Informer les personnes concernées après une fuite liée au site

Qui doit recevoir un message

Celles et ceux pour qui le risque est élevé : accès plausible à leurs données, conséquences concrètes (compte, paiement, identité). Toute la base « au cas où » crée de la panique et des appels, sans mieux protéger si le périmètre est étroit. Un périmètre large (toute la table users lue) élargit l'envoi.

Le constat tranche les catégories : clients boutique, inscrits newsletter, comptes prestataires, salariés dans un extranet. On n'envoie pas le même texte à tout le monde si les données diffèrent.

S'il n'y a pas de risque élevé, une information large n'est souvent pas due. Une phrase interne et une doc au registre peuvent suffire. Le guide rappelle le critère de risque.

Ce que le message doit dire

Qui vous êtes. Quelle incident, en une phrase factuelle. Quelles données, autant que vous le savez. Quelle fenêtre approximative. Ce que vous avez fait (accès fermés, reset imposé, notification CNIL si c'est fait). Ce qu'ils peuvent faire (changer le mot de passe ici et ailleurs s'il était réutilisé, ignorer les faux mails). Un contact humain.

Date du message. Pas de « récemment » flou. Si la fenêtre est incertaine, écrivez « au moins entre… » plutôt qu'une date inventée.

Si vous forcez une réinitialisation, dites-le clairement et donnez le chemin officiel — jamais un lien improvisé qui ressemble à du phishing. Voir forcer les mots de passe.

• Faits, données, dates.
• Mesures déjà prises.
• Gestes utiles côté personne.

Ce qu'il ne doit pas dire

« Attaque sophistiquée d'un groupe étatique » si c'est un plugin de 2019. Des détails d'entrée réutilisables. « Aucune donnée n'a été volée » alors que le constat dit « accès plausible ». « C'est la faute de l'hébergeur » en première ligne : même si un débat de responsabilité existe, le destinataire a besoin de se protéger, pas d'un procès.

Pas de pièce jointe HTML. Pas de raccourcisseur d'URL. Pas de demande de « cliquer pour confirmer votre RIB ».

Pas de roman sur les réseaux avant l'email aux concernés : ils doivent l'apprendre de vous, pas d'un commentaire.

Canal, expéditeur et délivrabilité

Email depuis le flux que vos clients connaissent, authentifié. Après un incident mail, ce flux peut être en rade. N'expédiez pas la notification via le même script encore douteux. Un ESP propre, ou un envoi échelonné une fois le warmup amorcé, vaut mieux qu'un pic qui atterrit en spam — l'ironie serait complète.

Si le domaine est brûlé, un canal parallèle (courrier pour les comptes critiques, téléphone pour les gros clients, bandeau sur le site propre) complète. Dites pourquoi le From peut paraître inhabituel, sans créer un second kit d'hameçonnage.

SMS : seulement si vous l'utilisez déjà et que le numéro est connu. Un SMS neuf « votre compte a été piraté, cliquez » est indistingable d'une attaque.

Boutique, comptes, mots de passe

Si la table comptes a été lue, l'information et le reset vont ensemble. Expliquez la réutilisation des mots de passe en une phrase, sans faire un cours. Invalidez les sessions.

Paiement : si un skimmer est en jeu, le texte change (carte, banque, prestataire). Ce n'est plus seulement « vos emails ont pu être vus ». Coordonnez avec la banque / le PSP. Ce n'est pas le même mail qu'un défacement.

N'offrez pas un an de « surveillance crédit » gadget si vous ne savez pas le tenir. Offrez un reset et un contact. C'est plus honnête pour une TPE.

Personnes hors fichier « clients »

Candidats dans un plugin RH, élèves d'un organisme, patients d'un praticien, adhérents : mêmes règles, sensibilité parfois plus haute. Le ton reste factuel. Un fichier « prospects » n'est pas moins personnel.

Les mineurs, les données de santé : faites relire le texte. Cet article ne remplace pas un conseil spécialisé ; il dit de ne pas improvisers un mail marketing.

Les salariés : information interne distincte, accès révoqués, mots de passe des outils. Pas un post LinkedIn à leur place.

Suivi des questions et des relances

Une boîte ou un formulaire dédié, lu. Une FAQ courte sur le site (sans détails d'exploit). Les relances « j'ai déjà changé mon mot de passe, pourquoi encore un mail » se préparent : un seul envoi d'information, puis le reset technique séparé si besoin.

Enregistrez qui a été informé, quand, quel texte. C'est une pièce, pas de la surveillance des personnes. Utile CNIL et assurance.

Les usurpateurs enverront de faux « suivis » de votre incident. Dites-le dans le mail : nous ne demanderons jamais de mot de passe par email. Voir phishing de marque.

Aligner CNIL, assureur et page publique

Les faits du mail, de la notification 72 h et d'un éventuel bandeau doivent coller. Un écart (« aucune donnée » vs « emails lus ») se voit tout de suite.

La communication de crise pour le grand public est plus courte. Les concernés ont droit à plus de précision sur leurs données.

Créer un compte pour faire nettoyer le site n'envoie pas l'information à votre place. Préparez le texte pendant le constat, pas trois semaines après.

• Même périmètre partout.
• Pas de « aucune fuite » prématuré.
• Un contact réel.