seule une anomalie apparente ignorée par la banque fonde le recours. Deux réserves ferment cet article comme elles l’ont ouvert : les faits techniques rapportés ici viennent de la presse spécialisée et non d’une source officielle, de sorte que tout ce qui dépasse la source reste au conditionnel ; et les contrats signés — assurance cyber, conventions de compte, contrats de sous-traitance informatique — priment sur toute analyse générale pour fixer les délais, les exclusions et les interlocuteurs. Aucune responsabilité n’est établie par cet article, et seul le juge, saisi de faits prouvés, décidera.