Le 5 septembre 2026, le vendeur de téléphones reconditionnés Ecofone constate qu’une intrusion a touché sa boutique en ligne. Les investigations menées avec son hébergeur font remonter des traces d’activité malveillante dès le 4 septembre, attribuées à une vulnérabilité jusque-là inconnue du logiciel Adobe Magento, pour laquelle aucun correctif spécifique n’était encore disponible. Sont potentiellement concernés les noms et prénoms des clients, leurs adresses de facturation et de livraison, leurs adresses électroniques, leurs numéros de téléphone et les informations relatives aux commandes, y compris celles passées en tant qu’invité sans création de compte. Pour certains titulaires d’un compte, l’empreinte informatique du mot de passe aurait également pu être accessible, sans que les mots de passe soient enregistrés en clair. Les paiements, traités par PayPlug et PayPal, ne seraient pas concernés, aucune donnée bancaire n’étant saisie ni conservée sur la boutique. L’entreprise affirme avoir supprimé les éléments malveillants, restauré les fichiers affectés, renouvelé les accès techniques, installé le correctif puis ajouté une protection supplémentaire, et indique avoir notifié l’incident à la CNIL le 7 septembre 2026. Ces éléments sont connus par la communication adressée par Ecofone à ses clients, relayée par l’observatoire FrenchBreaches dans une publication du 26 septembre 2026, consultée le 27 septembre 2026.

Pour les entreprises de la chaîne, la question n’est pas de savoir si la vulnérabilité Magento était connue. Elle est de savoir qui conserve quelle preuve et quelle décision prendre : l’entreprise cliente qui a équipé ses salariés avec des téléphones reconditionnés, le fournisseur qui livre Ecofone, le prestataire qui héberge ou maintient la boutique. La réponse tient en une phrase, avec ses réserves : chacun reste tenu de ses propres contrats et de ses propres obligations de sécurité, l’intrusion subie par le vendeur n’efface ni les commandes en cours ni les responsabilités de chaque maillon, et tout litige se jouera sur les pièces conservées. Autrement dit, ni l’entreprise cliente, ni le fournisseur, ni l’hébergeur ne sont libérés par la seule annonce de l’incident : Les contrats légalement formés tiennent lieu de loi à ceux qui les ont faits. Chacun doit démontrer, pièce par pièce, ce qu’il a fait, quand il l’a fait et ce qu’il a subi. Réserve liminaire : à ce stade, Ecofone confirme l’intrusion mais déclare ne pas être en mesure d’établir si les données potentiellement accessibles ont effectivement été consultées ou copiées, les journaux disponibles ne permettant ni de l’affirmer ni de l’écarter. Cet article suit donc l’effet en chaîne d’un incident confirmé mais d’une exfiltration indéterminée : d’abord les entreprises clientes exposées par leurs commandes, ensuite les fournisseurs et prestataires de la boutique, puis les décisions de preuve et de contrat que chaque acteur doit prendre, avec les textes et les décisions qui encadrent chaque étape.

I. La carte des conséquences : entreprises clientes d’un côté, fournisseurs et prestataires de l’autre

A. Les entreprises clientes : des commandes exposées et des salariés à protéger

Le premier cercle des victimes professionnelles se compose des entreprises qui ont commandé sur la boutique Ecofone : téléphones reconditionnés pour équiper des salariés, accessoires, renouvellements de flotte. Leurs données de commande figurent parmi les catégories potentiellement accessibles : noms et prénoms des interlocuteurs ou des utilisateurs, adresses de facturation et de livraison, adresses électroniques professionnelles, numéros de téléphone, détail des commandes. Les commandes passées en tant qu’invité, sans création de compte, sont également concernées, ce qui élargit le périmètre au-delà des seuls comptes clients. Pour une entreprise, l’exposition est double : celle de ses propres coordonnées administratives et commerciales, et celle des données de ses salariés utilisateurs des appareils, notamment leurs noms, leurs adresses électroniques et leurs numéros de téléphone professionnels.

Concrètement, l’entreprise cliente doit d’abord figer la preuve de sa propre situation. Elle conserve les confirmations de commande, les factures, les relevés de compte PayPlug ou PayPal correspondant aux achats, les captures datées de son espace client, la notification reçue d’Ecofone et tout message ultérieur relatif à l’incident. Si des salariés ont créé des comptes avec des adresses professionnelles, elle recense les comptes concernés et fait modifier les mots de passe, en particulier lorsque le même mot de passe était réutilisé sur des outils internes. L’écrit électronique a la même force probante que l’écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu’il soit établi et conservé dans des conditions de nature à en garantir l’intégrité. Cette règle donne leur valeur aux journaux de commande, aux accusés de réception et aux échanges conservés dans des conditions intègres : une extraction horodatée, un archivage sans altération, une traçabilité des destinataires. À l’inverse, les relances téléphoniques non tracées et les captures partielles sans date fragilisent toute demande ultérieure.

Sur le terrain des droits des personnes, l’entreprise cliente qui est elle-même responsable de traitement pour les données de ses salariés doit évaluer si l’incident chez son vendeur l’oblige à agir de son côté. Le règlement européen impose au responsable et au sous-traitant des mesures de sécurité adaptées au risque : le responsable du traitement et le sous-traitant mettent en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque. Pour l’entreprise cliente, cela signifie vérifier ses propres mesures : cloisonnement des adresses électroniques exposées, surveillance renforcée des tentatives d’hameçonnage visant les salariés dont les coordonnées figuraient dans les commandes, consignes internes de vigilance face aux messages se prévalant d’Ecofone, de PayPlug ou de PayPal. Si des salariés signalent des messages suspects reprenant leurs nom, adresse ou référence de commande, chaque signalement est conservé avec ses en-têtes complets : c’est la matière première d’une plainte comme d’une demande d’indemnisation.

L’entreprise cliente doit aussi relire ses commandes en cours. Les appareils déjà livrés et payés ne sont pas remis en cause par l’incident : la vente est formée, le prix est dû, la garantie court. En revanche, pour les commandes en attente de livraison, les acomptes versés et les abonnements ou services associés, elle vérifie les conditions générales : délais de livraison, faculté de suspendre le paiement en cas d’inexécution, clause résolutoire, pénalités. La loi ouvre plusieurs voies à la partie dont le cocontractant n’exécute pas ou exécute mal son engagement : La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution. Mais chaque voie a ses conditions : la suspension suppose une inexécution suffisamment grave de l’autre partie, la résolution suppose soit une clause, soit une inexécution grave notifiée, soit une décision de justice, car La résolution résulte soit de l’application d’une clause résolutoire soit, en cas d’inexécution suffisamment grave, d’une notification du créancier au débiteur ou d’une décision de justice. L’entreprise cliente ne peut donc ni annuler ses commandes par simple courriel de colère, ni cesser de payer ses factures au motif de l’incident : elle doit mettre en demeure, impartir un délai raisonnable et documenter l’inexécution précise qu’elle invoque, par exemple des livraisons non honorées ou des appareils livrés sans les prestations de reprise promises.

Enfin, l’entreprise cliente surveille le préjudice financier indirect, le plus insidieux. Des attaquants disposant de noms, d’adresses électroniques, de numéros de téléphone et de références de commandes peuvent monter des campagnes d’hameçonnage ciblées contre ses salariés ou contre sa comptabilité : fausses demandes de remboursement, faux appels du support, fausses factures PayPlug. Tout paiement détourné dans ce contexte donne lieu à une plainte et à une déclaration à l’assureur, avec les messages frauduleux conservés intacts. Et si l’entreprise cliente estime que le vendeur a manqué à ses obligations contractuelles ou de sécurité, elle sait que Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. La cyberattaque ne constitue pas mécaniquement un cas de force majeure : le vendeur devra établir qu’elle était à la fois imprévisible, irrésistible et extérieure, ce qui se discute précisément quand sont en cause une plateforme logicielle connue, sa maintenance et ses correctifs.

B. Les fournisseurs et prestataires de la boutique : hébergeur, intégrateur et chaîne d’approvisionnement

Le second cercle concerne ceux qui font fonctionner la boutique d’Ecofone ou qui l’approvisionnent : l’hébergeur avec lequel les investigations ont été menées, l’intégrateur ou le mainteneur de la plateforme Magento, les fournisseurs de terminaux reconditionnés et les prestataires de paiement. Pour eux, l’incident se traduit par trois risques : être désignés comme responsables de la faille, voir leurs propres accès ou données exposés, et subir le contrecoup commercial des mesures prises par Ecofone, comme le renouvellement des accès techniques ou la suspension temporaire de certains flux.

Le point de départ est contractuel et probatoire. Chaque prestataire relit son contrat : périmètre de la maintenance, engagements de mise à jour et de correctifs, astreintes de sécurité, clauses de notification d’incident, plafonds de responsabilité, assurance. Puis il fige ses propres preuves : journaux d’intervention, tickets résolus, dates de déploiement des correctifs, échanges avec le client sur les mises à jour proposées ou reportées, constats d’huissier ou captures certifiées de l’état des systèmes. L’expérience des litiges informatiques montre que le prestataire qui documente ses diligences gagne, et que celui qui plaide dans le vide perd. Dans un litige entre un éditeur de sites et son prestataire, la cour d’appel de Paris a ainsi relevé qu’un prestataire, en versant aux débats la preuve de ses nombreuses diligences, démontre avoir rempli ses obligations contractuelles, et jugé que l’absence de livraison imputée au client ne pouvait être mise à sa charge, retenant que cette absence de livraison ne peut être imputée au prestataire. La leçon vaut pour l’hébergeur comme pour l’intégrateur Magento : tickets horodatés, rapports d’intervention, preuves de l’installation des correctifs disponibles et des alertes adressées au client sur la vulnérabilité.

Sur le terrain de la protection des données, la qualification de chacun détermine ses obligations. Si l’hébergeur ou le mainteneur agit comme sous-traitant d’Ecofone, il est tenu d’alerter son donneur d’ordre sans délai : Le sous-traitant notifie au responsable du traitement toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance. Ecofone, responsable de traitement de sa boutique, a pour sa part notifié la CNIL le 7 septembre, soit deux jours après la constatation du 5 septembre, ce qui correspond au délai de principe : En cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance. Et lorsque le risque pour les personnes est élevé, Lorsqu’une violation de données à caractère personnel est susceptible d’engendrer un risque élevé pour les droits et libertés d’une personne physique, le responsable du traitement communique la violation de données à caractère personnel à la personne concernée dans les meilleurs délais. Pour les fournisseurs et prestataires qui sont eux-mêmes responsables de leurs propres traitements, par exemple leurs fichiers de contacts commerciaux hébergés sur des outils partagés avec Ecofone, l’incident impose le même examen : registre des traitements, analyse du risque, notification éventuelle, information des personnes. Chacun notifie pour son propre périmètre ; personne ne peut se reposer sur la notification d’autrui.

Les fournisseurs de terminaux et les partenaires commerciaux subissent un troisième contrecoup, économique celui-là. Si Ecofone suspend des commandes, renégocie des volumes ou décale des paiements pour absorber le coût de la crise, chaque fournisseur doit distinguer le retard de paiement ordinaire du signe avant-coureur d’une difficulté durable. La bonne décision consiste à exiger par écrit un échéancier, à sécuriser les livraisons à venir par des acomptes ou des garanties, et à vérifier si ses conditions générales lui permettent de suspendre ses propres livraisons en cas de non-paiement caractérisé. Là encore, la suspension unilatérale sans mise en demeure expose son auteur : c’est au créancier d’une obligation inexécutée de démontrer l’inexécution et sa gravité, car Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. En pratique, le fournisseur qui veut suspendre ses livraisons notifie d’abord les factures impayées avec leurs dates et leurs montants, impartit un délai de paiement et annonce la suspension à défaut : cette discipline probatoire conditionne toute la suite du litige.

Un dernier point concerne la dimension pénale, souvent négligée dans les chaînes de sous-traitance. L’intrusion elle-même constitue une infraction, indépendamment de l’exploitation ultérieure des données : Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. Chaque entreprise de la chaîne qui découvre des traces sur ses propres systèmes, des rebonds vers ses outils ou des usages frauduleux de ses marques doit déposer plainte avec ses journaux et ses constats, et non se contenter d’un signalement interne. La plainte fige la qualité de victime, ouvre la voie à l’enquête sur l’origine de l’attaque et préserve les droits à réparation contre les auteurs comme, le cas échéant, les recours entre professionnels.

II. Qui détient quelle preuve et quelle décision prendre, étape par étape

A. Conserver et établir la preuve avant tout procès : constats, journaux et notifications

La première décision, commune aux entreprises clientes, aux fournisseurs et aux prestataires, est conservatoire : établir la preuve avant qu’elle ne disparaisse. Les journaux de connexion s’écrasent, les messages frauduleux sont supprimés, les correctifs effacent les traces, les interlocuteurs changent de poste. Or la procédure civile permet de faire constater les faits avant tout procès : S’il existe un motif légitime de conserver ou d’établir avant tout procès la preuve de faits dont pourrait dépendre la solution d’un litige, les mesures d’instruction légalement admissibles peuvent être ordonnées à la demande de tout intéressé, sur requête ou en référé. Cette voie a été empruntée très récemment par une clinique parisienne qui, après un incident de sécurité informatique impliquant son prestataire et son assureur, a demandé au tribunal des activités économiques de Paris la désignation d’un expert, lequel a ordonné une expertise avec mission de se faire communiquer contrats, comptes rendus techniques et journaux, consignant une provision de 10 000 euros : l’ordonnance de référé du 3 juillet 2026 (RG 2026013898) retient la demande de désigner un expert spécialisé en cyber malveillance et sécurité informatique. Pour une entreprise cliente d’Ecofone comme pour un prestataire de la boutique, le réflexe est identique : quand les faits techniques conditionneront tout le litige, on les fait constater par un tiers indépendant avant qu’ils ne s’effacent.

Concrètement, chaque acteur constitue son dossier en trois chemises. La première contient la preuve de la relation : contrats, bons de commande, conditions générales applicables, factures, preuves de paiement, échanges sur les délais et les prestations. La deuxième contient la preuve de l’incident : notification reçue d’Ecofone, captures de l’espace client, relevés des connexions inhabituelles, messages suspects reçus avec leurs en-têtes, attestations des salariés concernés, dépôt de plainte, déclaration à l’assureur, correspondance avec la CNIL le cas échéant. La troisième contient la preuve des diligences et du préjudice : mots de passe renouvelés, correctifs installés, heures internes consacrées à la crise, factures de prestataires de sécurité, commandes de substitution, pertes de marge, atteintes à l’image documentées par des pièces et non par des affirmations. Cette méthode n’est pas du formalisme : dans les litiges entre clients et prestataires informatiques, les juges tranchent sur les pièces versées aux débats, et la cour d’appel de Colmar l’a rappelé sans détour dans un litige sur une solution logicielle : à celui qui soulève l’inexécution pour obtenir la résolution, il lui appartient de rapporter la preuve suffisante d’une inexécution suffisamment grave. Et quand cette preuve manque, la sanction tombe : dans cette même affaire, les manquements invoqués ne sont pas suffisamment graves pour justifier que le client puisse bénéficier de l’exception d’inexécution, ni que la résolution judiciaire du contrat soit prononcée. Autrement dit, l’indignation ne résout pas les contrats : seules des inexécutions graves et prouvées le font.

Pour les entreprises dont les salariés sont concernés, une attention particulière va aux notifications internes et externes. En interne, l’information des représentants du personnel et la traçabilité des consignes données aux équipes protègent l’employeur contre tout reproche ultérieur de négligence. En externe, l’entreprise qui constate que des données de tiers dont elle est responsable ont circulé évalue sans tarder si elle doit elle-même notifier et informer, sans attendre qu’Ecofone le fasse à sa place : les obligations de notification pèsent sur chaque responsable pour son propre traitement. Chaque notification est conservée avec sa date, son contenu et son accusé de réception : en cas de contrôle ou de litige, c’est la date qui fera foi, et un retard non expliqué se paie.

Enfin, les acteurs de la chaîne évitent l’erreur classique qui consiste à effacer trop vite. Réinstaller, restaurer, renouveler les accès : ces mesures de remédiation sont nécessaires, et Ecofone les a d’ailleurs mises en œuvre sur sa boutique, mais elles doivent intervenir après la préservation des preuves, avec l’aide de professionnels qui savent figer les journaux, cloner les systèmes et documenter la chaîne de conservation. Un correctif installé avant toute constatation peut priver l’entreprise de la preuve de la faille comme de celle de ses propres diligences. L’ordre compte : constater d’abord, corriger ensuite, documenter les deux.

B. Décider : mettre en demeure, renégocier ou rompre sans se mettre en tort

Une fois les preuves figées, vient le temps des décisions, et la première d’entre elles est presque toujours la mise en demeure. Qu’il s’agisse d’exiger d’Ecofone la livraison des commandes en retard, d’exiger d’un fournisseur le paiement de factures échues ou d’exiger d’un prestataire l’application des correctifs convenus, la mise en demeure écrite conditionne les sanctions : elle rappelle l’obligation et son échéance, constate l’inexécution avec ses dates, impartit un délai raisonnable compte tenu des circonstances de crise, et annonce les mesures envisagées sans menace excessive. Envoyée trop tôt, avant tout retard avéré, elle est prématurée et discrédite son auteur. Envoyée trop tard, après des semaines de relances téléphoniques non tracées, elle fait perdre des semaines de pénalités et affaiblit toute demande de remboursement des coûts de substitution, le débiteur pouvant soutenir qu’informé plus tôt, il aurait trouvé une solution. Le contenu compte autant que la date : une mise en demeure qui invoque l’incident sans viser l’obligation précise du contrat, sans chiffrer les manquements et sans fixer de délai raisonnable ne produira aucun effet utile devant le juge.

La deuxième décision est économique : faut-il continuer, renégocier ou sortir ? Continuer suppose que le partenaire reste capable d’exécuter et que la confiance peut être restaurée : l’entreprise cliente maintient ses commandes mais exige des garanties écrites, délais fermes, pénalités, audit de sécurité ; le fournisseur maintient ses livraisons mais contre acompte ou garantie bancaire ; le prestataire poursuit la maintenance mais formalise un plan de correctifs avec jalons. Renégocier suppose un avenant écrit : report d’échéances, réaménagement des volumes, partage documenté du surcoût de crise. Chaque concession est chiffrée et datée, car l’avenant verbal dont personne ne retrouve la teneur est le premier pourvoyeur de litiges de la sortie de crise. Sortir, enfin, suppose une inexécution suffisamment grave et une procédure respectée : mise en demeure restée sans effet suffisant, préavis tenant compte de la durée de la relation et du temps nécessaire pour trouver un remplaçant, notification écrite et motivée. La brutalité se paie toujours plus cher que le préavis : le code de commerce sanctionne le fait, de rompre brutalement, même partiellement, une relation commerciale établie, en l’absence d’un préavis écrit qui tienne compte notamment de la durée de la relation commerciale, de sorte que remplacer du jour au lendemain un fournisseur ou un prestataire historique par un courrier sec expose à une condamnation, même quand le partenaire a failli. Les baisses de volumes présentées comme temporaires mais jamais rétablies, les déréférencements sans courrier, les ruptures notifiées par téléphone sont les gisements classiques des condamnations.

Pour les entreprises qui veulent comprendre comment ces principes s’appliquent à leurs propres contrats de distribution, d’approvisionnement ou de prestation informatique, il est utile de consulter l’expertise en droit des affaires du cabinet à Paris, qui accompagne les sociétés dans la gestion de leurs relations commerciales et de leurs litiges entre professionnels. Ce point d’appui permet de relire les clauses de résiliation, de responsabilité et d’assurance avant de notifier une décision irréversible, et d’évaluer le préjudice réparable pièces à l’appui plutôt qu’à l’intuition.

La troisième décision concerne l’assurance et le recours. Chaque acteur déclare l’incident à son assureur, cyber ou responsabilité civile professionnelle, avec le dossier en trois chemises déjà constitué, et vérifie les exclusions, les plafonds et les obligations de déclaration : une déclaration tardive ou incomplète peut priver l’entreprise de sa garantie au pire moment. Parallèlement, il préserve ses recours en chaîne : l’entreprise cliente contre le vendeur, le vendeur contre son hébergeur ou son intégrateur, le prestataire contre l’éditeur du composant vulnérable, chacun contre les auteurs de l’intrusion. Ces recours se cumulent dans le respect des contrats : les sanctions qui ne sont pas incompatibles peuvent être cumulées, et des dommages et intérêts peuvent toujours s’y ajouter, pourvu que chaque demande repose sur une inexécution établie et un préjudice chiffré. Concrètement, cela signifie assigner utile plutôt qu’assigner vite : une assignation précédée d’une expertise préventive, de mises en demeure restées sans effet et d’un préjudice documenté aboutit ; une assignation lancée à chaud, sans pièces ni chiffrage, s’enlise.

En conclusion, l’intrusion subie par la boutique Ecofone début septembre 2026, révélée par la communication de l’entreprise relayée le 26 septembre 2026, ne crée ni une excuse générale ni un responsable unique : elle crée une chaîne de décisions à prendre vite et à prouver longtemps. Les entreprises clientes sécurisent leurs comptes, surveillent leurs salariés exposés, conservent leurs commandes et mettent en demeure sur des manquements précis. Les fournisseurs et prestataires figent leurs diligences, notifient pour leur propre périmètre et sécurisent leurs paiements par écrit. Tous font constater avant de corriger, notifient avant de rompre, et chiffrent avant de réclamer. Dans ces litiges en chaîne, le gagnant n’est jamais celui qui crie le plus fort à la cyberattaque : c’est celui qui, le jour de l’audience, verse aux débats le dossier le plus complet. Limites à garder en mémoire : l’exfiltration des données reste à ce jour indéterminée selon l’entreprise elle-même, les investigations techniques se poursuivent, et chaque situation contractuelle appelle un examen propre, sans transposition automatique.