Crise cyber : comment préparer sa communication face à la pression médiatique
Il est fini le temps où les organisations pouvaient dissimuler des fuites de données aux médias. "Préparez votre communication de crise, car on ne peut pas cacher une attaque cyber : l'information se retrouvera sur le web", avertissait même Patrick Touak, général commandant le COMCYBER-MI, lors de l'édition 2026 de Ready For IT, devant un parterre de DSI et RSSI. La médiatisation des fuites de données n'a en effet jamais été aussi importante, amplifiée par des influenceurs cyber toujours plus nombreux qui annoncent parfois des fuites de données sans en vérifier l'authenticité, selon Stéphanie Ledoux, fondatrice d'Alcyconie, une entreprise spécialisée dans la gestion de crise cyber.
"Certains influenceurs ne contactent pas les organisations concernées avant d'annoncer une fuite de données. Cela a été le cas pour certains de nos clients. Ces influenceurs n'ont pas les mêmes pratiques que les journalistes, ce que ne savent pas de nombreuses organisations. En agissant ainsi, ces influenceurs imposent leur récit pendant la crise cyber. C'est très inconfortable pour les organisations attaquées, car elles doivent alors réagir à une version des faits imposée. Nous fournissons une préparation à la médiatisation de la crise cyber en prenant en compte ce nouveau phénomène". Cette préparation repose sur plusieurs étapes et l'adoption de réflexes à mettre en œuvre avant et pendant la crise cyber.
Les étapes pour préparer la pression médiatique avant la crise
"Les organisations ont peur de la médiatisation des cyberattaques car elle peut porter préjudice à leur marque et à la relation de confiance qu'elles ont nouée pendant des années avec leurs clients, leurs partenaires, leurs salariés, et toutes les autres parties prenantes", observe Guillaume Granier, directeur du département communication stratégique chez FTI, une entreprise de conseil spécialisée dans la gestion de crise. Pour éviter d'affaiblir cette relation de confiance, l'organisation doit identifier en amont l'ensemble des parties prenantes à informer en cas de crise cyber : les autorités régulatrices comme la Cnil, les clients, partenaires commerciaux, etc.
Etablir une cartographie des acteurs à contacter
Après avoir identifié l'ensemble de ces acteurs, l'organisation doit élaborer une cartographie précisant les fonctions et coordonnées de chacun d'entre eux. "Nous recommandons une telle cartographie pour que l'organisation n'oublie de contacter personne le jour de la crise", observe Stéphanie Ledoux. "Il est en effet nécessaire d'éviter que les clients, surtout les grands, n'apprennent une fuite de données par voie médiatique plutôt que directement par l'organisation", affirme Guillaume Granier. Dans le cas contraire, ils pourraient y voir une volonté de leur fournisseur de cacher l'incident, ce qui risquerait d'altérer la relation de confiance qu'ils entretiennent avec celui-ci.
Entretenir des relations médias
"L'organisation doit faire l'effort d'entretenir cette relation de confiance avec toutes ces parties prenantes pour que celles-ci soient à l'écoute quand une crise cyber survient". Ces relations doivent inclure des journalistes et décideurs à mobiliser pour transmettre les informations correctes à propos de la crise. C'est aussi l'avis de l'ancien RSSI de Jaguar, Ashish Shrestha, qui a été confronté à la cyberattaque très médiatique ayant touché le constructeur automobile en 2025. "Les RSSI doivent développer leur communauté de confiance avec des journalistes, relations presse, communicants, etc. Ils doivent entretenir une relation continue avec des journalistes éthiques en qui ils ont confiance, pour leur transmettre les informations correctes. Cela leur permettra de réduire l'impact des spéculations médiatiques quand une crise cyber survient".
Faire du RSSI un porte-parole
Enfin, selon Guillaume Granier, les organisations doivent former leurs attachés de presse, lorsqu'elles en disposent, ou leurs équipes de communication, à la gestion des crises cyber. Toutefois, il est préférable que ce soit le RSSI qui soit formé au rôle de porte-parole, plutôt qu'un communicant, selon Stéphanie Ledoux. Sa maîtrise des aspects techniques de l'incident lui permet en effet de répondre avec davantage de précision aux questions de la presse, qu'elle soit généraliste ou spécialisée, lors d'une crise cyber.
Les réflexes de communication à adopter pendant la crise
Quand la crise cyber éclate, la préparation ne suffit plus : l'organisation doit mettre en œuvre ce qui a été anticipé et adopter les bons réflexes acquis lors d'exercices réguliers. La plus grande difficulté est alors de communiquer le plus justement possible et au bon moment.
Communiquer ni trop tôt, ni trop tard
"Face à une attaque cyber, il ne faut ni réagir trop tôt, ni réagir trop tard, selon Guillaume Granier. Le risque de communiquer trop tôt est de donner des éléments inexacts sur le type de données fuitées, sur le nombre de clients concernés, etc. Dans une attaque cyber, il faut respecter le temps des investigations pour en savoir plus sur les origines et effets de l'attaque. On a déjà vu des organisations qui ont communiqué trop tôt, puis qui ont dû corriger ce qu'elles avaient communiqué. Elles le paient cher en termes de crédibilité. Mais, d'un autre côté, l'organisation ne doit pas communiquer trop tard non plus. Car il faut qu'elle maîtrise le récit de l'attaque, et qu'elle ne se laisse pas déborder médiatiquement." "Il ne faut pas laisser la chaise vide. Plus tôt l'organisation communiquera, mieux ce sera", tempère Stéphanie Ledoux.
"Si l'organisation ne communique pas le plus tôt possible, c'est l'influenceur qui le fera. Puis après ça s'emballe et l'organisation devra réagir à la version des faits de l'influenceur ou d'un journaliste. L'organisation n'est pas obligée de tout savoir sur les causes et les effets de l'attaque cyber pour communiquer. Elle peut se contenter d'expliquer qu'elle fait face à un incident et qu'elle mobilise les moyens nécessaires à sa résolution. Quand l'incident est déjà revendiqué par des attaquants, autant prendre acte du fait qu'il existe en expliquant que des investigations ont lieu. Cela permet d'occuper le terrain, de ne pas être dans la réaction, et de rassurer toutes les parties prenantes", conseille la professionnelle de la crise cyber.
Maîtriser le récit en rappelant les faits
Quand l'organisation décide de communiquer, "elle doit respecter certaines règles de base : rappeler les faits pour maîtriser le récit, expliquer les mesures mises en place pour la résolution de l'incident, comme la notification aux autorités compétentes, le dépôt de plainte, ou les moyens mobilisés. L'organisation doit aussi faire preuve d'empathie à l'égard des parties prenantes affectées par l'attaque. Elle doit publier un communiqué de presse court et efficace, pour qu'il soit diffusé sur les réseaux sociaux", affirme Stéphanie Ledoux.
Certaines erreurs doivent absolument être évitées : "L'organisation ne doit pas se victimiser ou se dédouaner, car cela est perçu comme peu responsable. Aussi, il ne faut pas tourner autour du pot en n'utilisant pas certains termes pour minimiser la situation. Par exemple, certains clients veulent parfois qualifier une cyberattaque de panne informatique, en espérant que cela fasse moins peur. Nous le déconseillons car cela peut être reproché à l'organisation ensuite. Certains affirmeront en effet que l'organisation n'a pas correctement qualifié la situation".
Parler d'une seule voix
Enfin, l'organisation attaquée doit prescrire des consignes à ses collaborateurs visant à ce qu'ils adoptent tous la même version des faits. Et pour cause. "Des clients qui veulent se rassurer chercheront à en savoir plus en se rapprochant de collaborateurs avec lesquels ils sont en contact. Or si chacun fournit des éléments de langage différents, ce sera discordant et cela donnera l'image d'une organisation dépassée par la situation", conclut Stéphanie Ledoux.