En octobre 2025, la plateforme de messagerie Discord indique avoir été confrontée à une fuite de données majeure impliquant un de ses prestataires externes : la société néerlandaise 5CA, spécialisée dans le support client et la modération pour les entreprises du numérique et du jeu vidéo.
L’incident, survenu fin septembre, a exposé les données de dizaines de milliers d’utilisateurs. Rapidement, Discord a précisé qu’il ne s’agissait pas d’un piratage de ses propres systèmes, mais d’un problème survenu chez ce prestataire. De son côté, 5CA a nié toute intrusion informatique et a évoqué une « erreur humaine ».
Ce cas constitue un exemple particulièrement intéressant pour les étudiants en communication de crise : il met en lumière les difficultés de coordination entre client et prestataire, la gestion de la temporalité des annonces, les enjeux de transparence et de responsabilité, ainsi que la manière dont les mots choisis (« intrusion » ou « erreur ») peuvent profondément influencer la perception publique.
Contexte et déroulé des faits
Un incident d’origine externe
Le 3 octobre 2025, Discord annonce publiquement qu’un incident de sécurité a touché un de ses prestataires. L’entreprise insiste sur le fait que ses propres systèmes n’ont pas été compromis : la faille se situe chez 5CA, un sous-traitant chargé du support client et du traitement de certaines vérifications d’âge.
Selon les informations communiquées, environ 70 000 utilisateurs ayant interagi avec le service client pourraient être concernés. Les données exposées comprendraient des noms, adresses e-mail, échanges avec le support, et dans certains cas des images de pièces d’identité utilisées pour la vérification d’âge.
Discord précise néanmoins que les mots de passe, données d’authentification et informations complètes de paiement n’ont pas été affectés.
Le prestataire 5CA et sa position
5CA, prestataire externe de Discord, a publié un communiqué quelques jours après l’annonce initiale. Elle y déclare que ses propres systèmes n’ont pas été piratés et qu’elle ne manipulait pas directement de copies de pièces d’identité pour le compte de Discord.
Surtout, elle avance une autre hypothèse : l’incident serait lié à une « erreur humaine ». Cette version diffère sensiblement de celle présentée par Discord, qui parlait clairement d’une « intrusion d’un acteur non autorisé ».
Cette divergence de communication va constituer le cœur du problème : elle fragilise la crédibilité des deux parties et ouvre la porte à la spéculation médiatique.
Intrusion ou erreur : un débat sémantique à enjeux multiples
Discord évoque une attaque informatique ciblant les services de 5CA. 5CA, de son côté, réfute tout piratage et évoque un incident « externe à ses systèmes », potentiellement causé par une mauvaise manipulation humaine.
Cette opposition n’est pas anodine. Si l’incident est dû à une intrusion, cela suppose une faille de sécurité technique et une possible négligence. Si, au contraire, il s’agit d’une erreur humaine, la cause serait davantage organisationnelle ou procédurale. Dans les deux cas, la perception du public et la responsabilité juridique changent.
Enjeux de communication de crise
La transparence comme premier réflexe
Julien Auffret, expert en communication de crise, résume bien ce principe :
« En situation de crise, la première parole doit être honnête et claire ; toute retenue ou flou alimente l’incertitude, et donc la défiance. »
Discord a tenté de faire preuve de transparence en publiant rapidement un communiqué officiel. Toutefois, son insistance sur la responsabilité du prestataire peut être perçue comme un moyen de se dédouaner. En communication de crise, la nuance est essentielle : reconnaître sa part de responsabilité, même indirecte, contribue à renforcer la confiance.
La question de la responsabilité
Lorsque la crise découle d’un prestataire, la question clé est : qui est responsable ? L’entreprise donneuse d’ordre (Discord) ou le sous-traitant (5CA) ?
Florian Silnicki, spécialiste reconnu de la communication de crise et Président Fondateur de l’agence LaFrenchCom, le rappelle :
« Dans une crise, vous n’êtes pas seulement jugé pour ce que vous avez fait, mais aussi pour ce que vous avez laissé faire. Externaliser ne signifie pas se décharger de la responsabilité. »
Les utilisateurs ne font pas de distinction entre l’entreprise et ses prestataires : ils considèrent Discord comme responsable de la protection de leurs données, peu importe qui les manipule.
La gestion de la relation client-prestataire en pleine crise
Les crises liées à la cybersécurité des sous-traitants sont de plus en plus fréquentes. On parle de « supply chain attacks » : des attaques qui visent les maillons les plus faibles de la chaîne numérique.
Pour une entreprise comme Discord, cela pose un défi : comment conserver la maîtrise du message lorsque le problème émane d’un tiers ? La clé réside dans la coordination et la cohérence du discours. Discord et 5CA auraient dû adopter une position commune sur les faits établis, tout en différenciant clairement leurs rôles dans la gestion de criseme.
La temporalité de la communication
Dans une crise numérique, chaque heure compte. Les utilisateurs et les médias attendent des réponses immédiates, et l’absence de communication crée un vide propice aux rumeurs.
Julien Auffret, Directeur Général de l’agence LaFrenchCom souligne :
« Le temps joue contre vous : chaque minute sans information fiable permet aux rumeurs de se propager. »
Discord a réagi relativement vite, mais la divergence de discours avec son prestataire a entretenu la confusion. Ce décalage temporel a brouillé la perception publique.
Les publics à informer
En communication de crise, il ne s’agit pas seulement de « parler au public », mais de parler à plusieurs publics :
- Les utilisateurs affectés, qui doivent être informés précisément et rassurés.
- Les utilisateurs non concernés, à qui il faut prouver que la sécurité reste maîtrisée.
- Les médias, qui amplifient ou apaisent selon la clarté des messages.
- Les autorités, garantes du respect des obligations légales.
- Les collaborateurs internes, qui doivent être alignés pour éviter les fuites d’informations contradictoires.
Analyse de la communication des deux acteurs
Discord : transparence rapide mais posture défensive
Discord a publié une déclaration officielle mentionnant qu’il s’agissait d’une compromission externe et non d’une faille interne. Ce positionnement vise à préserver sa réputation technique et à rassurer les utilisateurs sur la sécurité de la plateforme.
L’entreprise a aussi indiqué avoir coupé les accès du prestataire concerné, lancé une enquête, et mobilisé des experts indépendants.
Cependant, cette stratégie présente deux limites :
- La perception de désengagement : en mettant l’accent sur la faute du prestataire, Discord semble chercher à s’exonérer de sa part de responsabilité.
- Le flou des chiffres : bien que Discord parle de 70 000 utilisateurs concernés, certains médias évoquent des chiffres bien supérieurs, ce qui entretient le doute.
Discord aurait pu adopter une communication plus empathique, centrée sur l’impact pour les utilisateurs plutôt que sur la défense de sa réputation.
5CA : la ligne du déni prudent
Le communiqué de prese publié par la société 5CA est un exemple classique de « holding statement » : un message court, destiné à gagner du temps tout en montrant que l’entreprise agit.
5CA y affirme ne pas avoir été piratée et précise que l’incident est « extérieur » à ses systèmes. Elle parle d’« erreur humaine », tout en indiquant que l’enquête est en cours.
Cette posture a deux effets contradictoires :
- Elle peut rassurer ses autres clients, car elle affirme la robustesse de ses systèmes.
- Mais elle peut aussi donner l’impression de minimiser les faits, voire de contredire Discord.
En communication de crise, avancer une hypothèse sans faits établis peut fragiliser la crédibilité de la parole publique.
L’incohérence du message commun
Discord et 5CA n’ont pas livré une version coordonnée. Pour les utilisateurs et les médias, cette divergence a semé le doute.
Julien Auffret rappelle :
« Quand deux acteurs impliqués dans une crise ont des versions divergentes, l’audience va croire celle qui paraît la plus crédible ou la plus rapide. »
Leçon : en cas de crise impliquant un partenaire externe, il faut établir un message commun minimal, même si chaque partie conserve sa propre responsabilité. Cette cohérence est la clé de la confiance.
Intrusion ou erreur humaine : une nuance stratégique
Des implications juridiques et réputationnelles
Qualifier une crise d’« intrusion » ou d’« erreur » change tout.
- Une intrusion suppose un acteur malveillant, donc une vulnérabilité technique.
- Une erreur humaine renvoie à un défaut de procédure ou de contrôle interne.
Sur le plan réglementaire, la nature de la cause influence les obligations de notification aux autorités et les risques de sanction.
Sur le plan réputationnel, une « erreur » peut sembler plus bénigne, mais aussi plus évitable. À l’inverse, une « attaque » évoque une menace externe mais suggère une faille de défense.
Pourquoi 5CA mise sur l’« erreur humaine »
Le choix de ce terme n’est pas neutre :
- Il limite la perception d’une défaillance technique grave.
- Il permet de conserver la confiance des autres clients.
- Il recentre la responsabilité sur un individu, et non sur l’organisation.
Mais ce choix comporte un risque : si l’enquête prouve qu’il s’agissait bien d’une intrusion, l’entreprise apparaîtra comme ayant voulu minimiser la situation, ce qui peut entraîner une « crise dans la crise ».
Le courage de l’aveu
L’expert en communication de crise, Florian Silnicki, le résume ainsi :
« Reconnaître une erreur humaine demande du courage, mais cela montre que vous assumez et que vous allez corriger. Tenter de masquer une intrusion en la rebaptisant « erreur » peut à terme coûter plus cher. »
La sincérité du discours reste donc essentielle : en cas de doute, il vaut mieux dire que l’enquête est en cours plutôt que d’avancer une hypothèse non confirmée.
Enseignements pratiques pour les étudiants en communication de crise
Avant la crise : la préparation
- Cartographier les prestataires : identifier qui traite des données sensibles et dans quelles conditions.
- Évaluer la maturité en cybersécurité des partenaires.
- Prévoir un plan de communication de crise commun, incluant les prestataires externes.
- Former les équipes à la coordination et à la communication rapide.
- Simuler des scénarios de crise pour tester la réactivité et la cohérence des messages.
Pendant la crise : la réaction
- Communiquer vite, mais bien : ne pas attendre d’avoir tous les détails pour parler.
- Privilégier la clarté et la sincérité : dire ce que l’on sait, ce que l’on ignore, et ce que l’on fait.
- Aligner les messages entre les acteurs impliqués.
- Adresser les bons publics avec des messages différenciés.
- Donner des conseils concrets aux utilisateurs (vérification d’identité, changement de mots de passe, vigilance).
Julien Auffret ajoute :
« La première parole ne doit pas être parfaite, mais elle doit être honnête. »
Après la crise : la reconstruction
- Publier un bilan transparent de l’incident et des mesures prises.
- Mettre en œuvre un plan d’amélioration (audits, formation, segmentation des accès).
- Rétablir la confiance à travers des preuves concrètes de changement.
- Capitaliser sur l’expérience en actualisant le plan de crise.
- Surveiller les indicateurs de réputation pour mesurer l’impact à moyen terme.
Les erreurs à éviter
- Attendre trop longtemps avant de s’exprimer.
- Donner des versions contradictoires entre partenaires.
- Employer des termes flous ou techniques incompréhensibles.
- Minimiser la gravité de la situation.
- Négliger la communication interne.
- Oublier la phase post-crise.
Le cas Discord/5CA comme étude de cas pédagogique
Les points positifs
- Discord a réagi rapidement et communiqué publiquement.
- Les deux entreprises ont lancé des enquêtes et mobilisé des experts externes.
- L’incident a permis d’ouvrir le débat sur la sécurité de la chaîne des prestataires.
Les limites de la gestion
- Le manque de coordination entre Discord et 5CA a semé la confusion.
- Le choix des mots (« intrusion » contre « erreur humaine ») a accentué la dissonance.
- La dimension empathique de la communication, centrée sur les utilisateurs, est restée trop faible.
Les leçons clés à retenir
- En communication de crise, la cohérence est plus importante que la perfection.
- La rapidité d’expression doit s’accompagner de prudence dans le choix des mots.
- La préparation en amont (plans, scénarios, coordination) est le seul moyen d’éviter les messages contradictoires.
- La responsabilité partagée entre client et prestataire doit être assumée et expliquée.
Le cas Discord/5CA illustre les défis de la communication de crise à l’ère de la dépendance numérique et de la sous-traitance. La fuite de données, qu’elle soit due à une attaque ou à une erreur humaine, met en lumière une réalité simple : la sécurité ne se délègue pas, et la confiance se gagne par la transparence.
Ce cas montre aussi l’importance du choix des mots : parler « d’intrusion » ou « d’erreur » n’a pas la même portée symbolique ni juridique. Ces termes structurent le récit public de la crise.
Pour les étudiants en communication de crise, ce dossier offre un apprentissage précieux :
- Anticiper les crises liées à la supply-chain.
- Coordonner les messages entre partenaires.
- Gérer la temporalité et la sincérité des annonces.
- Préparer la phase de sortie de crise avec autant d’attention que la phase d’urgence.
Comme le résume Florian Silnicki :
« Dans une crise, vous n’êtes pas seulement jugé pour ce que vous avez fait, mais aussi pour ce que vous avez laissé faire. »
Et pour conclure avec Julien Auffret :
« La première parole ne doit pas être parfaite, mais elle doit être honnête. »
Ces deux principes devraient guider toute communication de crise : vérité, cohérence et responsabilité.