SFR, Accor, pompiers : et si c'était votre entreprise la semaine prochaine ?

Sur la seule semaine du 14 juillet 2026, plusieurs fuites de données majeures ont été révélées en France : environ deux millions de clients SFR, 162 000 chez Accor, 125 000 sapeurs-pompiers. Au premier trimestre 2026, la France se classait au deuxième rang mondial pour le nombre de comptes compromis, avec une forte progression par rapport au trimestre précédent.

La réaction naturelle devant ce genre de nouvelle, quand on dirige une entreprise de trente ou cinquante personnes, est de se dire que ce sont des cibles d'une autre échelle. Un opérateur télécom national, un groupe hôtelier international, une administration. Rien à voir avec une PME d'Île-de-France.

Cette lecture est rassurante et elle est fausse, mais pas pour la raison qu'on croit. Le vrai enseignement de juillet n'est pas que les grandes entreprises sont visées. C'est que des organisations disposant de budgets sécurité considérables et d'équipes dédiées se sont quand même fait avoir. Si eux n'y arrivent pas toujours, la question pour une PME n'est pas de construire une forteresse. C'est de savoir ce qui se passe le jour où ça arrive.

Ce qui se passe vraiment lors d'une fuite

Le mot « piratage » évoque une intrusion spectaculaire. La réalité est plus banale, et c'est ce qui la rend instructive.

Dans la majorité des cas documentés, l'entrée se fait par un identifiant qui aurait dû être protégé. Un mot de passe réutilisé sur un autre site qui a lui-même été piraté. Un compte d'un ancien salarié jamais désactivé. Un accès prestataire ouvert pour un projet terminé depuis deux ans. Un mot de passe partagé entre plusieurs personnes parce que c'était plus pratique.

Ensuite, l'attaquant regarde ce qu'il peut atteindre. Et c'est là que se joue la différence entre un incident contenu et une catastrophe : si ce compte donne accès à tout, la fuite sera totale. S'il ne donne accès qu'à ce dont son propriétaire avait besoin, les dégâts restent limités.

En clair

Le principe le plus efficace en sécurité informatique tient en une phrase : chaque personne, et chaque logiciel, ne doit accéder qu'à ce dont il a besoin pour travailler.

Ce n'est pas de la méfiance envers les équipes. C'est une limitation des dégâts, exactement comme les portes coupe-feu dans un bâtiment.

Le sujet dont on parle moins : vos données ne sont pas toutes chez vous

Voici l'angle que la couverture médiatique traite rarement, et qui concerne directement une PME.

Vos données clients ne sont pas seulement sur votre serveur. Elles sont aussi chez votre logiciel de facturation en ligne, votre outil de prise de rendez-vous, votre plateforme d'emailing, votre solution de paie, votre CRM. Plusieurs des fuites françaises récentes ont d'ailleurs touché exactement ce type de plateformes de services en ligne, dont les clients étaient des entreprises comme la vôtre.

Concrètement, cela veut dire que vous pouvez être touché sans avoir été attaqué. Le jour où l'un de vos prestataires est compromis, ce sont vos données clients qui circulent, et c'est vous qui devrez l'expliquer à vos clients.

La question à se poser n'est donc pas seulement « suis-je bien protégé ». C'est aussi « chez combien de prestataires mes données se trouvent-elles, et lesquels sont sérieux ».

Six actions à mener, dont cinq sans budget

Voici ce qu'un dirigeant peut lancer dès cette semaine, sans être technicien.

Action 1 : la liste des prestataires qui détiennent vos données

Prenez une feuille et listez tous les services en ligne où figurent des données de vos clients, de vos salariés ou de vos fournisseurs. Comptabilité, paie, CRM, emailing, prise de rendez-vous, stockage de fichiers, outils métier. La plupart des dirigeants s'arrêtent entre quinze et trente. C'est souvent le moment où l'on découvre des outils souscrits par un service et oubliés depuis.

Action 2 : la chasse aux comptes fantômes

Combien de comptes actifs correspondent à des personnes qui ne travaillent plus chez vous ? À des prestataires dont la mission est terminée ? À des stagiaires partis l'an dernier ? Cette revue est gratuite, elle prend une heure, et elle ferme une des portes d'entrée les plus utilisées.

Action 3 : la double authentification là où ça compte

C'est le code reçu sur le téléphone en plus du mot de passe. Beaucoup de dirigeants la trouvent contraignante et la réservent aux comptes bancaires. Activez-la au minimum sur la messagerie, les outils de comptabilité et les accès à distance. Même si un mot de passe fuite, il ne suffit plus.

Action 4 : la fin des mots de passe partagés

Le compte commun dont tout le monde connaît le code, écrit sur un fichier partagé ou sur une note. C'est confortable et c'est la faille la plus difficile à tracer, parce qu'en cas de problème personne ne sait qui a fait quoi. Les outils de gestion de mots de passe d'entreprise règlent le problème pour un coût modeste.

Action 5 : la sauvegarde indépendante de vos prestataires

Point souvent mal compris. Si vos données sont dans un service en ligne, la sauvegarde n'est pas automatiquement de la responsabilité du fournisseur, et sa rétention de quelques jours n'est pas une sauvegarde au sens strict. Vérifiez, pour vos trois outils les plus critiques, ce qui se passerait si le fournisseur perdait vos données ou si vous perdiez l'accès au service.

Action 6 : savoir quoi faire le jour J

Une page, pas un classeur. Qui appelle-t-on en premier. Qui prévient les clients et avec quel message. Qui décide de couper les accès. Où trouver les coordonnées de son prestataire informatique et de son assureur en dehors des heures ouvrées. Cette page vaut plus que bien des outils, parce qu'elle évite les premières heures de flottement qui aggravent tout.

Ce qu'il faut retenir

Une PME ne peut pas atteindre le niveau de protection d'un grand groupe, et ce n'est pas l'objectif. Mais la majorité des incidents que nous voyons sur le terrain n'exploitent pas des techniques sophistiquées. Ils exploitent un compte oublié, un mot de passe partagé, une sauvegarde jamais vérifiée.

Autrement dit, l'essentiel du risque se traite avec de la méthode plutôt qu'avec du budget. Le reste, les outils de protection et la surveillance, vient ensuite et se dimensionne selon votre activité.

Ce que nous faisons sur ce sujet

SPMDIGITAL protège les données de ses clients à plusieurs niveaux : sauvegarde des postes de travail, des serveurs, des bases de données, de la messagerie et de l'annuaire, avec chiffrement de bout en bout et télésauvegarde sécurisée en France. Nous travaillons avec Proxmox Backup Server, Veeam, Beemo et ARX One selon les environnements.

Côté protection, nous déployons l'antivirus ESET, les pare-feu Sophos et OPNsense avec Zenarmor, et nous sécurisons les accès distants. Notre Plan de Reprise Informatique prévoit des tests réguliers des sauvegardes, pour que la restauration soit vérifiée avant d'être nécessaire.

Sources et références

• Recensements publics des fuites de données françaises, juillet 2026.

• Classements internationaux des violations de données, premier trimestre 2026.

• CERT-FR, analyses sur les vecteurs d'intrusion les plus fréquents (cert.ssi.gouv.fr).

• Retours terrain SPMDIGITAL sur incidents traités chez des clients.

Une question vous trotte dans la tête ?

Si vous ne savez pas dire aujourd'hui où sont vos données ni ce qui se passerait en cas d'incident, prenons un moment pour faire le point ensemble.