Le vendredi 2 octobre 2026, le revendeur informatique LDLC a commencé à prévenir ses clients par courrier électronique qu’un « acte malveillant » avait permis un accès non autorisé à l’un de ses systèmes d’information. Selon le message, relayé par Next, Numerama et 01net le 2 octobre puis analysé par Leto.legal le 5 octobre 2026, une consultation de certaines données serait possible : nom, prénom, adresse postale, adresse électronique, téléphones fixe et mobile, numéro de fax dans certains cas, langue du client, type de salutation, code client technique, type de client — particulier ou professionnel —, date d’inscription et date de dernière connexion au compte web. Selon l’entreprise, les relevés d’identité bancaire, les numéros de carte bancaire, les identifiants de connexion et les mots de passe ne seraient pas concernés. LDLC indique avoir isolé la partie concernée de son infrastructure, révisé la stratégie d’accès correspondante et notifié l’incident à la CNIL, tout en appelant ses clients à une vigilance particulière face aux tentatives d’hameçonnage dans les semaines suivantes.
La question que pose cet incident aux entreprises dépasse le simple signalement : lorsqu’un fournisseur informatique habituel annonce que les données de ses clients professionnels ont pu être consultées, qui doit faire quoi, avec quelles preuves et dans quel ordre ? La réponse tient en une carte des décisions. L’entreprise cliente conserve le courrier et reconstitue ce que le fournisseur détenait sur elle et ses salariés ; elle vérifie ce que le droit impose déjà au fournisseur, du délai de notification à l’information des personnes ; puis elle organise sa propre cascade interne, car les données d’un compte professionnel exposent des salariés, des adresses de fonction et parfois des partenaires, cibles désignées de la seconde vague d’hameçonnage qui suit presque toujours ce type d’incident.
Dès ce stade, les réserves s’imposent et bornent tout le raisonnement. LDLC parle d’une consultation possible, non d’une exfiltration établie ; ni le nombre de personnes concernées, ni la date de l’intrusion, ni la méthode employée, ni l’identité de l’attaquant n’ont été précisés dans le courrier relayé par la presse. Aucune intrusion supplémentaire ni aucun dommage définitif n’a été constaté par une source officielle à la date de rédaction au-delà des faits publiés par l’entreprise elle-même, aucune responsabilité n’est établie, les contrats signés entre les acteurs priment sur toute analyse générale, et seul le juge, saisi des pièces de chacun, dira qui doit quoi à qui. Selon le décompte de Next, il s’agirait du quatrième incident de ce type pour le revendeur depuis 2021, après notamment le vol des données de 1,5 million de clients en février 2024 : un antécédent qui éclaire les questions de sécurité, sans préjuger d’aucune faute.
I. L’entreprise cliente face au courrier du fournisseur : lire, conserver, qualifier
Le premier réflexe de l’entreprise cliente n’est pas juridique au sens contentieux, il est documentaire. Tout ce qui suivra — information des salariés, discussion avec l’assureur, mise en cause éventuelle du fournisseur — dépendra de la qualité du dossier constitué dans les premiers jours. Le courrier du 2 octobre est une pièce, et il doit être traité comme tel.
A. Ce que le courrier dit, ce qu’il tait, et les preuves à figer sans attendre
Le message de LDLC, tel que relayé par la presse spécialisée, présente un profil classique de notification prudente. Il décrit un « acte malveillant » et un accès non autorisé « susceptible d’avoir entraîné la consultation » de certaines données, formule qui engage l’entreprise sur un possible et non sur un avéré. La liste des données potentiellement consultées est précise et, pour une entreprise cliente, parlante : outre l’identité et les coordonnées des titulaires de comptes, elle comprend le code client technique, le type de client — particulier ou professionnel — et les dates d’inscription et de dernière connexion. Autrement dit, le fichier litigieux permettrait de distinguer les comptes professionnels des comptes personnels, et donc de cibler des entreprises, leurs acheteurs, leurs adresses de fonction et leurs habitudes de commande de matériel informatique.
Ce que le courrier ne dit pas compte presque autant. Comme le relève Numerama, il ne précise ni le nombre de personnes concernées, ni la date de l’intrusion, ni la méthode employée, ni l’identité de l’attaquant. Ces silences ne sont pas nécessairement des manquements — le nombre de personnes touchées n’est pas une mention obligatoire du courrier adressé aux clients, comme le rappelle l’analyse de Leto.legal — mais ils fixent les limites de ce que l’entreprise cliente peut tenir pour établi. Elle sait que ses données ont pu être consultées ; elle ne sait ni depuis quand, ni par qui, ni dans quel volume.
Le dossier à constituer comprend donc, en premier lieu, le courrier lui-même, conservé dans son intégralité avec ses en-têtes techniques, car la date et l’expéditeur exacts feront foi en cas de discussion sur les délais. En second lieu, l’entreprise reconstitue ce que le fournisseur détenait réellement sur elle : extraits de comptes LDLC et LDLC Pro, bons de commande, factures, liste des collaborateurs disposant d’un accès au compte, adresses électroniques professionnelles utilisées. En troisième lieu, elle fige l’état de ses propres systèmes à la date de réception du courrier : journaux de connexion des comptes concernés, règles de messagerie, historique des ordres passés par l’intermédiaire du fournisseur. C’est ce dossier qui permettra, le moment venu, de démontrer quelles données étaient exposées, quelles personnes étaient joignables à quelles adresses, et quelles mesures ont été prises sans tarder.
Un point mérite une attention particulière : les données exclues par le courrier. Selon l’entreprise, les relevés d’identité bancaire, les numéros de carte bancaire, les identifiants et les mots de passe ne seraient pas concernés. Si cette délimitation se confirme, le risque direct de détournement bancaire via les données du fournisseur serait écarté, et la menace se concentrerait sur l’usurpation d’identité et l’hameçonnage ciblé. Mais une exclusion annoncée dans un courrier ne vaut que ce que l’instruction technique confirmera : l’entreprise cliente a intérêt à vérifier ses relevés et à maintenir sa vigilance bancaire, sans céder pour autant à la panique ni au déni.
B. Ce que le droit impose déjà au fournisseur : notification, information et sécurité
Le fournisseur qui subit une violation de données personnelles n’est pas libre de sa communication : il est tenu par le règlement général sur la protection des données, dont les articles 33 et 34 organisent deux obligations distinctes. La première pèse à l’égard de l’autorité de contrôle. Le règlement impose au responsable du traitement de notifier la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, au plus tard 72 heures après en avoir pris connaissance, sauf si elle n’est pas susceptible d’engendrer un risque pour les droits et libertés des personnes (article 33 du règlement sur le site de la CNIL). LDLC a indiqué avoir notifié l’incident à la CNIL, ce qui, si la notification est intervenue dans le délai, satisfait l’exigence de célérité. Lorsque la notification n’intervient pas dans les 72 heures, elle doit être accompagnée des motifs du retard : l’entreprise cliente qui suit le dossier peut donc légitimement s’enquérir de la date de la notification, sans pour autant disposer d’un droit d’accès direct à son contenu.
La seconde obligation vise les personnes concernées elles-mêmes. Lorsque la violation est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable doit la lui communiquer dans les meilleurs délais (article 34 du règlement sur le site de la CNIL). Le courrier du 2 octobre constitue cette communication : il décrit la nature de la violation en termes clairs, donne un point de contact, expose les conséquences probables — fraude et hameçonnage — et indique des mesures, avec des conseils concrets tels que ne pas cliquer sur les liens reçus par SMS ou courrier électronique et ne jamais communiquer identifiants ou coordonnées bancaires par ces canaux. Sur la forme, le message coche l’essentiel de ce que l’article 34 attend. Il existe toutefois des cas où cette communication individuelle n’est pas exigée, notamment si le responsable a appliqué aux données affectées des mesures qui les rendent incompréhensibles aux personnes non autorisées, « telles que le chiffrement » : la question de savoir si les données concernées étaient chiffrées reste donc ouverte et structurera l’appréciation du risque élevé.
Au-delà de la notification, c’est l’obligation de sécurité qui retiendra l’attention des entreprises clientes, surtout face à un quatrième incident en cinq ans. Le règlement exige du responsable du traitement et du sous-traitant des mesures techniques et organisationnelles appropriées pour garantir un niveau de sécurité adapté au risque, en tenant compte de l’état des connaissances, des coûts et de la nature du traitement — dont, selon les besoins, la pseudonymisation et le chiffrement des données (article 32 du règlement sur le site de la CNIL). La répétition des incidents, documentée par Next depuis l’attaque attribuée au groupe Ragnar Locker en 2021, pose la question de l’efficacité dans le temps des mesures correctrices : une violation ne se clôt pas avec la notification, et le travail utile commence après, quand les causes sont tracées et les systèmes voisins vérifiés. Pour l’entreprise cliente, cette dimension conditionne l’avenir de la relation commerciale — maintien, renégociation des garanties contractuelles ou changement de fournisseur — bien plus que la seule réception du courrier.
Le volet pénal de l’intrusion, enfin, n’appartient pas aux parties mais au ministère public, avec constitution de partie civile possible pour les victimes. « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende ». La Cour de cassation a récemment précisé la portée de cette incrimination dans un arrêt du 2 septembre 2025 : « se rend coupable de l’infraction prévue par l’article 323-1 du code pénal celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès à la messagerie ». L’arrêt concernait un administrateur réseau salarié qui consultait occultement la messagerie de son gérant et avait été condamné à trois mois d’emprisonnement avec sursis, avec 10 000 euros de préjudice moral pour perte de confiance. La situation d’un attaquant extérieur ne s’arrête d’ailleurs pas à l’intrusion : dès lors qu’il extrait ou détient les données du système, un autre texte entre en jeu : « Le fait d’introduire frauduleusement des données dans un système de traitement automatisé, d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient est puni de cinq ans d’emprisonnement et de 150 000 € d’amende ». La situation d’un attaquant extérieur s’introduisant dans le système d’un fournisseur informatique relève du même texte, sous la qualification d’accès frauduleux : l’entreprise cliente qui dépose plainte s’inscrit dans cette répression, et sa plainte, jointe au dossier documentaire, contribue à établir la réalité et la date de l’atteinte.
II. La cascade vers les salariés, les partenaires et les faux fournisseurs
Si la première partie concernait la relation bilatérale entre le fournisseur et l’entreprise cliente, la seconde suit l’effet domino proprement dit : les données d’un compte professionnel ne désignent jamais une seule personne. Elles exposent les salariés dont les coordonnées figurent dans le fichier, les partenaires dont les adresses apparaissent dans les échanges commerciaux, et l’entreprise elle-même face à des interlocuteurs qui se prévaudront de ces informations pour paraître légitimes.
A. La seconde vague : quand des données vraies servent de faux messages
Le courrier de LDLC appelle à une « vigilance particulière dans les prochaines semaines » face aux tentatives d’hameçonnage, et cet avertissement mérite d’être pris au pied de la lettre par les entreprises clientes. Une fiche client complète — nom, fonction probable déduite de l’adresse professionnelle, historique d’achats informatiques, date de dernière connexion — permet de rédiger des messages extrêmement crédibles : confirmation de commande piégée, demande de mise à jour des coordonnées de livraison, faux support technique du fournisseur, facture à régler sur un nouveau relevé d’identité bancaire. Les salariés du service achats, de la comptabilité et de l’informatique sont les premiers exposés, précisément parce que leurs adresses figurent dans les comptes professionnels du fournisseur.
La parade est organisationnelle avant d’être technique. L’entreprise informe sans délai les collaborateurs concernés que leurs coordonnées professionnelles ont pu être consultées dans le cadre de l’incident déclaré par le fournisseur, en s’en tenant strictement à ce que le courrier établit : ni plus — aucune donnée bancaire ne serait concernée selon l’entreprise — ni moins — l’hameçonnage ciblée reste probable. Elle rappelle les consignes opposables : vérification systématique de l’expéditeur réel, interdiction de cliquer sur les liens d’un message inattendu même lorsqu’il reprend des informations exactes, double validation orale de tout changement de coordonnées bancaires d’un fournisseur, signalement interne centralisé des messages suspects. Ces mesures se documentent — note interne datée, accusés de lecture, journal des signalements — car elles démontreront, en cas de fraude ultérieure, que l’entreprise a agi en gestionnaire diligent dès la réception du courrier.
C’est ici que l’expérience des fraudes aux faux fournisseurs éclaire la vigilance. Le 18 février 2025, la cour d’appel de Bordeaux a statué sur le cas d’une société qui avait réglé 31 000 euros de virements vers des comptes situés en Pologne en pensant payer l’un de ses fournisseurs, avant de déposer plainte pour escroquerie : la cour a confirmé que la banque n’avait pas manqué à son devoir de vigilance, relevant que la série de virements litigieux ne présentait, selon la cour, « pas d’anomalie apparente » de nature à alerter la banque, les opérations s’inscrivant dans les habitudes de la société. La leçon pour l’entreprise cliente est double et sévère : d’une part, le fraudeur qui connaît les vraies relations d’affaires — précisément ce que livre un fichier client piraté — produit des instructions de paiement sans anomalie apparente ; d’autre part, la banque qui exécute des ordres réguliers en apparence n’en répondra pas, et la perte restera à la charge de l’entreprise trompée. La vérification indépendante de tout changement de coordonnées bancaires, par un canal distinct du message qui l’annonce, n’est donc pas une formalité : c’est la seule barrière entre une tentative et une perte définitive.
La conservation des preuves accompagne cette vigilance. Chaque message suspect fait l’objet d’une préservation intégrale — en-têtes, pièces jointes, liens — et d’un signalement sur la plateforme dédiée, sans suppression prématurée. Sur ce terrain probatoire, la jurisprudence récente rappelle l’équilibre à tenir entre droit à la preuve et protection des données personnelles. Le 3 octobre 2024, la deuxième chambre civile de la Cour de cassation a fixé la méthode que le juge doit suivre : « Il appartient au juge saisi, en référé ou au fond, d’une demande de communication de documents concernant des tiers à l’instance et contenant des données à caractère personnel : – de rechercher, d’abord, si cette communication n’est pas nécessaire à l’exercice du droit à la preuve et proportionnée au but poursuivi, ensuite, si les éléments dont la communication est demandée sont de nature à porter atteinte aux libertés et droits fondamentaux des personnes physiques concernées, et en particulier leur droit à la protection des données à caractère personnel ». Autrement dit, les pièces collectées après l’incident — journaux, courriers, signalements — devront, si un litige naît, être produites de façon ciblée et proportionnée, sans verser au dossier l’intégralité des données personnelles des salariés ou des tiers. La discipline de collecte commence dès maintenant : on conserve tout ce qui établit les faits, on ne diffusera en justice que ce qui est nécessaire. Cette discipline répond à la règle de base du procès civil : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation ». L’entreprise qui réclamera réparation au fournisseur prouvera le manquement ; le fournisseur qui se prétendra libéré justifiera ses mesures.
B. Les décisions, acteur par acteur : registre, contrats, assurance et recours
Une fois la première vague de mesures prises, l’entreprise cliente structure sa position durable autour de quatre chantiers, menés en parallèle et documentés chacun.
Premier chantier, la situation des personnes. L’entreprise cliente n’est pas le responsable du traitement des données détenues par son fournisseur, et elle n’a donc pas à notifier elle-même la violation à la CNIL au titre de l’article 33. En revanche, elle est responsable de ses propres traitements — dossiers du personnel, annuaires, historiques d’achats — et les salariés dont les données professionnelles figurent dans le fichier exposé doivent être informés loyalement, avec les conseils de protection adaptés. Si un salarié exerce son droit d’accès ou d’opposition, ou si un partenaire figurant dans les échanges commerciaux s’inquiète, l’entreprise répond sur la base du dossier constitué : courrier du fournisseur, mesures prises, absence à ce stade d’exfiltration bancaire établie. La CNIL rappelle aux professionnels les réflexes applicables aux violations de données personnelles, et l’entreprise s’y référera pour calibrer sa communication interne sans dramatiser ni minimiser. Si elle renforce ses dispositifs de contrôle à cette occasion — journalisation élargie, filtrage des messages —, elle les porte préalablement à la connaissance des salariés : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance ».
Deuxième chantier, les contrats. L’incident est l’occasion d’auditer la chaîne contractuelle dans les deux sens. Vers l’amont, le contrat avec le fournisseur informatique est relu : clauses de sécurité, engagements de notification, délais, audit, réversibilité, plafonds de responsabilité. Vers l’aval et le latéral, les contrats avec les propres prestataires de l’entreprise — infogéreur, hébergeur, éditeur de messagerie — sont vérifiés au regard de l’article 28 du règlement : Le règlement n’autorise le responsable à faire appel qu’à des sous-traitants présentant des garanties suffisantes sur leurs mesures techniques et organisationnelles, de façon à protéger les droits des personnes concernées (article 28 du règlement sur le site de la CNIL). L’incident LDLC démontre concrètement ce que vaut une garantie insuffisamment vérifiée : l’entreprise qui exige aujourd’hui de ses sous-traitants des preuves — certifications, audits, tests d’intrusion, chiffrement avéré — se constitue l’argument qu’elle était fondée à attendre la même diligence de son fournisseur. Les entreprises exposées qui souhaitent être accompagnées sur la relecture de ces clauses et la stratégie de mise en cause peuvent se tourner vers un cabinet d’avocats en droit des affaires à Paris, habitué à articuler contrats informatiques, preuve et contentieux de la responsabilité.
Troisième chantier, l’assurance et la trésorerie. Le contrat d’assurance cyber, s’il existe, est activé sans attendre : déclaration dans les délais contractuels, avec le courrier du fournisseur et le dossier documentaire. L’assureur orientera vers les prestataires de réponse à incident et précisera la couverture des pertes indirectes — coût de la sensibilisation, audit, éventuelle fraude de seconde vague. À défaut d’assurance dédiée, l’entreprise chiffre le coût des mesures et provisionne le risque : une fraude au faux fournisseur réussie, comme l’illustre l’affaire bordelaise, se paie au prix fort et sans recours contre la banque exécutante. La question du temps, enfin, ne doit pas être négligée. Les pièces du dossier — courrier du fournisseur, journaux de connexion, signalements, échanges avec l’assureur — se conservent plusieurs années, car l’action en réparation ne s’éteint pas avec la crise. « Les actions personnelles ou mobilières se prescrivent par cinq ans à compter du jour où le titulaire d’un droit a connu ou aurait dû connaître les faits lui permettant de l’exercer ». Concrètement, une entreprise qui découvre en octobre 2026 que ses données ont pu être consultées chez son fournisseur, puis subit une fraude de seconde vague six mois plus tard, devra relier les deux événements dans un récit probatoire continu. C’est une raison supplémentaire de dater chaque pièce dès aujourd’hui : le courrier conservé avec ses en-têtes, la note d’information aux salariés, le journal des messages suspects et la déclaration à l’assureur formeront, le moment venu, la chaîne qui établit la connaissance des faits et la diligence de l’entreprise.
Quatrième chantier, les recours. Si un préjudice se matérialise — fraude subie, coût de remédiation, atteinte à l’exploitation —, le droit commun et le droit des données offrent deux voies complémentaires. D’une part, Le règlement ouvre à toute personne ayant subi un dommage matériel ou moral du fait d’une violation le droit d’obtenir réparation auprès du responsable du traitement ou du sous-traitant, le responsable ne s’exonérant qu’en prouvant que le fait dommageable ne lui est nullement imputable (article 82 du règlement sur le site de la CNIL). D’autre part, le principe de la responsabilité pour faute s’applique : « Tout fait quelconque de l’homme, qui cause à autrui un dommage, oblige celui par la faute duquel il est arrivé à le réparer » : la faute du fournisseur — défaut de sécurité, notification tardive, information trompeuse — devra être établie pièce par pièce, sans présomption tirée de la seule survenance de l’incident ni du seul antécédent des trois violations précédentes. Sur le terrain contractuel, la mise en cause s’appuiera sur l’inexécution des engagements de sécurité et de notification, sachant que le contrat fait loi entre les parties : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure » : au fournisseur, s’il est assigné, de justifier ses diligences ou l’empêchement. La plainte pénale pour accès frauduleux, le signalement à la CNIL en tant que personne concernée par l’intermédiaire des salariés, et la mise en demeure contractuelle au fournisseur jalonnent cette voie sans la précipiter : on ne met en cause qu’au vu d’un préjudice chiffré et d’un manquement caractérisé, car une mise en cause prématurée et mal documentée exposerait l’entreprise à un rejet et à des dépens.
Au terme de cette carte, un constat s’impose : le piratage subi par un fournisseur informatique ne crée pas un litige unique, mais une grappe de situations entrecroisées où chaque acteur doit prouver sa propre diligence. Le fournisseur prouve sa notification, sa sécurité et ses correctifs ; l’entreprise cliente prouve sa conservation, son information et sa vigilance ; le salarié et le partenaire prouvent leur signalement et l’absence de consentement aux opérations frauduleuses ; la banque, le cas échéant, prouve l’absence d’anomalie apparente. Aucune exfiltration massive ni aucun dommage définitif n’a été constaté par une source officielle à la date de rédaction au-delà de la consultation possible décrite par l’entreprise elle-même, aucune responsabilité n’est établie à ce stade, les contrats signés entre les acteurs priment sur toute analyse générale, et seul le juge, saisi des pièces de chacun, dira qui doit quoi à qui.