Cette semaine, j’ai suivi comme chaque lundi le fil d’actualité de ZATAZ, la référence française des actus cyber. Une série dense de fuites, intrusions et campagnes de phishing touchant notamment Steam, Cars.no, MyPhoto, la FF Handball, Maisons du Monde, ArtNexus, Santé publique France et la DGFiP. Derrière cette liste qui ressemble à un inventaire à la Prévert, il y a un signal clair pour les dirigeants : vos données sont une cible de choix, et la plupart d’entre elles sont beaucoup moins protégées que vous ne l’imaginez.
Ce que la vague de fuites de la semaine dit vraiment
Commençons par les faits, sans dramatisation inutile. Le cas le plus lourd de la semaine touche l’administration fiscale française. Selon le communiqué officiel de Bercy, les investigations ont permis d’établir que ces accès avaient été utilisés pour consulter et extraire certaines données concernant un total de 678 000 particuliers et professionnels, notamment des données fiscales telles que le revenu fiscal de référence, le quotient familial ou le taux de prélèvement à la source. Des données cadastrales relatives aux adresses et aux surfaces de biens immobiliers ont également été consultées.
Autre dossier révélateur : celui de MyPhoto, remonté par ZATAZ quelques jours plus tôt.
Une base de données attribuée au site MyPhoto aurait exposé commandes, photos, salariés et données logistiques, créant un risque concret de phishing ciblé et d’ingénierie sociale. C’est un jeu de données complet, exploitable immédiatement pour construire un scénario de fraude crédible contre les clients comme contre les salariés de l’entreprise.
Et ce n’est pas un épisode isolé. La semaine précédente, ZATAZ signalait déjà que
Planity, Mercor, Suitable AI, KomikoAI, Click To Pray, plusieurs SDIS, ENI et des CRM municipaux sont visés par des fuites, des accès revendiqués ou des ventes présumées. Les CRM, publics comme privés, sont devenus une catégorie à part entière dans les revendications de ces groupes.
Pourquoi le CRM est un actif plus précieux qu’un fichier clients classique
On protège naturellement les données de paiement, les mots de passe, parfois le code source. On protège beaucoup moins bien le CRM. C’est une erreur de priorité. Un CRM B2B contient trois couches d’informations que n’importe quel attaquant sérieux sait monétiser : l’identité des décideurs (nom, fonction, ligne directe, e-mail professionnel), l’historique des échanges (ce qui a été dit, promis, négocié), et le contexte commercial (montant du deal, calendrier de décision, objections soulevées).
C’est exactement la matière première d’un phishing ciblé de qualité. Un attaquant qui connaît le nom du DAF, le montant d’un contrat en cours de renouvellement et le ton des derniers échanges commerciaux n’a plus besoin de deviner. Il rejoue une conversation. C’est infiniment plus efficace qu’un mail générique envoyé à toute l’entreprise.
Le problème s’aggrave avec la multiplication des outils connectés au CRM. Une PME moyenne utilise aujourd’hui plus de 75 applications SaaS, CRM, comptabilité, RH, marketing, visioconférence, messagerie, stockage, IA.
Chaque intégration est une porte d’entrée supplémentaire. Chaque commercial qui connecte son extension Chrome de prospection, son outil d’enrichissement de données ou son assistant IA de rédaction d’e-mails élargit la surface d’attaque, souvent sans que la direction en ait conscience. C’est du shadow IT dont on parlera plus tard.
Le vrai coût d’une fuite pour une PME tech, chiffres à l’appui
Les dirigeants sous-estiment presque toujours ce risque parce qu’ils raisonnent en probabilité individuelle plutôt qu’en statistique de secteur. Or les chiffres sont sans équivoque. Le baromètre CESIN 2026 indique que 40 % des entreprises françaises ont subi au moins une cyberattaque significative dans l’année. Et Cybermalveillance.gouv.fr indique avoir assisté plus de 500 000 victimes en 2025, soit une hausse de 20 % par rapport à 2024.
Sur le coût concret, les fourchettes varient selon la méthodologie mais convergent vers le même ordre de grandeur. La médiane observée par Cybermalveillance.gouv.fr dans son baromètre national de la maturité cyber des TPE et PME se situe entre 50 000 et 150 000 € pour une attaque ciblée d’intensité moyenne. Pour les fuites de données spécifiquement, le coût médian d’une fuite de données pour une entreprise de moins de 500 salariés se situe entre 150 000 et 350 000 euros selon IBM.
À ces montants s’ajoute une contrainte réglementaire qui tombe vite : la notification CNIL est obligatoire sous 72 heures en cas de fuite de données, et les sanctions RGPD peuvent atteindre 4 % du chiffre d’affaires annuel mondial.
Pour une scale-up tech qui vend en cycle complexe, il faut ajouter un coût invisible dans ces statistiques: la perte de confiance du comité d’achat de vos prospects et clients. Un prospect qui apprend que son interlocuteur commercial a laissé fuiter l’historique de leurs échanges ne signe pas. Le pipeline qualifié construit sur des mois de prospection s’évapore en une notification de violation de données.
Le CRM doit être considéré comme une infrastructure critique
Voilà le changement de regard que je propose. Chez Generativ, nous répétons que la vente B2B doit fonctionner comme une usine : un flux structuré, mesuré, reproductible. Une usine se protège. On ne laisse pas la chaîne de production ouverte à tous les vents parce qu’elle « ne fabrique que des prospects ».
Or c’est exactement ce qui se passe dans beaucoup de PME tech. Le CRM est administré en mode permissif : tout le monde a un accès complet, les anciens comptes de stagiaires ou de commerciaux partis ne sont pas désactivés, l’authentification à deux facteurs n’est pas obligatoire, et les extensions tierces sont connectées sans revue de sécurité. Ce niveau de laxisme ne serait jamais toléré sur un ERP financier. Il l’est presque systématiquement sur le CRM, alors qu’il concentre autant de valeur commerciale sensible.
Quatre réflexes à mettre en place cette semaine
Pas besoin d’un audit de sécurité de six mois pour réduire l’exposition. Quatre actions concrètes, réalisables sans DSI dédié :
- Auditer les accès CRM. Qui a un accès complet ? Qui devrait n’avoir qu’un accès en lecture ? Désactiver immédiatement les comptes des collaborateurs partis.
- Activer la double authentification sur le CRM, la messagerie professionnelle et tous les outils de prospection connectés, sans exception y compris pour les dirigeants.
- Faire le tri dans les intégrations tierces. Chaque extension de scraping, d’enrichissement de données ou d’assistant IA connecté au CRM doit être justifiée et revue au moins une fois par an.
- Former les commerciaux au phishing ciblé. Un message qui cite le bon nom, le bon montant de deal et la bonne échéance ne ressemble pas à un phishing classique. C’est justement ce qui le rend dangereux.
Exemple concret de vigilance à diffuser en interne : « Un e-mail qui semble venir d’un prospect connu, qui reprend le contexte exact de votre dernier échange et qui demande une action urgente (changement de RIB, validation express, envoi de document) doit systématiquement être vérifié par un second canal avant toute action. »
Ces réflexes ne remplacent pas un audit de sécurité complet, mais ils ferment les portes les plus évidentes en quelques jours.
La vraie question n’est pas si, mais quand
La série de fuites de cette semaine, de la DGFiP à MyPhoto, ne concerne pas que des géants ou des administrations. Elle rappelle une réalité simple : toute base de données à valeur commerciale finit dans le viseur d’un attaquant. Votre usine de vente ne se limite pas aux scripts de prospection et aux séquences d’e-mails. Elle inclut la sécurité de la donnée qui l’alimente. Une machine commerciale performante mais vulnérable n’est pas une machine performante, c’est une bombe à retardement.
Et vous, savez-vous précisément qui a accès à votre CRM aujourd’hui, et depuis quand ? Si la réponse est hésitante, parlons-en, trente minutes, sans engagement.
Sources
- ZATAZ, Cyber actualités de la semaine du 10 au 16 août 2026
- Ministère de l’Économie, communiqué sur les accès illégitimes au système d’information de la DGFiP
- Data Security Breach, base MyPhoto exposée
- Cybermalveillance.gouv.fr, baromètre national de la maturité cyber des TPE-PME
- CESIN, baromètre annuel de la cybersécurité des entreprises 2026