Fournisseur victime d’un ransomware : que faire ?

Pourquoi n’êtes-vous pas sur la liste des victimes, mais peut-être dans les fichiers ?

Un groupe de ransomware (ou rançongiciel) nomme en général l’entreprise qu’il a attaquée sur son propre site puis, si elle ne paie pas, publie les fichiers qu’il lui a pris. Ces fichiers sont ceux de la victime : factures, contrats, bons de commande, e-mails, listes de clients et de fournisseurs.

Si vous travaillez avec la victime, vous y apparaissez. Le nom de votre entreprise, votre domaine ou les adresses e-mail de vos équipes peuvent figurer dans un contrat, une relance de paiement ou une liste de diffusion. Votre entreprise n’a pas été attaquée : elle n’est donc pas sur la liste. Elle peut pourtant être dans les fichiers, et la liste ne vous le dit pas.

Que montre notre propre décompte ?

Nous avons compté une seule fois, sur une seule publication. Dans les fichiers d’un fournisseur de services aux entreprises, publiés par un groupe de ransomware en 2026, 99 des 104 grands groupes de notre liste apparaissent par leur domaine de messagerie ou de site web. Le décompte date du 10 novembre 2026. Nous ne nommons ni le fournisseur ni les groupes.

Cela ne dit pas que ces groupes ont été attaqués : le fournisseur l’a été. Cela ne dit pas non plus combien il y a sur chacun. C’est une seule publication, donc un cas et non un taux. Comment nous avons compté.

Que demander au fournisseur dans les premiers jours ?

Posez vos questions par écrit, à votre interlocuteur habituel et à son responsable sécurité ou protection des données. Gardez les réponses et leurs dates.

1. Qu’est-ce qui a été touché ? Quels systèmes et quels fichiers, et depuis quand.
2. Que détient-il sur vous ? Contrats, documents, données personnelles, accès partagés avec vous.
3. Quelque chose a-t-il été publié ? Si les attaquants ont mis des fichiers en ligne, et si le fournisseur les a vus.
4. Qui a été prévenu ? Son autorité, son assureur, ses autres clients, et à quelle date.
5. Qu’est-ce qui est fermé ? La porte d’entrée, les mots de passe et les clés, et si un rapport indépendant suivra.
6. Qui est votre contact, et quand aura lieu le prochain point ?

Comment chercher votre propre entreprise ?

Ouvrez la recherche gratuite et saisissez le nom de votre entreprise, puis votre domaine. Aucun compte n’est nécessaire. Elle indique combien de documents correspondent et de quel type ils sont, avec les noms masqués. Vous n’en lisez pas le texte. Comment fonctionne la recherche gratuite.

Access est un abonnement pour votre entreprise. Il montre tels quels les enregistrements sur votre propre domaine, garde masqués les noms des autres entreprises et relie votre assistant IA aux mêmes données par MCP, une façon standard de connecter un assistant à une source de données. Ce que contient Access.

Une recherche sans résultat n’est pas la preuve d’une absence. Un nom peut être écrit autrement, un document peut manquer à notre index et un groupe peut publier plus tard. Relancez la recherche dans une à deux semaines.

Quand avez-vous des obligations propres ?

Ce sont des informations générales, pas un avis juridique. Demandez à votre délégué à la protection des données ou à un avocat comment elles s’appliquent à vous.

• RGPD. Si le fournisseur traite des données personnelles pour votre compte, le RGPD (EUR-Lex) prévoit qu’il vous notifie toute violation de données à caractère personnel dans les meilleurs délais après en avoir pris connaissance (article 33, paragraphe 2). En tant que responsable de traitement, vous notifiez la violation à l’autorité de contrôle dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance, à moins qu’elle ne soit pas susceptible d’engendrer un risque pour les droits et libertés des personnes physiques (article 33, paragraphe 1). Même sans notification, vous documentez la violation (article 33, paragraphe 5). En France, l’autorité est la CNIL.
• NIS2. Cette directive demande aux États membres d’imposer aux entités essentielles et importantes des mesures de gestion des risques. Elles comprennent la sécurité de la chaîne d’approvisionnement, avec les aspects de sécurité des relations avec les fournisseurs directs (article 21, paragraphe 2, point d). Si vous êtes concerné, le détail figure dans le droit national. NIS2 sur OwlyScan.
• DORA. Si vous êtes une entité financière dans le champ du règlement, vous gérez les risques liés à vos prestataires tiers de services TIC comme une partie du risque lié aux TIC dans votre cadre de gestion (article 28). DORA sur OwlyScan.

Une liste de contrôle courte

1. Écrivez dès aujourd’hui au fournisseur avec les questions ci-dessus.
2. Cherchez le nom de votre entreprise et votre domaine dans la recherche gratuite, et notez la date.
3. Changez les mots de passe et les clés que vous partagez avec le fournisseur, et revoyez les accès que vous lui avez donnés.
4. Demandez à votre délégué à la protection des données si des données personnelles, les vôtres ou celles de vos clients, sont concernées, et notez à quel moment vous en avez eu connaissance.
5. Relisez votre contrat : clauses de notification et droits d’audit.
6. Relancez la recherche dans une à deux semaines.

Questions fréquentes