Le 26 septembre 2026 à 20 h 40, le site spécialisé cyberattaque.org a publié une nouvelle revendication du pirate se présentant sous le pseudonyme ChimeraZ : environ 200 Go de données, soit 193 982 fichiers revendiqués, présentés comme provenant de l’environnement blgCloud utilisé par la société CAPM Europe, spécialiste du négoce, de la location et de la maintenance de matériels de manutention installée à Senlis, dans l’Oise. Les échantillons que le site dit s’être procurés montrent des messages électroniques professionnels, des fiches de gestion de la relation client et des documents commerciaux, avec des coordonnées de sociétés et de contacts, des relations clients et fournisseurs, des devis au format PDF et des champs destinés à des coordonnées bancaires professionnelles, notamment des IBAN. La publication est présentée comme la dix-septième d’une série de fuites issues de blgCloud, un progiciel de gestion intégré français destiné notamment aux concessionnaires, loueurs, garages, réparateurs, grossistes et entreprises du matériel professionnel. Le lien entre l’entreprise citée et le prestataire n’est pas une supposition : les mentions légales du site de CAPM Europe, lues le 27 septembre 2026, indiquent que l’hébergement et l’application métier, désignés comme CRM ERP SAAS, sont confiés à BLG Cloud, domiciliée au 1, rue de la Sous-Préfecture à Compiègne.

La réponse tient en cinq gestes que cet article détaille. D’abord, vérifier sans paniquer : une revendication de pirate n’est pas une preuve d’intrusion, et l’échantillon fourni ne permet pas de déterminer combien de sociétés ou de comptes bancaires sont réellement concernés dans l’ensemble des 200 Go revendiqués. Ensuite, geler les changements de coordonnées bancaires : toute demande de paiement vers un nouveau RIB reçue dans les jours qui suivent doit être vérifiée par un canal indépendant avant exécution. Puis notifier et tracer : le droit européen impose au responsable du traitement de notifier la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, et au sous-traitant de prévenir le responsable dans les meilleurs délais. Ensuite, conserver chaque preuve : messages, bons de commande, relevés bancaires, journaux de connexion et échanges avec le prestataire. Enfin, se retourner vers l’amont : mettre le prestataire en demeure, chiffrer le préjudice et préparer le recours contractuel, car le droit français organise précisément la responsabilité du débiteur qui n’exécute pas son obligation.

Deux réserves s’imposent avant d’aller plus loin. La première tient à la nature du signal : il s’agit d’une revendication publiée par un pirate et relayée par un site spécialisé, pas d’un constat d’huissier ni d’une décision de justice. Les volumes, le périmètre et l’origine exacte des données restent affirmés par leur diffuseur ; les échantillons consultés par le site montrent des structures de messagerie, de CRM et de gestion documentaire, avec des messages dont l’un remonte à 2016 et des mises à jour datées de 2026, ce qui suggère un historique commercial de plusieurs années, mais chaque entreprise doit vérifier sa propre exposition au lieu de présumer qu’elle figure dans la fuite. La seconde réserve est juridique : les montants, les délais et les qualifications exposés ici découlent des textes et des décisions cités, chacun daté et sourcé ; ils ne prédisent l’issue d’aucun litige particulier, qui dépendra toujours du contrat signé avec le prestataire, des pièces conservées et du rôle exact de chaque acteur, responsable du traitement ou sous-traitant.

I. La carte des conséquences : du prestataire jusqu’aux clients et fournisseurs

A. L’étage du prestataire : quand l’outil commun devient le point d’entrée unique

Le premier étage du domino est le prestataire lui-même. blgCloud est décrit comme un ERP métier qui centralise la relation client, les ventes, les stocks, les factures et le service après-vente de nombreuses entreprises du matériel professionnel, avec plusieurs dizaines de milliers d’utilisateurs revendiqués par son éditeur. Quand un tel outil est compromis, ou présenté comme tel, l’effet de chaîne est mécanique : les données de nombreuses sociétés clientes peuvent se retrouver exposées sans que leur propre site internet ait nécessairement été directement attaqué. La publication du 26 septembre 2026 renvoie d’ailleurs à une revendication antérieure dans laquelle le pirate affirme disposer des données de près de 150 entreprises utilisatrices de la plateforme, et la même série a déjà visé, selon les publications recensées sur le même site, un loueur de matériel de BTP fin août 2026, un distributeur de matériel agricole, une entreprise de location et, le 15 septembre 2026, une société exposée à hauteur de 75 Go et 240 000 fichiers. CAPM Europe, entreprise créée en 1998 qui affiche plus de 2 000 matériels en stock, n’est donc que la dix-septième illustration d’un schéma qui dépasse son seul cas : c’est toute la chaîne des utilisateurs de l’outil qui doit se poser la même question au même moment.

Le droit européen des données personnelles anticipe exactement cette configuration. Lorsqu’un traitement est effectué pour le compte d’un responsable du traitement, « celui-ci fait uniquement appel à des sous-traitants qui présentent des garanties suffisantes quant à la mise en œuvre de mesures techniques et organisationnelles appropriées de manière à ce que le traitement réponde aux exigences du présent règlement et garantisse la protection des droits de la personne concernée » (article 28, paragraphe 1, du règlement (UE) 2016/679 du 27 avril 2016). Le même article ajoute que : « Le sous-traitant ne recrute pas un autre sous-traitant sans l’autorisation écrite préalable, spécifique ou générale, du responsable du traitement » (article 28, paragraphe 2, du règlement (UE) 2016/679) et que le traitement par un sous-traitant est régi par un contrat qui « définit l’objet et la durée du traitement, la nature et la finalité du traitement, le type de données à caractère personnel et les catégories de personnes concernées, et les obligations et les droits du responsable du traitement » (article 28, paragraphe 3, du règlement (UE) 2016/679). Pour l’entreprise utilisatrice, la première pièce à sortir du dossier est donc le contrat signé avec l’éditeur : objet, durée, catégories de données, engagements de sécurité, procédure de notification et sort des données en fin de contrat. C’est ce contrat qui dira si l’éditeur était simple hébergeur, sous-traitant au sens du règlement, ou prestataire d’une obligation de résultat sur la disponibilité et l’intégrité des données.

La justice française a déjà condamné un éditeur de logiciel professionnel pour des manquements de ce type, dans une affaire qui éclaire la méthode même si les faits diffèrent. Le 11 avril 2025, le tribunal judiciaire de Versailles a statué sur le litige opposant un cabinet d’avocats à l’éditeur de son logiciel métier et de son cloud : le cabinet se plaignait de dysfonctionnements réguliers du logiciel, de son cloud et du service d’assistance, de pertes partielles de données de dossiers clients et d’une rétention volontaire de ses données numériques malgré des demandes expresses, chiffrant son préjudice au temps de travail perdu valorisé à son taux horaire habituel (tribunal judiciaire de Versailles, deuxième chambre, 11 avril 2025, n. 24/00224). Le tribunal a condamné l’éditeur à payer 16 000 euros de dommages et intérêts, outre 4 000 euros au titre de l’article 700 du code de procédure civile, tout en rejetant le surplus des demandes faute de preuve suffisante. L’enseignement est double : l’indisponibilité et la perte de données d’un outil métier engagent la responsabilité contractuelle du prestataire, mais le client doit prouver son préjudice heure par heure et pièce par pièce, sans se réfugier derrière le secret professionnel ou la déontologie pour expliquer une carence probatoire. L’éditeur, de son côté, avait réclamé le paiement de factures impayées et obtenu 1 699,20 euros outre intérêts : le litige avec un prestataire se joue toujours sur les deux tableaux, la faute du fournisseur et les factures du client.

Pour les 150 entreprises de la série blgCloud comme pour CAPM Europe, la question immédiate est donc contractuelle avant d’être technique : exiger de l’éditeur une information écrite sur la nature de l’incident, le périmètre des données concernées, les mesures de confinement et les journaux d’accès, puis qualifier ses manquements au regard du contrat. Si l’éditeur reste silencieux ou minimise, la mise en demeure doit partir vite, car les délais de notification courent et les preuves s’effacent.

B. L’étage de l’entreprise utilisatrice : données exposées, clients et fournisseurs à protéger

Le deuxième étage est l’entreprise dont l’environnement est exposé. Les échantillons décrits comprennent des messages électroniques avec destinataires, contenu, dates, pièces jointes et rattachements internes, des fiches CRM avec coordonnées de sociétés et de contacts, adresses, relations clients et fournisseurs, commerciaux associés et historique de suivi, ainsi que des devis et documents dont les métadonnées permettent d’en vérifier l’intégrité. Autrement dit, ce ne sont pas seulement des adresses électroniques qui circulent : c’est l’historique commercial vivant de l’entreprise, avec l’identité de ses clients, de ses fournisseurs, de ses interlocuteurs et, potentiellement, de leurs coordonnées bancaires. Pour une société de négoce, de location et de maintenance, dont l’activité repose sur des devis, des contrats d’entretien, des commandes de pièces détachées et des relations suivies avec des chantiers et des ateliers, une telle exposition touche le cœur de l’exploitation : chaque client et chaque fournisseur fiché devient une cible potentielle d’escroquerie, et chaque devis devient un modèle pour fabriquer de fausses factures crédibles.

Le règlement européen fait peser sur le responsable du traitement une obligation de notification rapide et documentée : « En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques. Lorsque la notification à l’autorité de contrôle n’a pas lieu dans les 72 heures, elle est accompagnée des motifs du retard » (article 33, paragraphe 1, du règlement (UE) 2016/679). Le texte précise que : « Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance » (article 33, paragraphe 2, du règlement (UE) 2016/679) et que la notification doit décrire la nature de la violation, les catégories et le nombre approximatif de personnes concernées, les coordonnées du délégué à la protection des données et les conséquences probables. Quand le risque est élevé pour les droits et libertés des personnes, le responsable doit en outre prévenir les personnes concernées : « Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais » (article 34, paragraphe 1, du règlement (UE) 2016/679). Avec des IBAN, des historiques commerciaux et des années d’échanges professionnels dans la nature, le seuil du risque élevé est plausiblement atteint pour les contacts dont les données bancaires figurent dans la fuite, ce qui impose à chaque entreprise exposée d’évaluer sans attendre si elle doit écrire à ses clients et fournisseurs concernés, en des termes clairs et simples, avec la nature de la violation et les mesures à prendre.

Le troisième étage du domino est donc constitué des clients et fournisseurs eux-mêmes, personnes physiques ou morales fichées dans le CRM. Chacun d’eux dispose d’un droit d’accès à ses données, dont la portée a été rappelée le 13 février 2025 par le tribunal judiciaire de Paris dans un litige opposant un particulier à une société financière au sujet d’une demande d’accès restée sans réponse satisfaisante, demande examinée au regard des définitions de l’article 4 du règlement européen (tribunal judiciaire de Paris, 5e chambre 2e section, 13 février 2025, n. 21/07085). Le demandeur a été débouté de l’ensemble de ses demandes, ce qui rappelle qu’un droit d’accès mal formulé ou mal prouvé ne donne rien : le client ou le fournisseur qui veut savoir quelles données le concernent figurent dans la fuite doit adresser une demande précise, datée, et conserver la preuve de l’envoi et de la réponse. Pour les professionnels fichés, l’enjeu n’est pas seulement le respect de la vie privée : c’est la possibilité de démontrer ensuite qu’ils avaient alerté, qu’ils avaient demandé l’effacement ou la correction, et que le dommage subi trouve sa source dans des données dont ils avaient signalé l’exposition.

II. Les décisions à prendre, dans l’ordre utile

A. Sécuriser les paiements : le faux RIB est l’arme la plus rentable de la fuite

Le danger le plus immédiat n’est pas théorique : avec des années d’échanges commerciaux, l’identité des interlocuteurs, les montants habituels et les IBAN, un escroc peut usurper un fournisseur connu, reprendre le fil d’une vraie négociation et adresser une fausse facture ou une demande de changement de coordonnées bancaires parfaitement crédible. La parade tient en une règle simple : à compter de la publication du 26 septembre 2026, aucun changement de RIB d’un correspondant figurant dans l’environnement exposé ne doit être exécuté sans vérification par un canal indépendant, idéalement un appel vers un numéro connu et non celui figurant sur le message suspect, avec double validation interne pour les montants significatifs. Les ordres permanents et les mandats de prélèvement doivent être relus, les plafonds de virement resserrés temporairement, et toute instruction inhabituelle, urgence alléguée, acompte vers un nouveau compte à l’étranger, pression du faux dirigeant, doit déclencher un blocage et une contre-vérification.

Le droit des paiements est sévère pour la victime qui a validé elle-même un faux IBAN. La cour d’appel de Lyon l’a rappelé le 25 mars 2025 dans une affaire où une société civile immobilière avait transmis à sa banque un RIB frauduleux reçu par courriel : la banque avait exécuté les virements sur le compte identifié par le numéro IBAN transmis, et la société lui reprochait un défaut de vigilance et l’absence de détection d’incohérences. La cour a écarté la responsabilité parallèle de la banque en retenant l’harmonisation totale du régime européen : « Il résulte de l’arrêt de la Cour de justice de l’Union européenne du 16 mars 2023, Beobank (C-351/21), que le régime de responsabilité des prestataires de services de paiement prévu à l’article 60, paragraphe 1, de la directive 2007/64 ainsi qu’aux articles 58 et 59 de cette directive a fait l’objet d’une harmonisation totale et que sont incompatibles avec ladite directive tant un régime de responsabilité parallèle au titre d’un même fait générateur qu’un régime de responsabilité concurrent qui permettrait à l’utilisateur de services de paiement d’engager cette responsabilité sur le fondement d’autres faits générateurs (Com., 23 mai 2024, pourvoi n° 22-18.098) » (cour d’appel de Lyon, 1re chambre civile B, 25 mars 2025, n. 23/06217). Le jugement qui avait rejeté les demandes de la société a été confirmé et celle-ci a été condamnée à 3 000 euros au titre de l’article 700. La leçon est brutale : le texte qui protège en principe le payeur ne joue que pour les opérations non autorisées, et « un ordre de paiement exécuté conformément à l’identifiant unique fourni par l’utilisateur du service de paiement est réputé dûment exécuté pour ce qui concerne le bénéficiaire désigné par l’identifiant unique » (article L133-21 du code monétaire et financier). Quand c’est l’entreprise elle-même qui a fourni le faux IBAN piégé, la banque qui exécute conformément à cet identifiant n’est en principe pas responsable de la mauvaise exécution, même si elle doit s’efforcer de récupérer les fonds et fournir les informations utiles au recours en justice.

Le miroir de cette jurisprudence existe pour les particuliers piégés par un faux conseiller : le 18 mars 2025, la cour d’appel de Montpellier a confirmé le rejet des demandes de clients qui soutenaient que leurs virements, provoqués par une escroquerie au faux RIB, constituaient des opérations non autorisées devant être remboursées, faute d’authentification forte et pour manquement à l’obligation de vigilance de la banque (cour d’appel de Montpellier, chambre commerciale, 18 mars 2025, n. 23/05199). Les appelants ont été condamnés à 2 000 euros au titre de l’article 700. Le texte invoqué par les victimes existe pourtant : « En cas d’opération de paiement non autorisée signalée par l’utilisateur dans les conditions prévues à l’article L. 133-24 », le prestataire du payeur doit rembourser : « le prestataire de services de paiement du payeur rembourse au payeur le montant de l’opération non autorisée immédiatement après avoir pris connaissance de l’opération ou après en avoir été informé, et en tout état de cause au plus tard à la fin du premier jour ouvrable suivant » (article L133-18 du code monétaire et financier). Mais encore faut-il que l’opération soit juridiquement non autorisée : quand la victime, trompée par un faux RIB ou un faux conseiller, a elle-même authentifié l’ordre, les juges refusent le plus souvent la qualification et donc le remboursement automatique. Pour les clients et fournisseurs de la chaîne blgCloud, la conclusion pratique est identique : contester vite auprès de la banque, demander par écrit la tentative de récupération des fonds et la communication des informations utiles au recours, déposer plainte pour escroquerie, car : « L’escroquerie est le fait, soit par l’usage d’un faux nom ou d’une fausse qualité, soit par l’abus d’une qualité vraie, soit par l’emploi de manoeuvres frauduleuses, de tromper une personne physique ou morale et de la déterminer ainsi, à son préjudice ou au préjudice d’un tiers, à remettre des fonds, des valeurs ou un bien quelconque, à fournir un service ou à consentir un acte opérant obligation ou décharge » et : « L’escroquerie est punie de cinq ans d’emprisonnement et de 375 000 euros d’amende » (article 313-1 du code pénal). Mais ne pas compter sur un remboursement bancaire automatique quand l’ordre a été validé avec le mauvais IBAN : la prévention, vérification indépendante avant tout paiement, reste la seule protection fiable.

B. Agir contre le prestataire : mise en demeure, suspension et chiffrage du préjudice

Une fois les paiements sécurisés, le deuxième front est contractuel et se joue vers l’amont, contre l’éditeur de l’ERP. Le fondement est la responsabilité contractuelle de droit commun : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure » (article 1231-1 du code civil). Un piratage subi par le prestataire n’est pas automatiquement une force majeure qui l’exonère : il lui faudra démontrer que l’attaque était imprévisible et irrésistible malgré des mesures de sécurité conformes à l’état de l’art et à ses engagements contractuels, ce qui, pour un éditeur professionnel qui centralise les données de dizaines de milliers d’utilisateurs, est une démonstration exigeante. L’entreprise utilisatrice dispose en outre de tout l’arsenal des sanctions de l’inexécution : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution. Les sanctions qui ne sont pas incompatibles peuvent être cumulées ; des dommages et intérêts peuvent toujours s’y ajouter » (article 1217 du code civil). Concrètement, cela signifie suspendre le paiement des redevances si le service est indisponible ou insécurisé, exiger la remise en état et la restitution des données, demander une réduction du prix pour la période dégradée, et chiffrer chaque poste de préjudice : temps de reconstitution des fichiers, doubles saisies, retards de facturation, devis à refaire, clients perdus, frais d’expertise et de notification.

Quand la défaillance future est manifeste, le droit autorise même d’agir avant l’échéance : « Une partie peut suspendre l’exécution de son obligation dès lors qu’il est manifeste que son cocontractant ne s’exécutera pas à l’échéance et que les conséquences de cette inexécution sont suffisamment graves pour elle. Cette suspension doit être notifiée dans les meilleurs délais » (article 1220 du code civil). Pour une entreprise dont l’ERP contient toute la vie commerciale et dont l’éditeur annonce, ou laisse entendre, que 200 Go de données circulent, la suspension anticipée des prélèvements et des renouvellements automatiques, notifiée par écrit avec ses motifs, est une mesure de prudence juridiquement fondée, à condition de la notifier dans les meilleurs délais et de ne pas l’utiliser comme prétexte pour ne plus payer un service qui fonctionnerait normalement.

La méthode probatoire décidera de tout, comme l’a montré le jugement versaillais du 11 avril 2025 : chaque heure de travail de reconstitution doit être relevée, chaque dysfonctionnement daté, chaque demande adressée à l’assistance conservée avec sa réponse ou son absence de réponse. Les entreprises de la chaîne blgCloud doivent donc ouvrir dès maintenant un dossier d’incident : captures datées de la publication et des échantillons les concernant, échanges avec l’éditeur, relevés d’indisponibilité, journaux de connexion, inventaire des données potentiellement exposées, courriers aux clients et fournisseurs, accusés de notification à l’autorité de contrôle, dépôt de plainte. Vers l’aval, l’entreprise qui a elle-même transmis à ses clients des données ou des documents compromis doit les alerter et documenter ses diligences, car sa propre responsabilité envers eux pourra être recherchée. Vers l’amont, la mise en demeure du prestataire doit exiger la description précise de l’incident, la liste des données concernées, les mesures de confinement, la préservation des journaux et la prise en charge des coûts de notification, en rappelant les engagements du contrat et les articles 28 et 33 du règlement européen. Enfin, la déclaration à l’assureur cyber, ou à défaut à l’assureur responsabilité civile professionnelle, doit partir sans attendre, avec l’estimation chiffrée et les pièces, en vérifiant les exclusions et les obligations de déclaration rapide du contrat d’assurance. Pour les litiges nés de ces chaînes de contrats informatiques, de la preuve des manquements du prestataire et de la sécurisation des recours entre entreprises, l’accompagnement par des avocats en droit des affaires à Paris habitués aux contentieux contractuels entre professionnels permet de qualifier chaque étage du domino et d’agir dans les délais que les textes imposent.

En définitive, la fuite revendiquée le 26 septembre 2026 autour de l’environnement blgCloud de CAPM Europe illustre le risque propre aux outils mutualisés : un seul point de défaillance chez le prestataire, et ce sont des années d’historique commercial, des centaines de relations clients et fournisseurs et des coordonnées bancaires qui se retrouvent exposées d’un coup, avec pour chaque entreprise utilisatrice une triple urgence, sécuriser ses paiements contre le faux RIB, notifier et informer dans les délais du règlement européen, et constituer contre son prestataire un dossier de preuves à la hauteur de l’exigence des tribunaux. La revendication reste à ce stade affirmée par son diffuseur et devra être établie pièce par pièce dans chaque litige, mais l’obligation de vigilance, elle, est immédiate et ne dépend d’aucune confirmation : vérifier avant de payer, tracer avant d’oublier, écrire avant de plaider.