Europol a annoncé cette semaine une nouvelle phase de l’opération Endgame, dirigée contre trois outils de la cybercriminalité « à la demande » : Gootloader, CastleRAT et StealC. Selon le communiqué de l’agence européenne, relayé en France dès le 13 novembre 2026, 235 serveurs et 257 noms de domaine ont été neutralisés et plus de six millions d’identifiants de victimes ont été retrouvés dans l’infrastructure saisie. StealC est un infostealer, c’est-à-dire un logiciel espion conçu pour extraire d’un ordinateur infecté les mots de passe, les accès enregistrés et les identités numériques, afin de les revendre. Gootloader, lui, se diffusait par de faux documents juridiques déposés sur des sites piratés. Europol précise que les données des victimes seront mises à disposition, notamment sur la plateforme HaveIBeenPwned, pour que les personnes concernées puissent être alertées.
Pour une entreprise, l’alerte arrive souvent de façon indirecte : un salarié découvre que son adresse professionnelle figure dans une base d’identifiants volés, ou le service informatique constate des connexions inhabituelles avec des identifiants parfaitement valides. Le dirigeant se pose alors trois questions juridiques : faut-il prévenir la CNIL, contre qui et pour quelles infractions porter plainte, et que peut-on reprocher au salarié dont l’ordinateur était infecté ? Le présent article y répond à partir des textes et des décisions de justice lus dans leur version intégrale. Il complète la présentation des missions du cabinet en matière de cybersécurité et contentieux de la cybercriminalité, ainsi que celle consacrée à la conformité RGPD des entreprises.
I. Identifiants de salariés volés par un infostealer : que doit l’entreprise à la CNIL, et quelles infractions dénoncer ?
A. Identifiants volés sur le poste d’un salarié : faut-il notifier une violation de données à la CNIL ?
La première difficulté tient à la qualification. Un infostealer ne pirate pas, en principe, le serveur de l’entreprise : il vole sur l’ordinateur d’un utilisateur ce que celui-ci tape ou ce que son navigateur a mémorisé. Le règlement général sur la protection des données (RGPD) ne s’intéresse pourtant pas à l’endroit où la faille s’est ouverte, mais à ses effets sur les données. Son article 4, point 12, définit la violation de données à caractère personnel comme une violation de la sécurité qui entraîne, de manière accidentelle ou illicite, la destruction, la perte, l’altération ou la divulgation non autorisée de données, ou encore l’accès non autorisé à de telles données (texte consultable sur le site de la CNIL, chapitre I du règlement). Deux situations doivent donc être distinguées.
Dans la première, les identifiants volés ouvrent l’accès à des outils qui contiennent des données personnelles : messagerie professionnelle, logiciel de gestion de la relation client, espace de paie, logiciel métier, stockage partagé. Ces identifiants permettent à un tiers d’accéder aux données des clients, des fournisseurs et des collègues. Si l’enquête interne montre qu’un tiers s’est connecté, ou si elle ne permet pas d’exclure qu’il l’ait fait, l’hypothèse d’un accès non autorisé au sens de la définition du règlement devient sérieuse. Dans la seconde situation, les identifiants concernent un compte sans lien avec le système d’information de l’entreprise, par exemple un compte personnel du salarié sur un site de commerce en ligne : l’entreprise n’est alors pas responsable du traitement compromis, et la question de la notification ne se pose pas pour elle.
Lorsque l’entreprise est bien responsable du traitement atteint, la règle de notification est celle de l’article 33 du RGPD, que le Conseil d’État a reproduite dans une décision du 22 juillet 2022, n° 449694 : « en cas de violation de données à caractère personnel, le responsable du traitement en notifie la violation en question à l’autorité de contrôle compétente conformément à l’article 55, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins que la violation en question ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques ». Le texte contient donc sa propre exception : une violation qui ne crée aucun risque pour les personnes n’a pas à être notifiée. C’est précisément l’analyse que l’entreprise doit conduire après une alerte liée à un infostealer : les identifiants étaient-ils encore valides, un second facteur d’authentification protégeait-il le compte, les journaux de connexion révèlent-ils une utilisation, quelles données étaient accessibles ?
La même décision apporte une précision utile, à manier avec prudence. Le Conseil d’État y juge que « l’obligation de notifier à la CNIL une violation de données à caractère personnel susceptible de faire naître un risque pour les droits et libertés des personnes physiques ne s’impose pas au responsable du traitement dans le cas où la CNIL l’a elle-même informé de cette violation et a engagé son contrôle sur la base des informations portées à sa connaissance par ailleurs ». La solution vise le cas où c’est la CNIL elle-même qui a alerté le responsable et engagé un contrôle. Une alerte reçue d’une plateforme comme HaveIBeenPwned, d’un éditeur de sécurité ou même d’un service de police n’est pas une information de la CNIL : la décision ne dit rien de ces hypothèses, et l’entreprise ne peut pas s’en prévaloir pour s’abstenir de notifier.
Deux autres obligations du règlement sont souvent oubliées. L’article 33, paragraphe 5, impose au responsable du traitement de documenter toute violation, en consignant les faits, leurs effets et les mesures prises, que la violation ait été notifiée ou non ; cette documentation permet ensuite à l’autorité de contrôle de vérifier son analyse. L’article 34 impose de prévenir directement les personnes concernées lorsque la violation est susceptible d’engendrer un risque élevé pour leurs droits et libertés, sauf exceptions prévues par le texte, notamment lorsque des mesures ultérieures garantissent que ce risque n’est plus susceptible de se matérialiser (ces deux articles figurent sur la page de la CNIL consacrée au chapitre IV du règlement). En pratique, la réinitialisation rapide des mots de passe compromis, la révocation des sessions ouvertes et l’activation d’un second facteur sont à la fois des mesures de sécurité et des éléments qui pèsent dans l’appréciation du risque.
Reste la question de fond, celle de la sécurité elle-même. L’article 32 du RGPD, cité par le Conseil d’État dans la même décision du 22 juillet 2022, oblige le responsable du traitement et le sous-traitant à mettre « en œuvre les mesures techniques et organisationnelles appropriées afin de garantir un niveau de sécurité adapté au risque ». Dans une décision du 26 avril 2022, n° 449284, le Conseil d’État a confirmé une amende de 250 000 euros infligée par la CNIL à une enseigne d’optique dont le site de vente en ligne avait été attaqué, en relevant notamment « le manque de robustesse de la politique de mots de passe de la société eu égard aux catégories de données traitées », qui « a accru l’exposition de son système à un risque d’attaque informatique ». Un vol d’identifiants par infostealer met justement à l’épreuve la politique d’authentification de l’entreprise : un mot de passe seul, réutilisé sur plusieurs services et jamais renouvelé, est exactement ce que ces logiciels revendent. Sur le terrain pénal, l’article 226-17 du code pénal punit de cinq ans d’emprisonnement et de 300 000 euros d’amende le fait de procéder à un traitement de données sans mettre en œuvre les mesures prescrites notamment par l’article 32 du règlement. Les obligations détaillées de notification et d’information des clients après une fuite font l’objet d’un article distinct sur la fuite de données personnelles en entreprise.
B. Infostealer et réutilisation des identifiants : quelles infractions viser dans la plainte ?
L’entreprise dont les comptes ont été utilisés par un tiers est victime d’infractions précises, et la qualité de la plainte dépend de leur bonne identification. Le texte central est l’article 323-1 du code pénal : « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » La peine passe à cinq ans et 150 000 euros lorsqu’il en est résulté la suppression ou la modification de données, ou une altération du fonctionnement du système.
Le pirate qui se connecte avec l’identifiant et le mot de passe exacts d’un salarié pourrait soutenir qu’il n’a forcé aucune protection. La Cour de cassation a écarté ce type d’argument dans une affaire très proche du fonctionnement d’un infostealer. Un médecin avait installé un enregistreur de frappe, un keylogger, sur les ordinateurs de deux confrères pour capter leurs codes d’accès et lire leurs courriels. Dans son arrêt du 16 janvier 2018 (chambre criminelle, n° 16-87.168), publié au Bulletin, elle juge que « se rend coupable de l’infraction prévue à l’article 323-1 du code pénal la personne qui, sachant qu’elle n’y est pas autorisée, accède, à l’insu des victimes, à un système de traitement automatisé de données ». La validité technique des identifiants ne retire donc rien au caractère frauduleux de l’accès : ce qui compte, c’est l’absence d’autorisation du titulaire et du responsable du système.
La même logique vaut à l’intérieur de l’entreprise. Dans un arrêt du 2 septembre 2025 (chambre criminelle, n° 24-83.605), également publié au Bulletin, la Cour de cassation retient que « se rend coupable de l’infraction prévue par l’article 323-1 du code pénal celui qui se maintient dans un système de traitement automatisé de données en prenant connaissance du contenu des messages échangés au sein du réseau, à des fins étrangères à sa mission et à l’insu des titulaires des messages, même si, administrateur du réseau, il bénéficie, de par ses fonctions, d’un droit général d’accès à la messagerie ». Cet arrêt intéresse l’entreprise victime à deux titres : il confirme que la possession de codes d’accès ne vaut pas autorisation, et il rappelle que la menace peut aussi venir d’une personne qui dispose légitimement d’un accès.
Lorsque des fichiers ont été copiés, d’autres qualifications s’ajoutent. L’article 323-3 du code pénal punit de cinq ans d’emprisonnement et de 150 000 euros d’amende le fait d’introduire frauduleusement des données dans un système, ou « d’extraire, de détenir, de reproduire, de transmettre, de supprimer ou de modifier frauduleusement les données qu’il contient ». La Cour de cassation admet en outre que le téléchargement de données protégées peut constituer un vol : dans son arrêt du 20 mai 2015 (chambre criminelle, n° 14-81.336), elle approuve la condamnation d’un prévenu qui « s’est maintenu dans un système de traitement automatisé après avoir découvert que celui-ci était protégé et a soustrait des données qu’il a utilisées sans le consentement de leur propriétaire ».
Le logiciel espion lui-même est visé par un texte spécifique. L’article 323-3-1 du code pénal réprime le fait, sans motif légitime, d’importer, de détenir, d’offrir, de céder ou de mettre à disposition « un équipement, un instrument, un programme informatique ou toute donnée conçus ou spécialement adaptés pour commettre une ou plusieurs des infractions prévues par les articles 323-1 à 323-3 ». Dans l’arrêt du 16 janvier 2018 déjà cité, la condamnation pour détention du keylogger a été maintenue, la cour d’appel ayant relevé que le motif légitime prévu par le texte ne bénéficie pas aux simples utilisateurs des ordinateurs. Pour l’entreprise victime, viser l’ensemble de ces textes dans la plainte permet aux enquêteurs de remonter, au-delà de l’utilisateur final des identifiants, vers ceux qui fournissent l’outil et revendent les données.
Une dernière qualification est souvent évoquée lorsque le pirate se sert de la messagerie d’un salarié pour écrire aux clients : l’usurpation d’identité de l’article 226-4-1 du code pénal. Elle obéit à des conditions strictes. Le texte vise l’usage de l’identité d’un tiers ou de données permettant de l’identifier « en vue de troubler sa tranquillité ou celle d’autrui, ou de porter atteinte à son honneur ou à sa considération ». Dans un arrêt du 17 février 2016 (chambre criminelle, n° 15-80.211), la Cour de cassation rappelle que ce délit suppose cette finalité particulière. Un message frauduleux envoyé depuis la boîte d’un salarié relève donc d’abord des atteintes aux systèmes étudiées ci-dessus ; l’usurpation d’identité ne se présume pas et suppose de démontrer la finalité exigée par le texte.
Sur la forme, la plainte peut être déposée auprès d’un service de police ou de gendarmerie, ou adressée par écrit au procureur de la République : l’article 40 du code de procédure pénale prévoit que « Le procureur de la République reçoit les plaintes et les dénonciations ». Pour les entreprises de Paris et d’Île-de-France, et plus largement pour toutes celles qui veulent que l’affaire soit suivie par un parquet habitué à ces dossiers, il faut savoir que les atteintes aux systèmes des articles 323-1 à 323-4-1 relèvent d’un régime procédural particulier prévu par l’article 706-72 du code de procédure pénale, et que l’article 706-72-1 donne au procureur de la République, au pôle de l’instruction et au tribunal correctionnel de Paris une compétence concurrente à celle des juridictions territorialement compétentes, le procureur et le pôle de l’instruction de Paris exerçant alors leurs attributions sur toute l’étendue du territoire national. Une plainte bien documentée doit joindre l’alerte reçue, la liste des comptes concernés, les journaux de connexion conservés, les adresses IP suspectes et la chronologie des mesures prises.
Enfin, lorsque l’entreprise a souscrit une assurance couvrant les atteintes aux systèmes d’information, la plainte conditionne l’indemnisation. L’article L. 12-10-1 du code des assurances subordonne le versement de l’indemnité, pour les pertes et dommages causés par une atteinte prévue aux articles 323-1 à 323-3-1 du code pénal, au dépôt d’une plainte de la victime « au plus tard soixante-douze heures après la connaissance de l’atteinte par la victime », et précise qu’il « s’applique uniquement aux personnes morales et aux personnes physiques dans le cadre de leur activité professionnelle ». Le texte fait courir ce délai de la connaissance de l’atteinte ; les décisions consultées pour cet article ne disent pas si la seule réception d’une alerte signalant des identifiants dans une base volée constitue déjà cette connaissance, ou s’il faut avoir constaté une utilisation frauduleuse. Dans le doute, la prudence commande de porter plainte sans attendre la fin de l’enquête interne. Les autres étapes du dossier d’assurance sont détaillées dans l’article consacré à l’assurance cyber de l’entreprise.
II. Le salarié dont l’ordinateur était infecté : ce que l’employeur peut lui reprocher et ce qu’il ne peut pas lui faire payer
A. Sanctionner un salarié après un vol d’identifiants : quelles preuves et quelles limites ?
Une fois l’incident maîtrisé, la question du salarié vient presque toujours. Les infostealers s’installent le plus souvent à la suite d’un geste de l’utilisateur : téléchargement d’un logiciel piraté, d’une extension de navigateur douteuse, d’une pièce jointe ou, dans le cas de Gootloader décrit par Europol, d’un faux document juridique trouvé sur un site compromis. Il est tentant d’y voir une faute. Le droit du travail n’interdit pas de la sanctionner, mais il l’encadre étroitement.
La sanction suppose d’abord une règle connue du salarié. Le règlement intérieur, défini par l’article L. 1321-1 du code du travail, fixe notamment « les règles générales et permanentes relatives à la discipline, notamment la nature et l’échelle des sanctions que peut prendre l’employeur ». Une charte informatique annexée au règlement intérieur, qui interdit l’installation de logiciels non autorisés ou l’enregistrement des mots de passe professionnels dans un navigateur personnel, donne à l’employeur un fondement clair. À l’inverse, reprocher au salarié une imprudence que rien ne lui interdisait expressément expose la sanction à l’annulation.
La preuve des faits se heurte ensuite aux règles de surveillance des salariés. L’article L. 1222-4 du code du travail dispose : « Aucune information concernant personnellement un salarié ne peut être collectée par un dispositif qui n’a pas été porté préalablement à sa connaissance. » Les outils de détection installés sur les postes, les journaux de connexion et l’analyse du poste infecté doivent donc avoir été annoncés aux salariés. L’article L. 1121-1 ajoute que « Nul ne peut apporter aux droits des personnes et aux libertés individuelles et collectives de restrictions qui ne seraient pas justifiées par la nature de la tâche à accomplir ni proportionnées au but recherché ». L’investigation doit rester ciblée sur l’incident de sécurité.
La difficulté devient aiguë lorsque l’infection s’est produite sur l’ordinateur personnel du salarié, utilisé pour se connecter à distance. L’employeur n’a aucun droit d’accès à cet appareil. S’il veut établir les faits avant un procès, il doit passer par le juge, par exemple au moyen d’une mesure d’instruction ordonnée sur le fondement de l’article 145 du code de procédure civile. Un arrêt très récent en fixe les limites. Dans une affaire où une entreprise soupçonnait d’anciens salariés d’avoir capté des données confidentielles, et avait obtenu l’autorisation de faire rechercher par mots clés des fichiers sur leur matériel informatique, y compris à leur domicile, la chambre commerciale de la Cour de cassation, dans son arrêt du 12 novembre 2026 (n° 23-19.153), publié au Bulletin, censure la mission confiée à l’huissier de justice, aujourd’hui commissaire de justice. Elle relève que cette mission « impliquait qu’il qualifie juridiquement les documents découverts pour apprécier ceux qui présentaient un caractère privé », de sorte qu’« en confiant à ce dernier la mission de donner un avis juridique, le président du tribunal avait excédé ses pouvoirs ». La recherche de preuves sur un appareil où se mêlent données professionnelles et personnelles doit donc être conçue avec soin : le tri entre le privé et le professionnel relève du juge.
Le calendrier compte autant que la preuve. L’article L. 1332-4 du code du travail prévoit qu’« Aucun fait fautif ne peut donner lieu à lui seul à l’engagement de poursuites disciplinaires au-delà d’un délai de deux mois à compter du jour où l’employeur en a eu connaissance, à moins que ce fait ait donné lieu dans le même délai à l’exercice de poursuites pénales ». Une enquête technique qui s’éternise peut ainsi priver l’employeur de la possibilité de sanctionner : la date à laquelle il a eu connaissance du comportement fautif doit être identifiée et tracée dès l’ouverture du dossier.
Reste la proportion de la sanction. Dans un arrêt du 9 avril 2025 (chambre sociale, n° 24-12.055), la Cour de cassation a approuvé une cour d’appel qui avait jugé sans cause réelle et sérieuse le licenciement d’une salariée ayant transféré un courriel et ses pièces jointes vers sa messagerie personnelle, « contrevenant ainsi à ses obligations en matière de sécurité informatique, aucun élément ne permettant toutefois de lui imputer une transmission de ces données confidentielles à des personnes extérieures à l’entreprise ». Les juges du fond avaient pris en compte « l’ancienneté de la salariée et l’absence de toute sanction ou rappel à ses obligations avant la procédure de licenciement ». L’enseignement vaut directement pour l’infostealer : un manquement isolé aux règles de sécurité, commis par un salarié ancien et jamais averti, ne justifie pas automatiquement une rupture du contrat. Un avertissement, une formation obligatoire et un rappel écrit des règles sont souvent des réponses plus sûres.
B. Faire supporter le préjudice au salarié ? La faute lourde et la responsabilité de l’entreprise envers ses clients
Après un incident coûteux, certains dirigeants envisagent de réclamer au salarié le coût de la remédiation, la franchise de l’assurance ou les sommes détournées par virement frauduleux. La jurisprudence de la chambre sociale ferme presque entièrement cette porte. Dans un arrêt du 13 février 2013 (n° 11-23.920), publié au Bulletin, la Cour de cassation casse une condamnation du salarié à des dommages et intérêts au visa du « principe selon lequel la responsabilité pécuniaire d’un salarié à l’égard de son employeur ne peut résulter que de sa faute lourde ».
La faute lourde n’est pas une faute grave renforcée : elle suppose une intention. Dans un arrêt du 6 mai 2025 (chambre sociale, n° 23-13.302), la Cour de cassation précise qu’un salarié ne peut être tenu des conséquences pécuniaires de fautes commises dans l’exécution du contrat qu’en cas de faute lourde, « laquelle est caractérisée par l’intention de nuire à l’employeur et implique la volonté du salarié de lui porter préjudice dans la commission du fait fautif et ne résulte pas de la seule commission d’un acte préjudiciable à l’entreprise ». Plus récemment, dans un arrêt du 11 mars 2026 (chambre sociale, n° 25-10.680), elle casse un jugement qui avait condamné un salarié à payer une facture à son employeur, « alors que la responsabilité pécuniaire d’un salarié à l’égard de son employeur ne peut résulter que de sa faute lourde et que l’employeur n’a pas invoqué une telle faute à l’encontre du salarié ».
Appliquée au vol d’identifiants, cette jurisprudence conduit à une conclusion nette. Le salarié qui a téléchargé par imprudence un fichier infecté n’a, sauf circonstance exceptionnelle, aucune intention de nuire à son employeur : sa responsabilité pécuniaire ne peut pas être recherchée, même si sa négligence a coûté cher. La situation est différente si le salarié a lui-même vendu ses accès, ou les a sciemment communiqués à un tiers pour nuire à l’entreprise : on se rapproche alors de l’intention de nuire, et les infractions d’atteinte aux systèmes étudiées plus haut peuvent aussi le viser personnellement. Tout le dossier repose alors sur la preuve de cette intention, qui ne se déduit pas du seul dommage.
Cette limite de la responsabilité du salarié a une conséquence directe dans les relations de l’entreprise avec ses propres clients et partenaires. Si les identifiants volés ont servi à détourner des données ou des paiements d’un client, c’est l’entreprise qui répond, le cas échéant, de l’inexécution de ses engagements contractuels. L’article 1231-1 du code civil prévoit que le débiteur est condamné, s’il y a lieu, à des dommages et intérêts à raison de l’inexécution de l’obligation ou du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. L’entreprise ne pourra pas, sauf faute lourde, reporter cette charge sur le salarié. Elle a donc tout intérêt à vérifier ses contrats en amont : clauses de sécurité, de notification d’incident et de limitation de responsabilité avec ses clients, obligations de sécurité imposées à ses prestataires informatiques, garanties de son assurance.
La prévention reste la meilleure protection juridique, et elle se documente. Une politique d’authentification à deux facteurs, l’interdiction écrite de mémoriser les mots de passe professionnels dans des navigateurs personnels, la séparation des postes professionnels et personnels, la formation régulière des équipes au repérage des faux documents et des logiciels piratés, et une procédure interne qui fixe qui alerte, qui analyse et qui décide de la notification : chacun de ces éléments sert à la fois à réduire le risque, à démontrer devant la CNIL que les mesures de l’article 32 du règlement étaient appropriées, et à fonder une éventuelle sanction disciplinaire sur une règle connue de tous.
Conclusion
La saisie par Europol de plus de six millions d’identifiants volés rappelle qu’un infostealer transforme l’imprudence d’un seul poste de travail en incident pour toute l’entreprise. Juridiquement, l’alerte appelle d’abord une analyse : les identifiants donnaient-ils accès à des données personnelles dont l’entreprise est responsable, et cet accès crée-t-il un risque pour les personnes ? Selon la réponse, la notification à la CNIL dans les conditions de l’article 33 du RGPD, l’information des personnes concernées et, dans tous les cas, la documentation de l’incident s’imposent. Sur le plan pénal, l’accès avec des codes volés constitue un accès frauduleux au sens de l’article 323-1 du code pénal, comme l’a jugé la Cour de cassation à propos d’un keylogger, et la plainte doit être déposée rapidement, ne serait-ce que pour préserver la garantie d’assurance. Vis-à-vis du salarié dont l’ordinateur était infecté, l’employeur peut sanctionner un manquement à des règles de sécurité connues, prouvées loyalement et dans les deux mois, mais il ne peut pas lui faire supporter le coût de l’incident sans démontrer une intention de nuire. Pour tout dirigeant confronté à une alerte de ce type, l’ordre des opérations compte : sécuriser les comptes, conserver les preuves, analyser le risque, porter plainte, notifier si nécessaire, et seulement ensuite examiner la question disciplinaire.