Toutes les crises commencent par une question : que s’est-il passé ? L’accident a un lieu et une heure, le rappel a un lot, la fuite a un document. La cyberattaque est la seule crise où cette question reste sans réponse pendant des jours – parfois des semaines. Les écrans sont noirs, les systèmes sont à l’arrêt, les experts fouillent les journaux de connexion, et personne ne sait ce qui a été pris, par qui, depuis quand, ni si l’intrus est encore là. Les analyses forensiques prennent des semaines ; les premières conclusions sont provisoires ; les suivantes les contredisent.
Et pourtant, il faut parler. Aux clients, dont les données sont peut-être dehors. Aux salariés, privés de leurs outils. Aux autorités, que la loi impose d’informer dans des délais courts. Aux partenaires, dont les systèmes sont connectés aux vôtres. Dès le premier jour, sans attendre de savoir.
1. L’ignorance est structurelle, pas coupable – à condition d’être méthodique
Dans toute autre crise, « nous ne savons pas » est un aveu de faiblesse qui ne dure que quelques heures. Dans une cyberattaque, c’est la vérité technique de tous les premiers jours – et il faut d’abord l’accepter, puis la rendre dicible.
Ce qu’on ignore réellement, au premier jour d’une attaque : le périmètre – quels systèmes, quelles données, quelles filiales ; la nature – vol, chiffrement, sabotage, ou les trois ; l’origine – le vecteur d’entrée, la date réelle de l’intrusion, souvent antérieure de semaines à sa découverte ; l’attaquant – un groupe identifié ou non, avec ou sans revendication ; et l’état présent – l’intrus est-il encore dans les systèmes. Aucune de ces réponses n’est disponible le premier jour, et certaines ne le seront jamais complètement.
Ce qui est coupable, ce n’est pas de l’ignorer : c’est de le dire sans méthode. La phrase qui tient – et qui se répète chaque jour, à heure fixe – comporte trois temps : « nous ne savons pas encore ce qui a été compromis ; voici ce que nous faisons pour le savoir – les experts mobilisés, les autorités saisies, les systèmes isolés ; voici quand nous ferons le prochain point. » L’incertitude nue inquiète ; l’incertitude accompagnée d’une méthode et d’un rendez-vous rassure. La doctrine de la crise cyber tient en une formule : on ne communique pas sur ce qu’on sait. On communique sur ce qu’on fait pour le savoir.
2. La tentation de minimiser est mortelle : dites « attaque » le premier jour
Les premiers mots de bien des organisations attaquées sont les mêmes : « incident technique », « ralentissement de nos systèmes », « perturbations temporaires », « opération de maintenance ». Le réflexe est compréhensible – on ne sait pas encore, on espère que c’est limité, on ne veut pas affoler. Et il est mortel.
Car le scénario qui suit est devenu classique : quelques jours plus tard, le groupe de pirates publie sur son site de fuite un échantillon des données volées, avec le nom de l’organisation et un compte à rebours. Et le « ralentissement » devient un mensonge – le seul fait que tout le monde retiendra. L’organisation n’est plus une victime d’attaque : elle est une organisation qui a menti à ses clients sur une attaque. La crise cyber est devenue une crise de confiance, et celle-là ne se répare pas par la technique.
La règle : dites « attaque » le premier jour. « Nous faisons l’objet d’une cyberattaque. Nos systèmes sont à l’arrêt par précaution. Nous ne savons pas encore si des données ont été compromises ; nous le dirons dès que nous le saurons. » Le mot fait peur – il fait moins peur que le démenti par les pirates, et il place l’organisation dans le seul statut défendable : celui de victime qui dit la vérité.
3. L’attaquant communique aussi : vous êtes face à un adversaire qui publie
C’est la singularité absolue de cette crise, et elle change tout : en face, il y a quelqu’un qui a une stratégie de communication.
Un groupe de rançongiciel moderne dispose d’un site de fuite, d’un compte à rebours, d’une liste publique de « victimes », de canaux vers les journalistes spécialisés, et d’une pratique rodée : publier un échantillon pour prouver, menacer de tout publier pour contraindre, contacter les clients de l’organisation pour faire pression, parfois appeler directement les salariés. Vous n’êtes pas face à un événement – un incendie, une panne – mais face à un adversaire qui publie, qui lit vos communiqués, et qui y répond.
Cela impose une discipline : chaque chose que vous taisez, il peut la révéler ; chaque chose que vous minimisez, il peut la prouver ; chaque chose que vous niez, il peut la publier. La communication de crise cyber se conçoit donc avec l’hypothèse que l’attaquant rendra public tout ce qu’il détient – et qu’il vaut mieux l’avoir dit avant lui. Cela impose aussi une veille spécifique : surveiller les sites de fuite, les forums, les canaux où l’attaquant s’exprime, pour ne pas découvrir par la presse ce qu’il a publié.
4. La rançon : la question que tout le monde posera, et la seule réponse tenable
Dès que le mot « rançongiciel » apparaît, une question domine toutes les autres – celle des journalistes, des clients, des actionnaires, des salariés : « avez-vous payé ? »
Il n’y a qu’une réponse tenable, et elle se prépare dès la première heure : on ne commente pas les échanges avec des criminels – point. Ni oui, ni non, ni « nous n’avons pas l’intention de », ni « nous ne négocions pas ». Toute variation devient une information : le « non » qu’on démentira si la situation l’impose, le « nous ne négocions pas » que l’attaquant contredira en publiant les échanges, le « oui » qui transforme l’organisation en cible pour tous les groupes suivants. La seule phrase est celle-là, répétée sans variation, par tous les porte-parole, à chaque sollicitation – et elle est acceptée, parce que tout le monde comprend qu’on ne discute pas publiquement avec des criminels.
Ce qui peut être dit, en revanche : que les autorités compétentes ont été saisies, que l’organisation coopère avec l’enquête, et que la priorité est la protection des personnes dont les données sont concernées.
5. Ce que vous dites le lundi sera contredit le jeudi : datez chaque parole
Les constats d’une enquête cyber évoluent – c’est leur nature. Ce qu’on croyait intact se révèle touché. Ce qu’on croyait volé ne l’a pas été. La date d’intrusion recule de semaines. Un système oublié apparaît dans le périmètre. Chaque jour apporte des éléments nouveaux qui corrigent les précédents.
Une organisation qui communique sans précaution se contredit donc publiquement tous les trois jours – et chaque contradiction est lue comme un mensonge ou une incompétence. La parade n’est pas de se taire : c’est de dater chaque parole et de la réserver explicitement. « À ce stade de l’enquête, nous n’avons pas d’élément indiquant que des données clients ont été exfiltrées. Cette situation peut évoluer, et nous vous informerons immédiatement si c’est le cas. » Ce n’est pas une précaution de langage : c’est la seule manière de ne pas s’être trompé quand les faits changent. Le point quotidien, horodaté, avec son état des connaissances, construit un récit cohérent – une enquête qui progresse – au lieu d’une suite de démentis.
6. Les victimes sont vos clients : notifier n’est pas communiquer
Dans une cyberattaque, les victimes ne sont pas seulement l’organisation : ce sont ses clients, ses patients, ses usagers, ses salariés, dont les données personnelles sont dehors – ou le seront bientôt.
La loi impose de les informer, dans des délais courts, lorsque le risque pour eux est élevé – et d’informer l’autorité de protection des données plus vite encore. Ces obligations sont impératives, et elles deviennent publiques : la notification est elle-même un événement de communication. Mais la lettre réglementaire – « nous vous informons que vos données ont pu être compromises lors d’un incident de sécurité » – n’est pas une communication. C’est une notification : elle remplit une obligation et laisse la personne seule avec son inquiétude.
Communiquer aux victimes, c’est leur dire ce qu’elles risquent concrètement – usurpation, hameçonnage ciblé, démarchage frauduleux – avec les signes à surveiller ; ce qu’elles doivent faire aujourd’hui – changer tel mot de passe, se méfier de tel type de message, surveiller tel compte ; et à qui elles peuvent parler – un numéro, une adresse, une personne. Et le leur dire avant que les pirates ne le fassent : un client qui apprend par un site de fuite, ou par un mail d’hameçonnage utilisant ses propres données, que son fournisseur a été attaqué ne lui pardonnera pas d’avoir attendu.
7. L’interne vit la crise sans outils : briefez-les par les moyens qui restent
Une dimension que les cellules de crise sous-estiment : les salariés vivent la cyberattaque privés de tout. Pas de messagerie, pas d’intranet, pas d’outils métier, parfois pas de téléphonie fixe – pendant des jours, souvent des semaines. L’organisation ne peut plus leur parler par les canaux habituels, et elle oublie de leur parler tout court.
Or ces salariés-là, privés de tout, sont exactement ceux que les journalistes, les clients et les partenaires appellent sur leur portable personnel – « qu’est-ce qui se passe chez vous ? ». Sans information, ils répondent avec ce qu’ils imaginent, ce qu’ils craignent, ce qu’ils ont entendu. La communication interne de crise cyber s’organise donc par les moyens qui restent : SMS sur les numéros personnels, affichage, réunions physiques dans la cour ou la cantine, messages relayés par les managers de proximité, groupes de messagerie temporaires. Avec le même contenu que pour toute crise – ce qu’on sait, ce qu’on fait, ce qu’on attend d’eux, où poser ses questions – et une consigne spécifique : la vigilance face aux tentatives d’hameçonnage qui exploitent l’attaque elle-même.
8. L’attaque dure des heures, ses conséquences des mois : la question qui sépare les victimes des négligents
La phase aiguë d’une cyberattaque dure quelques jours ; sa longue traîne dure des mois, parfois des années. Les données réapparaissent sur un forum six mois plus tard. Une enquête conclut. Un rapport d’expertise sort. Une autorité sanctionne. Un client attaqué à son tour remonte la chaîne jusqu’à vous.
Et la question qui arrive toujours, tôt ou tard, est celle qui décide de tout : « saviez-vous que la faille existait ? » La mise à jour non appliquée, l’alerte de sécurité ignorée, l’audit qui avait signalé, le budget refusé. Cette question sépare deux catégories d’organisations : les victimes – attaquées malgré des pratiques sérieuses, que le public pardonne, car chacun sait que personne n’est invulnérable – et les négligentes – attaquées parce qu’elles n’avaient pas fait ce qu’elles savaient devoir faire, que le public ne pardonne pas. Il faut se poser cette question avant qu’on vous la pose, en connaître la réponse honnête, et préparer la parole qui va avec – car la crise cyber devient, à ce moment précis, une crise de comportement ou reste une crise d’événement.
Conclusion : la crise de l’ignorance organisée
La cyberattaque est la crise de l’ignorance organisée. On n’y gagne pas en sachant – personne ne sait, pas même les experts, pas avant des semaines. On y gagne en montrant qu’on cherche, avec méthode, chaque jour, à heure fixe ; en disant vrai au fur et à mesure, chaque parole datée et réservée ; en nommant l’attaque avant que l’attaquant ne la prouve ; et en traitant d’abord ceux qui en paient le prix – les clients dont les données sont dehors, les salariés privés d’outils.
C’est une crise qui se prépare à froid, comme les autres, avec ses spécificités : le gabarit de la première parole, la réponse unique sur la rançon, les canaux internes de secours, la notification aux victimes rédigée pour des humains, la veille des sites de fuite – et la réponse honnête à la question de la faille. Les organisations qui l’ont préparée traversent l’ignorance debout. Les autres la traversent en se contredisant, et c’est de cela qu’on se souvient.
FAQ – Communication de crise en cas de cyberattaque
Faut-il communiquer sur une cyberattaque avant d’en connaître l’ampleur ? Oui, dès le premier jour – en communiquant sur ce qu’on fait pour savoir, pas sur ce qu’on sait : « nous ne savons pas encore ce qui a été compromis, voici ce que nous faisons pour le savoir, voici quand nous ferons le prochain point ». L’incertitude accompagnée d’une méthode et d’un rendez-vous rassure ; le silence ou la minimisation se paient dès que l’attaquant publie.
Peut-on parler d’« incident technique » plutôt que de cyberattaque ? Non – c’est la tentation mortelle : quand le groupe de pirates publie les données volées avec le nom de l’organisation, le « ralentissement » devient un mensonge, et la crise cyber se transforme en crise de confiance. Dire « attaque » le premier jour fait moins peur que le démenti par les pirates, et place l’organisation dans le seul statut défendable : la victime qui dit la vérité.
Que répondre à la question « avez-vous payé la rançon ? » Une seule phrase, préparée et répétée sans variation : « nous ne commentons pas les échanges avec des criminels. » Ni oui, ni non, ni « nous ne négocions pas » – toute variation devient une information exploitable par l’attaquant ou par les groupes suivants. On peut ajouter que les autorités sont saisies et que la priorité est la protection des personnes concernées.
Comment informer les clients dont les données ont été volées ? Au-delà de la notification réglementaire obligatoire : leur dire ce qu’ils risquent concrètement (hameçonnage ciblé, usurpation), les signes à surveiller, ce qu’ils doivent faire aujourd’hui (mots de passe, vigilance), et à qui parler – une personne, un numéro. Et le faire avant que les pirates ne les contactent eux-mêmes avec leurs propres données.
Comment communiquer avec les salariés quand les systèmes sont à l’arrêt ? Par les moyens qui restent : SMS sur les numéros personnels, affichage, réunions physiques, relais par les managers, groupes de messagerie temporaires. Les salariés privés d’outils sont ceux que journalistes et clients appellent sur leur portable ; sans information, ils répondent avec ce qu’ils imaginent. Ajouter une consigne de vigilance face aux tentatives d’hameçonnage exploitant l’attaque.
Pourquoi la question « saviez-vous que la faille existait ? » est-elle décisive ? Parce qu’elle sépare les organisations victimes – attaquées malgré des pratiques sérieuses, que le public pardonne – des organisations négligentes – qui n’avaient pas appliqué ce qu’elles savaient devoir faire, que le public ne pardonne pas. Elle arrive toujours, souvent des mois après ; il faut en connaître la réponse honnête et préparer la parole correspondante avant qu’elle ne soit posée.
