Skimmer et obligations : prestataire de paiement, pas un tweet

Ce que « informer » veut dire ici

On parle d’une suspicion ou d’une constatation : un script de carte sur le checkout, des clients qui signalent des débits, un mail du PSP « activité inhabituelle ». Informer, ce n’est pas avouer une fuite que vous n’avez pas établie. C’est ouvrir les bons canaux avec ce que vous savez, à la date où vous le savez.

Un défacement de home sans checkout n’est généralement pas ce dossier. Un WordPress vitrine non plus. Dès qu’il y a saisie de carte (même iframe) ou une base commandes exposée, le curseur bouge. Le guide fuite cadre le RGPD ; ici on ajoute le rail paiement.

Nous ne sommes pas votre DPO ni votre avocat. Nous constatons le technique. La décision de notifier vous incombe. Un prestataire sérieux ne « s’occupe pas de la CNIL à votre place ».

• Date de première suspicion (client, PSP, scan).
• Date de coupure du script / du checkout.
• Périmètre : pages, période, données éventuellement vues.

Le prestataire de paiement d’abord

Stripe, PayPal, Adyen, la banque (monetico, paybox, système de caisse) : ils ont un canal fraude / security. C’est eux qui peuvent geler, rejouer, parler au réseau des cartes. Un tweet n’ouvre pas ce canal. Un mail au commercial non plus : le formulaire ou l’adresse security du PSP, la référence de compte.

Dites : ce que vous avez vu (URL, période), ce que vous avez coupé, que vous travaillez le constat. Pas un roman. Ils peuvent vous demander des extraits, des dates de transactions. Gardez les journaux (premiers gestes : ne réinstallez pas avant copie).

Si le module n’est pas officiel (nulled, « pack checkout »), dites-le. Ça change leur lecture. Voir aussi module officiel vs douteux — le constat technique d’abord.

CNIL et personnes : pas automatique, pas optionnel non plus

Le RGPD impose une notification CNIL dans les 72 heures si la violation est établie et qu’elle présente un risque — et une information des personnes si le risque est élevé. Un skimmer avéré sur un checkout qui a tourné trois semaines, c’est souvent dans cette zone. Un scan qui « a trouvé un fichier » sans preuve d’exécution sur le tunnel, pas forcément.

Le constat décide. Tant qu’il n’est pas là, vous documentez et vous coupez. Vous ne mentiez pas en disant « nous investiguons ». Vous mentiriez en disant « tout va bien » ou « tout a fuité ».

Les personnes : un message factuel (quoi, quand, quoi faire : relevés, opposition, pas de renvoi vers un faux support). Pas le nom du webshell. Pas une promo de rattrapage.

Ce que n’est pas la Banque de France

On nous demande souvent « il faut prévenir la Banque de France ». Ce n’est pas le guichet d’un skimmer de PME. Le PSP, la banque de l’enseigne, éventuellement les autorités selon gravité (plainte). Mélanger les institutions fait perdre des jours et produit des courriers hors sujet.

La Banque de France a d’autres missions (fichiers, monnaie, supervision). Vos clients « opposition carte » passent par leur banque, pas par un formulaire BDF que vous auriez à remplir pour eux.

Si un interlocuteur bancaire vous oriente vers un service fraude spécifique (votre convention), suivez ce canal-là. C’est encore le rail paiement, pas Twitter.

L’ordre qui évite les démentis

1) Couper le tunnel sale (maintenance checkout, retrait du script, parfois coupure courte). 2) Copier, panel, constats. 3) Prévenir le PSP. 4) Caler RGPD avec qui de droit. 5) Message public court si les clients arrivent déjà (avis, téléphone) — aligné sur ce que vous avez dit au PSP, pas plus.

Inverser (Facebook d’abord) : les clients appellent la banque avec une version, le PSP avec une autre, la presse locale avec une troisième. Vous passez la semaine à démentir.

Les Ads / fiche : un bandeau « paiement temporairement fermé, téléphone » vaut mieux qu’un checkout encore douteux pour « ne pas perdre le week-end ».

Ce qu’il faut avoir écrit (dates, URL, PSP)

Journal : suspicion, actions, qui a été prévenu, numéro de ticket PSP, captures (barre d’adresse). C’est ce que l’assureur, le PSP et éventuellement la CNIL comprennent. « C’est nettoyé » sans dates ne tient pas.

URL exactes du checkout, thème, GTM, plugins paiement. Un pixel injecté change le récit (Meta parfois, plus souvent GTM).

Période : du premier indice technique au cut-off. Soyez honnête sur l’incertitude (« au plus tôt / au plus tard »).

Communication clients et réseaux

Téléphone et email transactionnel (commande) d’abord, réseaux ensuite si le bruit y est déjà. Une phrase unique pour l’équipe (boutique physique, standard). Voir avis Google : ne pas répondre « ce n’est pas nous » sous un avis qui parle d’un virus tout en laissant le site rouge.

Pas de PDF « comment vérifier votre RIB » improvisé : les victimes de phishing cliquent tout. Renvoyez vers les canaux officiels des banques, pas vers une page chez vous encore instable.

Ne promettez pas de remboursement que le PSP n’a pas acté.

Après : PCI, modules, constats

Modules paiement officiels, à jour, moins de custom JS sur le checkout. GTM relu. Clés API paiement tournées. Le guide fuite pour la suite RGPD.

Si vous n’avez pas de constat, déclarez : le technique d’abord, pour que vos notifications ne soient pas des inventions. Plaintes : commissariat / cyber, selon conseil.

Safe Browsing et skimmer : deux files. Site trompeur se lève après contenu propre ; le PSP n’attend pas Chrome.