Communication de crise : site piraté, sans envenimer

Qui doit entendre quoi

Visiteurs au hasard : bandeau factuel. Clients / patients / adhérents concernés par une fuite : email plus précis (informer). Équipe : consignes (plus d'accès partagés, qui parle). Fournisseurs critiques : un coup de fil si commandes ou paiements.

Le grand public n'a pas besoin du nom de l'extension. Les concernés ont besoin des catégories de données. Ce n'est pas le même texte. La page métier fuite n'est pas un communiqué.

L'assureur et la CNIL ne se renseignent pas sur Instagram. Ne construisez pas le dossier là. Un silence de deux heures pour aligner les trois textes (bandeau, mail, notification) vaut mieux qu'un post contradictoire que vous passerez trois jours à corriger.

Le bandeau et la page statut

Si le site sert encore : une ligne datée, « incident en cours, certaines fonctions suspendues, reprise estimée… ». Si phishing en ligne : la page frauduleuse se coupe, pas un bandeau philosophique par-dessus. Exception déjà dite ailleurs : on coupe l'URL d'abord.

Évitez le mode maintenance total trop long : le SEO et les clients réguliers en pâtissent. Une home lisible + tunnel de paiement isolé si besoin.

Pas de compte à rebours « 12 h 32 » que vous ratez. Une date de prochaine info (demain 18 h) que vous tenez.

• Date, fait, impact utilisateur.
• Pas de détail d'entrée.
• Prochaine mise à jour promise et tenue.

Le mail court aux habitués

Pour ceux qui commandent chaque semaine : vous savez, on travaille, voici ce qui change pour vous (délais, paiement temporairement ailleurs). Ce n'est pas encore l'email RGPD si le constat n'est pas clos. N'écrivez pas « aucune fuite » pour remplir. Voir constater.

Expéditeur habituel, authentifié. Si le domaine mail est brûlé, le téléphone et le bandeau d'abord. Ne créez pas un From improvisé qui ressemble à de l'hameçonnage.

Une FAQ de cinq questions sur une URL stable, mise à jour, réduit les appels. Même faits que le bandeau.

Réseaux, presse, élus

Un post unique, factuel, renvoi vers la FAQ. Pas de thread de 20 messages. Pas de duel avec un client en commentaire : privez.

La presse locale : mêmes faits, plus courts. Pas de démo. Si on vous demande « comment ils sont entrés », « une faille corrigée, nous n'en dirons pas plus ».

Les élus / chambres de commerce aiment les communiqués longs. Donnez le même squelette. Votre responsabilité prestataire n'a pas à s'étaler là.

Mots interdits, mots utiles

Interdits utiles : sophistiqué, APT, « testdéfinitivement sécurisé », « impossible que ça se reproduise », détails reproductibles, accusation nominative. Utiles : daté, impact, ce que les gens doivent faire (ignorer tels mails, reset si vous l'imposez), contact.

« Cyberattaque » est vrai et vague. « Site compromis, intervention en cours » suffit. « Rançongiciel » seulement s'il y en a un. « Fuite » seulement si le constat le porte.

L'humour nerveux (« on s'est fait googlehacker lol ») se screenshot et se retourne. Abstenez-vous.

Aligner les trois discours

Public, personnes concernées, notification 72 h : mêmes faits, granularité différente. Un écart « aucune donnée » / « emails lus » est un incident de comm' dans l'incident.

L'équipe support a un pense-bête de dix lignes. Ils ne improvisent pas une théorie sur Discord.

Les usurpateurs recopieront votre comm' pour un faux suivi. Dites que vous ne demanderez jamais de mot de passe par MP.

Pendant Safe Browsing et le spam

Chrome rouge : expliquez que l'alerte peut rester 24–72 h après un site propre. Donnez un canal hors site (téléphone, retrait). N'encouragez pas à « ignorer l'avis » comme consigne générale — seulement un canal alternatif. Un client qui force le passage sur un site encore sale devient une victime de plus ; donnez téléphone et retrait, pas un tutoriel pour contourner Chrome.

Faux mails au nom du domaine : une phrase « nous n'avons pas envoyé ceci, ne cliquez pas ». Pas de débat SPF sur LinkedIn. La technique reste dans phishing domaine.

Ne promettez pas une date de déblocage Google. Vous ne la tenez pas.

Après : une ligne, pas un mythe

Quand c'est refermé : une mise à jour courte, merci, mesures prises (2FA, MAJ) sans catalogue. Puis on arrête. Transformer l'incident en storytelling de marque fatigue et attire les copies.

Le registre garde la mémoire interne. Le site public n'a pas à devenir un musée du hack. Si un journaliste rappelle six mois plus tard, renvoyez à la FAQ datée, pas à une improvisation. Les faits n'ont pas changé ; le ton, lui, peut rester court.

Créer un compte n'est pas une comm'. C'est le chantier. La comm', c'est le bandeau et les mails, rédigés par vous, avec les faits du constat.

• Un porte-parole, des faits datés.
• Pas d'exploit, pas de roman géopolitique.
• Même vérité, trois granularités.