La communication de crise liée aux fuites de données

Ashley Madison, VTech, Experian, Hilton… L’année 2015 a marqué un tournant dans l’histoire des cyberattaques et des violations de données (data breach). Au-delà de l’enjeu de cybersécurité, ces piratages informatiques se sont transformés en véritables crises médiatiques, mettant à l’épreuve la communication de crise des entreprises touchées. Décryptage de deux cas d’école — le scandale Ashley Madison et le piratage des jouets connectés VTech — et des réflexes à adopter pour protéger sa réputation après une fuite de données.

Les fuites de données observées en 2015 ont eu une portée considérable : elles ont concerné, entre autres, BlueCross BlueShield, Hyatt, Hilton, Experian (et donc T-Mobile) et Anthem. Mais deux de ces marques se sont démarquées en faisant l’objet d’une grande couverture médiatique et d’une indignation du public considérable.

Ashley Madison : la fuite de données de 32 millions d’utilisateurs

Ashley Madison figure parmi les cas les plus marquants, en raison surtout du scandale associé à cette affaire. La fuite de données a permis de révéler l’identité d’environ 32 millions d’utilisateurs du site destiné aux personnes mariées à la recherche de liaisons extraconjugales. Cette violation de données a également exposé quelques célébrités virtuelles et a tristement été associée à plusieurs suicides. Retour sur un cas de communication de crise que l’on retrouve de plus en plus fréquemment.

Piratage VTech : quand une cyberattaque vise les données de 6,4 millions d’enfants

Mais les fuites de données qui ont le plus choqué concernent le plus grand piratage informatique jamais connu ciblant des enfants, dans le cadre duquel le fabricant de jouets VTech a divulgué les données de 6,4 millions d’enfants. En plus de cela, VTech a retiré plusieurs jouets de son site Internet, une situation qui a tourné au fiasco le jour de Noël.

Une gestion de crise trop lente et sous-dimensionnée

Florian Silnicki, Fondateur de l’agence de communication de crise et gestion de crise LaFrenchCom, souligne que VTech n’a pas réagi rapidement et n’a pas su reconnaître l’étendue du problème.

Les clients américains de VTech ont dû supporter de longs temps d’attente avant de recevoir une réponse de la part du siège de l’entreprise situé à Hong Kong.

Gérer une violation de données : les conseils de Florian Silnicki (LaFrenchCom)

« Réfléchissez à l’avance sur la façon de répondre plus rapidement à la clientèle, surtout si vous travaillez dans différents fuseaux horaires », déclare Florian Silnicki, Expert en stratégies de communication de crise et gestion de crise. « Envisagez de créer temporairement des centres d’appels supplémentaires pour faire face à l’augmentation du nombre de demandes ».

Empathie et porte-parole : répondre à l’émotion des victimes

« VTech a dû faire face à des parents inquiets et en colère. Sa réponse aurait donc dû aller au-delà des simples aspects pratiques de cette violation de données, et aurait dû prendre en compte les conséquences et l’impact émotionnels », affirme Florian Silnicki. « Il est essentiel de faire preuve d’empathie. Le choix du porte-parole est extrêmement important. Dans le cas de VTech impliquant des enfants, le meilleur porte-parole au sein de la société doit être un parent ».

En attendant, bien que le vol de données concernant des enfants soit particulièrement alarmant, le fait est qu’aucune information n’est réellement protégée », déclare Florian Silnicki. « En particulier dans le secteur commercial, qui connaît une prépondérance croissante du nombre de vols de données, il semblerait presque que les violations de données soient tout simplement devenues un nouveau « coût d’activité commerciale » comparable aux pertes financières résultant du vol à l’étalage et des vols commis par des employés ».

Anticiper la cyberattaque : le plan de communication de crise à préparer

Florian Silnicki conseille aux entreprises « d’établir des rôles et des responsabilités clairement définis, de vérifier la disponibilité des porte-paroles exécutifs, de mettre à jour ses listes de contacts, de créer des modèles de déclaration, de formuler des listes d’emails prêtes à être envoyées à la presse, de conserver un journal des appels et d’offrir un accès direct à son site Internet, à ses chaînes de réseaux sociaux et aux pages dédiées aux employés » avant qu’elles ne se retrouvent confrontées à une violation de données.

Adapter le ton de la réponse à l’arc narratif de la crise

« Il est essentiel d’adapter l’ampleur de la réponse à l’arc narratif et de prendre ses distances lorsque l’on a l’impression que l’intérêt à tendance à s’estomper », affirme Florian Silnicki. « Exprimer du repentir ne vous fera avancer que jusqu’à un certain point. Adopter le ton approprié est l’élément clé qui vous permettra d’obtenir l’empathie du public. Il peut s’agir d’un ton dépité, apologétique, dédaigneux ou indulgent, en fonction du scénario ».

Fuite de données : les 5 leçons de communication de crise à retenir

Au-delà des cas Ashley Madison et VTech, ces crises cyber offrent des enseignements concrets à toute entreprise exposée à une violation de données :

1. Anticiper avant d’être attaqué. Rôles définis, porte-paroles disponibles, modèles de déclaration, listes presse à jour : le plan de communication de crise se prépare à froid, pas au moment du piratage.
2. Répondre vite, sur tous les fuseaux horaires. Renforcer les centres d’appels et les canaux digitaux dès les premières heures permet d’absorber le pic de demandes et d’éviter le sentiment d’abandon des clients.
3. Traiter l’émotion autant que la technique. Une fuite de données touche des personnes, pas seulement des serveurs : l’empathie conditionne l’acceptation du discours de l’entreprise.
4. Choisir le porte-parole le plus légitime. Face à des parents inquiets, un dirigeant lui-même parent incarne mieux la réponse de l’entreprise qu’un communiqué impersonnel.
5. Doser le ton et la durée de la prise de parole. Adapter l’ampleur de la réponse à l’arc narratif médiatique et savoir s’effacer lorsque l’intérêt retombe.

En matière de cybersécurité comme de communication sensible, la préparation en amont reste le meilleur bouclier pour l’e-réputation de l’entreprise.

FAQ – Communication de crise et fuite de données

Qu’est-ce qu’une fuite de données (data breach) ? Une fuite de données, ou violation de données, désigne l’accès, la divulgation ou le vol non autorisés d’informations personnelles ou confidentielles, à la suite d’une cyberattaque, d’une faille de sécurité ou d’une erreur humaine.

Comment communiquer après une fuite de données ? Reconnaître rapidement les faits, informer les personnes concernées et les autorités compétentes, dimensionner les canaux de réponse (centres d’appels, réseaux sociaux, FAQ dédiée), désigner un porte-parole légitime et empathique, puis adapter le ton et l’ampleur de la prise de parole à l’évolution de la crise.

Que s’est-il passé lors de la fuite de données Ashley Madison ? En juillet 2015, des pirates informatiques ont dérobé puis publié les données d’environ 32 millions d’utilisateurs d’Ashley Madison, site de rencontres destiné aux personnes mariées. Le scandale a exposé l’identité des membres, entraîné démissions et procédures judiciaires, et illustré l’impact réputationnel dévastateur d’une violation de données.

Pourquoi la gestion de crise de VTech est-elle un contre-exemple ? Fin 2015, le piratage de la plateforme Learning Lodge de VTech a exposé les données de millions d’enfants et de parents. La réponse de l’entreprise — lente, sous-dimensionnée et peu empathique, jusqu’au retrait de jouets le jour de Noël — en fait un contre-exemple classique de communication de crise.

Une entreprise doit-elle notifier la CNIL après une violation de données ? Oui. Depuis l’entrée en application du RGPD en mai 2018, toute violation de données personnelles susceptible d’engendrer un risque pour les personnes doit être notifiée à la CNIL dans un délai de 72 heures. En cas de risque élevé, les personnes concernées doivent également être informées dans les meilleurs délais.