Une cyberattaque de grande ampleur visant les systèmes de froid d’enseignes de la grande distribution occupe l’actualité de ce 12 octobre 2026 : selon les informations de presse du jour, des centaines de magasins seraient concernés par le dérèglement à distance de leurs installations frigorifiques. Au-delà du préjudice matériel des commerces, une question concrète se pose pour les clients : les données laissées en caisse, sur un compte de fidélité ou dans un formulaire en ligne pourraient-elles avoir été exposées, et que faire si un SMS ou un e-mail frauduleux se présentant comme celui de l’enseigne arrive dans les jours qui suivent ?

À la date de rédaction, aucune intrusion dans les fichiers de clientèle ni aucun dommage subi par des clients n’est constaté par une source officielle ; aucune responsabilité n’est établie, les contrats signés priment sur toute analyse générale, et seul le juge décide. Ce qui suit décrit donc la méthode applicable dans toute situation comparable : vérifier la notification reçue, reconnaître un message frauduleux, le signaler aux bons guichets, conserver la preuve et, en cas de préjudice avéré, demander réparation. Les faits rapportés par la presse s’écrivent au conditionnel chaque fois que la source ne les établit pas ; le droit applicable, lui, s’écrit à l’indicatif, textes et décisions vérifiés à l’appui.

I. Vérifier avant de cliquer : la notification de violation et les réflexes face au message suspect

A. La notification de violation que vous pouvez recevoir et ce qu’elle doit contenir

Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour vos droits et libertés, le responsable du traitement doit vous en informer directement. L’article 34, paragraphe 1, du règlement (UE) 2016/679 du 27 avril 2016 impose au responsable du traitement d’avertir la personne concernée dans les meilleurs délais dès lors que la violation est susceptible d’engendrer un risque élevé pour ses droits et libertés.

Concrètement, une notification régulière décrit, en des termes clairs et simples, la nature de la violation et contient au moins le point de contact du délégué à la protection des données, les conséquences probables et les mesures prises ou proposées pour y remédier. Le texte renvoie pour cela aux points b), c) et d) de l’article 33, paragraphe 3. Méfiez-vous donc d’un message qui annoncerait une fuite sans indiquer ni contact, ni nature des données concernées, ni mesure corrective : une notification véritable est précise et donne un moyen de vérifier.

En parallèle, l’enseigne doit avertir la Commission nationale de l’informatique et des libertés. L’article 33, paragraphe 1, du même règlement impose pour sa part d’avertir l’autorité de contrôle dans les meilleurs délais et, si possible, dans les 72 heures suivant la connaissance de la violation, sauf si celle-ci n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. La CNIL rappelle que le téléservice de notification doit être utilisé dans ce délai et que tout dépassement doit être motivé. De son côté, le sous-traitant qui découvre la faille doit prévenir le responsable du traitement dans les meilleurs délais. Dans une cyberattaque qui transiterait par un prestataire de supervision ou de maintenance, cette chaîne de notification conditionne la rapidité de votre propre information.

La communication individuelle peut cependant ne pas avoir lieu dans trois cas : si les données exposées avaient été rendues incompréhensibles, par exemple par chiffrement ; si des mesures ultérieures garantissent que le risque élevé ne se matérialisera plus ; ou si l’information individuelle exigerait des efforts disproportionnés, auquel cas une communication publique d’efficacité équivalente prend le relais. L’absence de message ne prouve donc ni l’absence de fuite ni sa présence : elle impose de vérifier par vous-même, notamment en interrogeant le service client par un canal officiel et en consultant votre espace client pour y repérer toute activité anormale.

Premier réflexe utile : conservez la notification reçue, avec ses en-têtes complets, sa date et son expéditeur exact. Elle constituera, le cas échéant, la preuve que vous avez été averti, du contenu de l’avertissement et du moment où vous l’avez reçu. Si vous êtes client d’une enseigne visée par l’attaque décrite par la presse, rapprochez cette notification des messages suspects qui suivraient : les fraudeurs exploitent souvent la fenêtre d’inquiétude ouverte par l’annonce publique pour envoyer de faux suivis, de faux remboursements ou de fausses vérifications de compte.

B. Le message suspect : vérifications, interdictions et signalements

Le hameçonnage consiste à se faire passer pour un tiers de confiance afin d’obtenir des données, des paiements ou l’installation d’un logiciel malveillant. Après une cyberattaque médiatisée, le scénario classique est le SMS ou l’e-mail qui reprend les codes visuels de l’enseigne : « incident sur votre compte fidélité », « remboursement exceptionnel », « vérifiez vos informations ». La page officielle du service public consacrée à l’hameçonnage le rappelle : un message ou un appel suspect se présentant comme celui de votre banque ou d’une administration peut constituer un délit, et tout témoin ou toute victime peut le signaler.

Avant tout clic, vérifiez l’expéditeur réel : adresse e-mail complète et non le seul nom affiché, numéro expéditeur du SMS, fautes et tournures inhabituelles, lien dont l’adresse au survol ne correspond pas au site officiel, pièce jointe inattendue, demande urgente de codes, de coordonnées bancaires ou de paiement en cartes prépayées. Ne répondez jamais, ne rappelez aucun numéro figurant dans le message et ne téléchargez aucune pièce jointe. Si le message prétend venir de votre enseigne ou de votre banque, contactez l’organisme par un canal indépendant : numéro figurant sur votre carte, sur un relevé ou saisi par vous dans votre application, jamais celui du message.

Pour départager une notification authentique d’une imitation, utilisez toujours un chemin indépendant : saisissez vous-même l’adresse du site de l’enseigne dans votre navigateur au lieu de cliquer, appelez le service client au numéro figurant sur vos documents contractuels et écrivez au délégué à la protection des données dont les coordonnées doivent figurer dans la notification régulière. Méfiez-vous particulièrement des messages qui cumulent plusieurs signaux d’alerte : expéditeur affiché flatteur mais adresse réelle sans rapport, formule d’urgence ou menace de suspension, demande de codes à usage unique, de coordonnées bancaires complètes ou de paiement par cartes prépayées, fautes inhabituelles pour une communication institutionnelle, pièce jointe que vous n’attendiez pas. Les fraudeurs soignent de plus en plus la présentation et reprennent parfois des extraits exacts de la notification véritable, par exemple son objet ou son logo, pour donner le change : la vérification par un canal séparé reste le seul test fiable, quel que soit le soin apporté à la mise en forme.

Si le message est frauduleux ou douteux, signalez-le. Pour un e-mail, transférez-le à la plateforme Signal Spam, accessible depuis son site et son extension de signalement, et pour un appel ou un SMS suspect, transférez le SMS au 33 700 ou signalez l’appel vocal sur le même service : ces deux guichets sont présentés par la page du service public consacrée à l’hameçonnage et par la page de la CNIL dédiée au signalement. Les experts de Signal Spam peuvent, si vous le souhaitez, transmettre votre signalement aux autorités compétentes, notamment au procureur de la République ou à la direction générale de la concurrence, de la consommation et de la répression des fraudes. La CNIL consacre une page aux démarches « spam, hameçonnage, arnaques : signaler pour agir » qui oriente vers ces guichets. En cas d’escroquerie avérée ou tentée sur internet, un signalement sur la plateforme THESEE ou sur Pharos, ainsi qu’une information sur le site du dispositif Cybermalveillance.gouv.fr, complètent utilement le dossier.

Au-delà du signalement, sécurisez vos accès sans attendre. Changez, depuis un appareil sain et sur le site officiel saisi par vous, les mots de passe des comptes qui partagent celui éventuellement communiqué, activez la vérification en deux étapes partout où elle existe et vérifiez les règles de transfert automatique de votre messagerie, que les attaquants détournent parfois pour intercepter les codes de confirmation. Si des opérations de paiement non autorisées apparaissent, contestez-les auprès de votre banque par écrit, en recommandé ou via la messagerie sécurisée de votre espace client, en joignant les relevés et le récépissé de vos signalements. L’article L. 133-24 du code monétaire et financier impose de signaler « sans tarder » l’opération non autorisée, et au plus tard dans les treize mois suivant la date de débit, sous peine de forclusion. Ce délai de treize mois ne doit pas inciter à attendre : chaque jour de retard complique la traçabilité des flux et fragilise la contestation, comme l’illustre la jurisprudence sur la négligence grave examinée plus loin.

Ces signalements ne remplacent pas la plainte, mais ils la préparent : ils horodatent votre réaction, conservent la trace du message et alimentent les enquêtes. Notez systématiquement l’heure de réception, le numéro ou l’adresse d’expédition, le contenu exact et les liens, sans les activer. Si vous avez cliqué ou transmis des données, changez immédiatement les mots de passe concernés depuis un appareil sain, activez la double authentification, prévenez votre banque par son numéro d’urgence et faites opposition si des coordonnées bancaires ont été communiquées. La rapidité de cette réaction n’est pas une simple précaution : comme on le verra, les juges en tiennent compte pour apprécier vos droits à remboursement.

II. Conserver la preuve et obtenir réparation du préjudice

A. Preuves à figer, plaintes à déposer et guichets à saisir

La preuve se prépare dès le premier message. Conservez les originaux électroniques avec leurs en-têtes, effectuez des captures d’écran complètes faisant apparaître l’expéditeur, la date et l’URL, exportez vos relevés d’opérations si des débits suspects apparaissent et demandez à votre banque une attestation des opérations contestées. Pour les contenus en ligne éphémères, un constat par commissaire de justice fige utilement la preuve. Si votre préjudice dépasse le simple désagrément, ce dossier de preuves fera la différence entre une réclamation entendue et une demande rejetée faute d’éléments.

Sur le plan pénal, plusieurs qualifications peuvent correspondre à un hameçonnage consécutif à une fuite de données. L’article 226-4-1 du code pénal punit « Le fait d’usurper l’identité d’un tiers ou de faire usage d’une ou plusieurs données de toute nature permettant de l’identifier en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération, est puni d’un an d’emprisonnement et de 15 000 € d’amende. » Lorsque le message vous détermine à remettre des fonds ou des valeurs, l’escroquerie de l’article 313-1 du code pénal peut être caractérisée : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge. » Le texte ajoute que « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende. » En amont, un traitement illicite de vos données par un acteur qui les exploiterait peut relever de l’article 226-16 du code pénal, qui punit « Le fait, y compris par négligence, de procéder ou de faire procéder à des traitements de données à caractère personnel sans qu’aient été respectées les formalités préalables à leur mise en oeuvre prévues par la loi » de cinq ans d’emprisonnement et de 300 000 euros d’amende. Seul le juge, au vu des faits établis, retiendra la qualification exacte ; votre rôle consiste à décrire précisément les faits et à fournir les pièces.

Parallèlement, le droit commun de la vie privée offre une voie civile autonome. L’article 9 du code civil dispose que « Chacun a droit au respect de sa vie privée. » et permet au juge, y compris en référé en cas d’urgence, de prescrire toute mesure propre à faire cesser l’atteinte. Lorsque la diffusion illicite de vos données cause un dommage, l’article 1240 du code civil ajoute que « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer. » Ces fondements complètent le régime européen sans s’y substituer : dans le contentieux d’Aix-en-Provence cité plus loin, les demandeurs invoquaient d’ailleurs ensemble le règlement européen, la loi du 6 janvier 1978 et l’article 9 du code civil, et le tribunal a indemnisé le préjudice moral sur ce socle combiné. Conservez donc aussi la preuve de l’atteinte à votre tranquillité quotidienne : messages reçus à répétition, démarches imposées, correspondances avec l’enseigne restées sans réponse.

Victime d’un hameçonnage, vous pouvez déposer plainte, y compris contre X si vous ignorez l’identité de l’auteur. Le service public l’indique expressément pour cette matière et précise que la plainte peut être déposée au commissariat de police ou à la brigade de gendarmerie de votre choix, ou par écrit au procureur de la République. À Paris comme ailleurs, ce libre choix du lieu de dépôt facilite la démarche des clients franciliens. Joignez à la plainte l’intégralité du dossier conservé : messages originaux, signalements effectués, notification de violation reçue, relevés bancaires et attestations. Demandez un récépissé et conservez le numéro de procédure.

Selon votre situation, la plainte peut aussi être préparée en ligne : le service public renvoie les victimes d’arnaques sur internet vers les dispositifs THESEE et Pharos pour le signalement, puis vers le dépôt de plainte selon les cas. En pratique, conservez la preuve du dépôt en ligne, imprimez le récépissé et complétez ensuite par une audition si les enquêteurs vous convoquent. Si un proche vulnérable, notamment une personne âgée, a reçu le même message, aidez-le à figer les mêmes éléments et à effectuer les mêmes signalements : les campagnes d’hameçonnage post-violation visent souvent en priorité les publics les moins méfiants, et la réaction rapide d’un tiers de confiance conditionne fréquemment l’issue du dossier bancaire.

En parallèle de la voie pénale, la voie administrative protège vos droits sur les données. L’article 77, paragraphe 1, du règlement général sur la protection des données reconnaît à toute personne concernée le droit d’introduire une réclamation auprès d’une autorité de contrôle, notamment celle de l’État de sa résidence habituelle, lorsqu’elle estime que le traitement de ses données méconnaît le règlement. En France, cette réclamation se dépose auprès de la CNIL, qui instruit puis peut mettre en demeure, sanctionner ou clore. L’articulation entre cette voie et l’action en justice est illustrée par un contentieux récent : dans un arrêt du 4 septembre 2025, la cour d’appel de Paris a statué après une décision de la CNIL du 10 janvier 2023 ayant sanctionné une banque par un rappel à ses obligations légales pour manquement continu à communiquer la copie des données, puis un rejet par le Conseil d’État, le 19 avril 2024, du recours formé contre la décision de la CNIL (cour d’appel de Paris, pôle 1, chambre 2, 4 septembre 2025, n° 24/18156). La leçon pour le plaignant est double : la CNIL peut constater et sanctionner rapidement, mais l’action en réparation devant le juge obéit à ses propres conditions de preuve et d’objet.

Enfin, si des opérations de paiement non autorisées ont été passées après le hameçonnage, informez immédiatement votre prestataire de services de paiement et faites opposition. La jurisprudence applique strictement l’exigence de réaction rapide : dans un arrêt du 19 mars 2025 relatif à une fraude par hameçonnage avec usurpation d’identité ayant permis des virements depuis le compte de la victime, la cour d’appel de Limoges a retenu des négligences graves privatives d’indemnisation, relevant notamment que la cliente n’avait pas vérifié l’adresse réelle d’expédition malgré les mises en garde de sa banque et qu’informée le jour même de l’ajout d’un bénéficiaire, elle n’avait pas alerté aussitôt la banque par le numéro d’urgence pour faire bloquer l’opération (cour d’appel de Limoges, chambre civile, 19 mars 2025, n° 24/00134). Le fondement appliqué est l’article L. 133-19, IV, du code monétaire et financier, selon lequel « Le payeur supporte toutes les pertes occasionnées par des opérations de paiement non autorisées si ces pertes résultent d’un agissement frauduleux de sa part ou s’il n’a pas satisfait intentionnellement ou par négligence grave aux obligations mentionnées aux articles L. 133-16 et L. 133-17. » Vérifier l’expéditeur et alerter sans délai ne sont donc pas de simples conseils : ce sont des conditions de votre remboursement.

B. La réparation du préjudice devant le juge : conditions, montants et délais

Le droit à réparation résulte directement du règlement européen. Son article 82, paragraphe 1, reconnaît à toute personne ayant subi un dommage matériel ou moral du fait d’une violation du règlement le droit d’en obtenir réparation auprès du responsable du traitement ou du sous-traitant Le responsable du traitement ou le sous-traitant ne s’en exonère qu’en prouvant que le fait dommageable ne lui est nullement imputable, et les actions en réparation se portent devant les juridictions désignées par le droit national. Rappelons le principe posé par l’article 82, paragraphe 1, du règlement : ce droit à réparation est ouvert sans exiger ni faute lucrative ni intention de la part du responsable. Pour un client français, il s’agit du tribunal judiciaire, avec constitution de partie civile possible si une procédure pénale est en cours.

La Cour de justice de l’Union européenne a précisé le régime de ce droit dans son arrêt du 4 mai 2023, Österreichische Post, affaire C-300/21 : la simple violation du règlement ne suffit pas à ouvrir droit à indemnisation, un dommage réel doit être démontré, mais aucun seuil de gravité n’est exigé et la crainte ou l’inquiétude avérée peut, selon les cas, constituer un préjudice moral réparable (voir la fiche de l’affaire sur InfoCuria). Concrètement, conservez tout élément matérialisant votre dommage : temps passé à sécuriser vos comptes, frais d’opposition ou de réédition, débits frauduleux, refus de crédit, anxiété médicalement constatée, temps d’indisponibilité professionnelle. Un dossier chiffré et daté vaut mieux qu’une affirmation générale.

Les juridictions françaises indemnisent le préjudice moral résultant d’une divulgation illicite de données personnelles dès lors qu’il est établi. Le tribunal judiciaire d’Aix-en-Provence a ainsi condamné un syndic ayant diffusé à l’ensemble des copropriétaires des données protégées de deux époux, dont des données de santé, à verser à chacun 1 000 euros de dommages et intérêts en réparation de leur préjudice moral, tout en ordonnant l’effacement des données sur le fondement de l’article 17 du règlement et la notification de cet effacement aux destinataires sur le fondement de son article 19 (tribunal judiciaire d’Aix-en-Provence, 5 août 2025, n° 22/03891). Le tribunal a retenu que la diffusion d’informations portant atteinte à la vie privée avait nécessairement causé un préjudice moral lié aux tracas subis, documenté en l’espèce par des certificats médicaux faisant état d’épuisement, d’asthénie, d’anxiété et d’insomnie. À l’inverse, il a refusé toute indemnisation pour les enfants en bas âge, faute de préjudice moral spécifique établi à leur égard. L’enseignement est net : le préjudice moral s’indemnise, mais il se prouve, personne par personne, pièces à l’appui.

Pour les lecteurs confrontés à une fuite de données après une cyberattaque visant un organisme de formation ou un prestataire, la méthode décrite dans le présent article se combine avec les démarches propres à chaque fichier exposé : copie des données détenues, opposition à la prospection, effacement et plainte CNIL. Chaque violation appelle sa propre démonstration, car les données exposées, les usages frauduleux redoutés et les préjudices diffèrent.

Reste la question du chiffrage, décisive pour l’issue du procès. Distinguez le préjudice patrimonial, qui se justifie par factures, relevés et attestations, du préjudice moral, qui s’établit par tout élément attestant de l’atteinte subie : certificats médicaux en cas d’anxiété ou de troubles du sommeil, attestations de proches, journal des démarches accomplies avec le temps passé. Réclamez également, le cas échéant, le remboursement des frais exposés pour faire valoir vos droits, tels que les constats et les frais de procédure, en les produisant devant le juge. Une demande précise, ventilée poste par poste et adossée à des pièces datées, obtient plus sûrement réparation qu’une somme globale sans justification, comme le montrent les décisions qui allouent des montants mesurés mais effectifs dès lors que chaque poste est démontré.

Surveillez enfin le délai d’action. En droit français, « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer. » Il s’agit de l’article 2224 du code civil. Le point de départ court donc, en pratique, du jour où vous avez connu la fuite et le préjudice, par exemple la notification reçue ou la découverte des débits. Sans attendre l’issue de l’enquête pénale ni celle de la procédure CNIL, qui obéissent à leurs propres calendriers, faites constater vos droits dans ce délai : mise en demeure au responsable du traitement, réclamation CNIL et assignation devant le tribunal judiciaire peuvent avancer en parallèle, chacune avec son objet propre.

Conclusion

Un SMS ou un e-mail frauduleux reçu après une cyberattaque visant votre enseigne ne doit ni être cliqué dans l’urgence ni être ignoré : vérifiez l’expéditeur par un canal indépendant, conservez la notification de violation et le message suspect avec leurs métadonnées, signalez aux guichets compétents, alertez votre banque sans délai en cas d’opération financière et déposez plainte, y compris contre X. La réparation suppose ensuite un dommage prouvé, évalué et daté, porté devant le tribunal judiciaire dans le délai de prescription.

Rappelons les réserves qui encadrent cette analyse : à la date de rédaction, aucune intrusion dans les fichiers de clientèle, aucun dommage subi par des clients ni aucune responsabilité d’une enseigne ou d’un prestataire n’est constaté par une source officielle relativement à l’attaque décrite par la presse ; les contrats signés priment sur toute analyse générale et seul le juge, saisi des pièces de chaque dossier, dira le droit applicable aux faits établis.