Porter plainte après le piratage d'un site : utile ou symbolique

À quoi s'attendre, honnêtement

La plupart des piratages de vitrines ne deviennent pas une enquête spectaculaire. Les auteurs sont à l'étranger, derrière des relais, pour un préjudice TPE. Le dépôt reste utile : horodatage officiel, pièce assureur, trace si l'affaire s'aggrave (chantage, réutilisation des données).

Ce n'est pas un échec si « on ne les rattrape pas ». C'est le fonctionnement habituel. Qui promet l'inverse vend autre chose.

Le constat et les logs font la différence entre un accueil attentif et un formulaire vide. Prévoyez une heure, une pièce d'identité, et les pouvoirs si ce n'est pas le gérant qui se déplace. Un dossier trop lourd (disque entier) se fait éconduire autant qu'un dossier vide.

Quand ça vaut le déplacement

Préjudice chiffrable (boutique arrêtée, rançon demandée, publicité frauduleuse). Fuite de données avec risque. Usurpation de marque, menaces, propos illicites sur votre home (défiguration). Vol de domaine / MX. Chantage à la publication.

Un spam SEO seul, sans perte nette : l'intérêt est surtout assurantiel si votre contrat le demande. Demandez-leur avant d'attendre trois heures au commissariat « au cas où ».

Un conflit avec l'agence (« c'est de leur faute ») n'est pas le premier objet d'une plainte pénale. Le civil et le contrat existent. Voir responsabilité.

• Sinistre / contrat qui l'exige.
• Fuite, chantage, menaces, vol de DNS.
• Préjudice documenté, pas seulement la colère.

Préparer le dossier avant le guichet

Chronologie d'une page. Captures (URL visible). Verbatim des messages de rançon. Extraits de logs (heures, IP, URL), pas un disque dur entier le premier jour. Ticket hébergeur. Devis / factures d'intervention. Si fuite : catégories de données, pas un export clients imprimé.

Identité de la société, SIRET, qui représente. Un mandataire avec pouvoir si ce n'est pas le gérant.

En ligne, certaines pré-plaintes existent. Elles n'exemptent pas toujours d'un passage. Renseignez-vous sur la structure cyber de votre département.

Où déposer, quoi dire

Commissariat, gendarmerie, ou orientation vers un service cyber. Faits, dates, préjudice, pièces. « Nous avons constaté telle URL, telle modification DNS le…, telles données potentiellement lues. » Pas de théorie géopolitique.

Si une page d'hameçonnage usurpe une banque sur votre domaine, mentionnez-le : d'autres victimes existent. Les signalements marque restent en parallèle (usurpation).

Restez sur ce que vous avez vu. « C'est forcément le stagiaire » sans fait expose. Les pistes internes se disent avec prudence.

Ce qu'il ne faut pas apporter

Le dump clients en clair sur une clé pour « qu'ils voient ». Un mode d'emploi d'attaque. Des menaces contre un suspect. Le téléphone personnel non filtré avec vos photos de famille mélangées aux captures — triez avant.

Un roman de 30 pages. Ils n'auront pas le temps. L'écrit court + annexes numérotées.

Payer une rançon « pour avoir une preuve de paiement ». Mauvaise preuve, mauvais signal. Documentez la demande, ne financez pas.

Après le récépissé

Copie à l'assureur, au dossier interne, éventuellement au conseil. Le numéro de plainte ne lave pas Safe Browsing ni la délivrabilité. Ce sont d'autres files.

Complétez si un fait nouveau arrive (second chantage, dump publié). Ne relancez pas toutes les semaines « alors, vous les avez ? ».

Continuez la remédiation. Une plainte n'arrête pas une réinfection. Si l'accueil vous a orienté vers une pré-plainte en ligne, joignez ce PDF au même classeur que le récépissé : l'assureur demande souvent les deux faces.

Plainte, CNIL et civil

La notification CNIL est indépendante. Les deux dossiers doivent raconter les mêmes faits. Le civil contre un prestataire se nourrit du contrat et des mises à jour manquées, pas du récépissé seul.

Une constitution de partie civile n'a de sens que s'il y a une information judiciaire. Ne l'anticipez pas comme plan A d'une TPE.

Les obligations ne s'éteignent pas parce que vous avez « porté plainte donc ce n'est plus nous ». Le récépissé n'est pas une notification CNIL.

Si vous ne déposez pas

Documentez pourquoi (préjudice faible, assureur ne l'exige pas). Gardez quand même les logs. Un dépôt tardif reste possible si le chantage arrive en J+40.

Ne dites pas publiquement « la justice s'en occupe » si vous n'avez rien déposé. Communication.

Le nettoyage, lui, n'attend pas. Créer un compte pour le site ; la plainte est un créneau à part, avec les pièces déjà copiées. Un récépissé n'accélère ni Safe Browsing ni la file mail : ce sont d'autres horloges, déjà décrites ailleurs. Gardez-le dans le même classeur que le constat, pas dans un tiroir « on verra ». Si un chantage arrive plus tard, vous n'aurez pas à tout reconstruire de mémoire.

• Dossier factuel > récit.
• Utile assurance / fuite / menaces.
• Pas un substitut au nettoyage.