Le 12 octobre 2026, Infogreffe, le service de diffusion de l’information légale issue des greffes des tribunaux de commerce, a confirmé avoir identifié un incident de cybersécurité, deux jours après qu’un collectif se présentant sous le nom de LunarisSec a revendiqué plus de 3,7 millions de lignes de données, selon le site spécialisé Cyberattaque.org qui a révélé l’affaire le 10 octobre 2026. L’organisme précise que l’incident concerne, je cite sa communication telle que rapportée par ce site, un environnement technique d’une plateforme digitale actuellement en cours de développement, et affirme qu’à ce stade de ses investigations aucun impact sur les services en production ni sur l’activité des greffes n’a été identifié. Aucune intrusion dans les services en production, aucun vol de données confirmé par une source officielle et aucune responsabilité établie à la date de rédaction : les lignes revendiquées par les attaquants ne sont pas validées par l’organisme, qui indique que les éléments analysés concernent essentiellement des informations techniques. Les développements qui suivent en tiennent compte : ils décrivent les vérifications utiles et les décisions à prendre dans toute situation comparable, les contrats signés priment sur toute analyse générale, et seul le juge, saisi des faits prouvés, dira qui doit quoi à qui.

Concrètement, trois niveaux d’acteurs professionnels sont concernés en cascade. D’abord les entreprises immatriculées, dont l’identité légale — dénomination, siège, dirigeants, procédures collectives, état d’endettement — transite par ce portail : elles doivent vérifier que leurs données n’ont pas été altérées ni réutilisées, figer leurs preuves et signaler. Ensuite leurs fournisseurs, clients et créanciers, qui reçoivent chaque jour des extraits Kbis, des relevés d’identité bancaire et des ordres de virement au nom de ces entreprises : ils sont exposés à la seconde vague, celle de l’usurpation et du faux RIB, et doivent durcir leurs contrôles avant tout paiement. Enfin les prestataires eux-mêmes — éditeurs, hébergeurs, plateformes — dont la responsabilité contractuelle sera examinée à l’aune de leurs engagements de sécurité et de leurs clauses limitatives. La carte qui suit donne, pour chacun, les preuves à détenir et les décisions à prendre, à partir de textes en vigueur et de décisions rendues par les juridictions françaises.

I. L’entreprise fichée au registre : vérifier son identité, figer ses preuves, préparer ses recours

A. Contrôler ce que le registre dit de vous et conserver ce qui le prouve

Le registre du commerce et des sociétés n’est pas un annuaire comme les autres : c’est le lieu où l’existence juridique de l’entreprise est rendue publique. Aux termes de l’article L. 123-1 du code de commerce, « Il est tenu un registre du commerce et des sociétés auquel sont immatriculés, sur leur déclaration » les commerçants, les sociétés et les groupements d’intérêt économique, et « Figurent au registre, pour être portés à la connaissance du public, les inscriptions et actes ou pièces déposés prévus par décret en Conseil d’Etat. ». Parce que ces mentions sont publiques, elles irriguent toute la vie des affaires : avant de signer, de livrer ou de payer, les professionnels consultent ou commandent des extraits Kbis, des comptes annuels, des informations sur les dirigeants ou sur les procédures collectives. C’est précisément cette confiance qui rend toute rumeur d’atteinte au portail sensible : si les données d’identification d’une société peuvent être copiées, détournées ou altérées, c’est la capacité de ses partenaires à vérifier qui elle est qui se trouve fragilisée.

La première décision appartient donc à chaque entreprise immatriculée : vérifier, dès maintenant, ce que le registre dit d’elle. Commander un extrait Kbis récent et le comparer aux mentions connues — dénomination exacte, adresse du siège, identité du représentant légal, montant du capital — permet de détecter une anomalie. Activer, lorsqu’elle existe, une surveillance de son entreprise et de ses dirigeants auprès des fournisseurs d’information légale permet d’être alerté de toute modification ou de toute consultation inhabituelle. Conserver les journaux de ses propres outils — relevés de commandes d’extraits, historiques de modifications statutaires déposées au greffe, récépissés de dépôt — constitue le dossier de preuve qui permettra, le cas échéant, de démontrer ce qui a changé, quand, et à l’initiative de qui.

L’expérience des sociétés usurpées montre que cette discipline probatoire est décisive. Dans un arrêt du 13 novembre 2025, la cour d’appel de Grenoble a eu à trancher le cas d’une société dont l’identité avait été reprise par une entité fictive au nom voisin, qui utilisait son numéro d’immatriculation, son adresse et le nom de son dirigeant pour vendre du matériel jamais livré (CA Grenoble, chambre commerciale, 13 novembre 2025, RG 25/00789). La cour a relevé que l’extrait Kbis produit par la vraie société ne concordait avec les documents frauduleux que sur le seul numéro d’immatriculation, que l’adresse électronique et les coordonnées bancaires différaient, et que la société avait déposé plainte dès qu’elle avait eu connaissance de l’usurpation puis multiplié les signalements auprès des services gouvernementaux. Elle en a déduit que la preuve d’un contrat avec la vraie société n’était pas rapportée et que la demande formée contre elle, y compris sur le fondement délictuel, se heurtait à des contestations sérieuses : l’ordonnance de référé qui l’avait condamnée à payer a été infirmée en toutes ses dispositions. Trois enseignements s’en dégagent pour toute entreprise dont les données d’identification circulent : détenir un Kbis à jour et cohérent avec ses documents commerciaux, réagir vite et par écrit dès la découverte d’un usage frauduleux — plainte et signalement —, et conserver la trace de chaque démarche, car c’est cette diligence documentée qui permet de distinguer la société usurpée de l’usurpateur.

Symétriquement, l’entreprise fichée doit surveiller l’usage qui est fait de son nom dans ses propres relations : alerter ses fournisseurs et ses clients habituels qu’aucun changement de coordonnées bancaires, de contact ou de procédure de facturation n’a été décidé, et leur indiquer un canal de vérification unique — un numéro connu, une adresse déjà utilisée — par lequel confirmer toute instruction inhabituelle. En pratique, cette vérification prend quelques minutes et devrait entrer dans les routines périodiques de l’entreprise : commander un extrait récent, rapprocher chaque mention des statuts et des déclarations effectuées, et en cas d’écart — adresse modifiée sans décision sociale, dirigeant inconnu, procédure mentionnée à tort — saisir par écrit le greffe du tribunal de commerce pour signaler l’anomalie, tout en conservant copie de chaque échange. Si l’entreprise recourt à un prestataire de surveillance ou à un cabinet comptable pour suivre ces informations, elle lui transmet sans délai l’alerte et lui demande une attestation de ce qui a été contrôlé : en cas de litige ultérieur, ces pièces établiront que l’entreprise n’est pas restée passive face à la circulation de ses données d’identification.

Cette information préventive, envoyée par un canal authentifié et conservée, est à la fois une mesure de protection des partenaires et une pièce du dossier : elle établit que l’entreprise a agi en professionnelle diligente.

B. Ce que l’entreprise peut attendre — et exiger — de la plateforme mise en cause

Lorsque l’incident touche un prestataire ou une plateforme dont l’entreprise est cliente ou utilisatrice, la tentation est grande d’attendre une indemnisation automatique. Le droit français est plus exigeant : il faut prouver une faute ou un manquement, un préjudice et un lien entre les deux, et les clauses du contrat encadrent strictement la réparation. Deux décisions récentes illustrent ce triptyque et ses limites.

D’abord, l’incendie des centres de données d’un grand hébergeur français en mars 2021 a donné lieu à un arrêt de la cour d’appel de Douai du 4 juin 2026 qui mérite une lecture attentive (CA Douai, chambre 2 section 2, 4 juin 2026, RG 24/00967). L’association cliente, dont l’application de gestion avait été détruite avec le serveur, invoquait la force majeure pour écarter les clauses limitatives, ou à l’inverse leur caractère abusif pour les faire réputer non écrites. La cour a rejeté les deux branches : elle a refusé de reconnaître la force majeure au sens de « Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. », tout en validant les clauses plafonnant la réparation, rappelant qu’une clause limitative librement connue et acceptée répartit licitement la charge des risques entre professionnels, dès lors qu’elle ne tombe pas sous le coup de « Toute clause qui prive de sa substance l’obligation essentielle du débiteur est réputée non écrite. ». Surtout, la cour a jugé que le seul préjudice établi — la privation temporaire de la contrepartie du prix payé — avait déjà été intégralement réparé par l’avoir accordé, et a débouté la cliente du surplus, faute de préjudice distinct démontré. Pour l’entreprise utilisatrice d’une plateforme fragilisée, la leçon est nette : relire le contrat avant de réclamer, identifier l’obligation précise qui aurait été manquée — disponibilité, sauvegarde, information —, chiffrer chaque préjudice pièce par pièce, et ne pas compter sur la seule ampleur médiatique de l’incident pour obtenir réparation.

Ensuite, la cour d’appel de Reims a précisé le partage des responsabilités entre un prestataire informatique et son client après un incident ayant paralysé le système de gestion d’une société (CA Reims, chambre civile et commerciale, 28 avril 2026, RG 24/01502). Le prestataire est tenu d’une obligation de moyens renforcée — prouver qu’il a accompli toutes diligences et délivré les mises en garde nécessaires — mais le client a, de son côté, un devoir de collaboration : exposer ses besoins, notamment par un cahier des charges, et participer à la réussite du projet. Faute de part et d’autre, la cour a partagé la responsabilité par moitié et condamné le prestataire à réparer 50 % des seuls préjudices prouvés — perte d’exploitation, remise en état, rançon versée — en rejetant le surplus. Transposée à une plateforme en cause dans un incident de sécurité, cette jurisprudence invite l’entreprise cliente à documenter sa propre diligence : sauvegardes externes régulières, habilitations limitées, mises à jour, consignes internes de vérification. Car en cas de litige, le débat ne portera pas seulement sur la sécurité fournie par le prestataire, mais aussi sur les précautions prises par le client, et l’indemnisation sera réduite à proportion de ses propres manquements.

Reste la question des données personnelles : lorsqu’un incident expose des données de personnes physiques — dirigeants, contacts clients, utilisateurs —, le règlement européen impose au responsable du traitement de notifier l’autorité de contrôle dans les meilleurs délais et si possible sous soixante-douze heures, puis d’informer les personnes concernées lorsque le risque est élevé, tandis que le sous-traitant doit alerter le responsable sans retard. Ces obligations existent indépendamment de toute revendication publique et de tout communiqué : l’entreprise qui traite des données doit donc qualifier elle-même l’incident, avec son conseil et son délégué à la protection des données, sans attendre que le prestataire ait terminé ses investigations. À ce stade, et selon la communication rapportée par la presse spécialisée, Infogreffe indique que les éléments analysés concernent essentiellement des informations techniques, qu’aucune donnée métier des greffes ni aucun mot de passe n’a été identifié dans les éléments publiés, qu’une cellule de crise a été déclenchée et que des experts ont été mobilisés : ces éléments, s’ils sont confirmés, jouent en faveur de l’organisme et devront être pris en compte dans toute appréciation ultérieure, qui appartient au juge et à l’autorité de contrôle, pas aux commentateurs.

II. Les fournisseurs, clients et créanciers : ne pas payer deux fois, réagir dans l’heure

A. Le virement parti sur un faux RIB reste dû : la vigilance avant le clic

La seconde vague est la plus coûteuse : munis de données d’identification exactes — dénomination, siège, nom du dirigeant, numéros d’immatriculation — les fraudeurs adressent aux partenaires de l’entreprise des messages parfaitement habillés annonçant un changement de coordonnées bancaires, puis encaissent les virements. Or, en droit français, payer un escroc ne libère pas de sa dette envers le vrai créancier. Le tribunal de commerce de Bordeaux vient de le rappeler avec une netteté pédagogique dans un jugement du 11 août 2026 opposant deux sociétés après le détournement du solde d’une facture de 17 940 euros (Trib. com. Bordeaux, 11 août 2026, RG 2025F02096). Le débiteur, qui avait viré sur les coordonnées reçues par un courriel frauduleux le jour même de la facture, invoquait le paiement fait de bonne foi à un créancier apparent, valable aux termes de « Le paiement fait de bonne foi à un créancier apparent est valable ». Le tribunal a rappelé le principe inverse : « Le paiement doit être fait au créancier ou à la personne désignée pour le recevoir », et celui qui se prétend libéré doit le prouver, conformément à « celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation ». Puis il a disséqué le message frauduleux : adresse expéditrice altérée d’une lettre à quatre reprises, double horaire d’envoi incompatible, deux polices de caractères, reprise d’un extrait d’un message authentique, absence de relevé joint avec simple recopie d’un IBAN sans nom de titulaire, code BIC d’un établissement notoirement réservé aux particuliers, et changement soudain alors que l’acompte avait été réglé sans difficulté sur les vraies coordonnées. Faute de vérification préalable, le paiement n’a pas été jugé libératoire : la société a été condamnée à payer une seconde fois, avec intérêts au taux légal à compter de la mise en demeure, en application de « l’intérêt au taux légal, à compter de la mise en demeure ». Qui paie mal paie deux fois : telle est la règle que toute entreprise doit avoir en tête avant de valider un nouveau relevé.

Cette exigence de vigilance pèse d’autant plus sur les structures organisées. Le tribunal a souligné que la société, employant plus de vingt salariés avec un service comptable dédié et un règlement traité au niveau de la direction, ne pouvait ignorer un faisceau d’indices aussi concordants, à une époque où la fraude au virement est largement documentée. Concrètement, chaque entreprise doit donc écrire et appliquer une procédure de changement de coordonnées bancaires : tout nouveau relevé est vérifié par un second canal déjà connu — appel au numéro enregistré, et non à celui figurant dans le message —, les pièces d’identité du compte sont exigées, et le premier règlement fait l’objet d’un contrôle renforcé. Former les équipes qui paient est l’autre versant de cette vigilance : la comptabilité et la direction doivent connaître les signaux d’alerte — adresse légèrement altérée, urgence artificielle, changement de pays de destination, pièces jointes absentes — et disposer d’une instruction écrite leur interdisant de modifier des coordonnées bancaires sur la seule foi d’un message, même vraisemblable. Le dossier de chaque vérification — captures, journaux d’appels, courriels de confirmation — doit être conservé : en cas de litige, c’est au débiteur de prouver sa bonne foi et l’apparence légitime du destinataire, et cette preuve se prépare avant le virement, jamais après.

Faut-il pour autant se retourner contre sa banque pour récupérer les fonds ? La cour d’appel de Bordeaux a fixé les limites de ce recours dans un arrêt du 18 février 2025 opposant une société victime d’une fraude au faux fournisseur à son établissement bancaire (CA Bordeaux, 4e chambre civile, 18 février 2025, RG 23/02920). La société avait elle-même ordonné cinq virements vers des comptes polonais en croyant payer son fournisseur, dont l’interlocutrice avait été usurpée, puis réclamait à la banque le remboursement de 31 000 euros. La cour a écarté le régime des opérations non autorisées : la banque s’était bornée à exécuter exactement les ordres donnés, et « Un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique. », de sorte que « Si l’identifiant unique fourni par l’utilisateur du service de paiement est inexact, le prestataire de services de paiement n’est pas responsable de la mauvaise exécution ou de la non-exécution de l’opération de paiement. ». Sur le devoir de vigilance du banquier, la cour a rappelé le principe de non-ingérence : la banque ne détecte que les anomalies apparentes, et en l’espèce ni le rythme, ni les montants modestes au regard du chiffre d’affaires, ni le destinataire désigné — le fournisseur habituel —, ni la destination, un pays de l’Union européenne offrant des garanties juridiques, ne présentaient une telle anomalie. La demande de remboursement a été rejetée et le jugement confirmé. Pour les entreprises, la conséquence est directe : lorsque l’ordre émane bien d’elles, même trompées, la banque qui a exécuté l’identifiant fourni n’a pas à rembourser, et le combat se déplace vers la récupération des fonds et la plainte pénale.

B. Les gestes qui sauvent dans l’heure : rappel des fonds, plainte, conservation

Quand le virement frauduleux est parti, chaque heure compte, mais sans illusion : la récupération — le recall — est une obligation de moyens, pas de résultat. La cour d’appel de Colmar l’a illustré le 14 septembre 2026 dans une affaire d’hameçonnage par usurpation du numéro de la banque (CA Colmar, 3e chambre civile, 14 septembre 2026, RG 25/02153). Le client contestait un virement de 8 000 euros qu’il niait avoir autorisé ; la banque, qui devait rembourser sans délai une opération non autorisée, s’en est tenue à un dédommagement partiel. La cour a rejeté le remboursement intégral mais a sanctionné la tardiveté du rappel des fonds : faute pour la banque de justifier avoir engagé la procédure dans un délai raisonnable — seule une restitution de quelques euros, plus de cinq mois après, était établie —, elle a retenu une perte de chance de recouvrer la somme, évaluée à 10 %, et condamné la banque à 800 euros. Pour l’entreprise victime, le mode d’emploi est donc le suivant : contester par écrit auprès de sa banque immédiatement, exiger l’engagement formel et daté d’une demande de retour des fonds, en conserver la preuve, et relancer sans relâche, car tout retard du prestataire, mesuré en jours, sera examiné par le juge. Parallèlement, déposer plainte sans attendre — pour escroquerie, « le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi » à remettre des fonds — et signaler les messages frauduleux sur les plateformes prévues à cet effet : la plainte ouvre l’enquête et interrompt le sentiment d’impunité, le signalement protège les autres, et les deux figent la chronologie des diligences.

La conservation des preuves, enfin, doit être pensée comme un réflexe d’entreprise, pas comme une tâche d’informaticien. En-têtes complets des messages suspects, fichiers joints non ouverts mais préservés, journaux de connexion, enregistrements des vérifications téléphoniques, copies des relevés et des ordres : tout ce qui permettra de reconstituer le faisceau d’indices — ou son absence — doit être archivé sans altération, avec dates et auteurs. C’est ce dossier qui fera la différence entre le débiteur de bonne foi trompé par une apparence indécelable et celui dont la négligence aura coûté un double paiement ; entre le client d’une plateforme qui démontre son préjudice pièce par pièce et celui qui invoque l’incident en général ; entre la société usurpée qui a porté plainte et alerté ses partenaires et celle qui a laissé courir. Face à une crise qui se propage, les entreprises qui s’en sortent le mieux ne sont pas celles qui n’ont pas été touchées, mais celles qui peuvent prouver, documents à l’appui, ce qu’elles ont vérifié, quand elles l’ont fait et qui elles ont alerté. Pour structurer cette défense — audit des contrats avec la plateforme, mise en demeure, action en responsabilité, dépôt de plainte et gestion de la seconde vague — l’appui d’un accompagnement en droit des affaires à Paris permet de transformer l’urgence subie en dossier maîtrisé, où chaque décision est tracée et chaque préjudice chiffré.

À la date de rédaction, rappelons-le, aucun accident, aucune intrusion dans les services en production ni aucun dommage subi par une entreprise cliente n’a été constaté par une source officielle : l’incident confirmé le 12 octobre 2026 porte, selon l’organisme, sur un environnement en développement et des éléments essentiellement techniques, et le volume revendiqué n’est pas validé. Aucune responsabilité n’est établie, ni celle du portail, ni celle d’un prestataire, ni celle d’une entreprise qui aurait payé sur de fausses coordonnées : les contrats signés priment sur toute analyse générale, et seul le juge, au vu des preuves rapportées par chacun, tranchera les litiges nés de cette crise. En attendant, vérifier son Kbis, figer ses preuves, durcir ses paiements et écrire ses diligences : voilà les quatre décisions que chaque entreprise de la chaîne peut prendre dès aujourd’hui.