Fuite de la base CV : anatomie d'un sinistre à 180 000 € chez un cabinet

Le cabinet — appelons-le Cabinet R. — emploie seize consultants, réalise 2,3 M€ de chiffre d'affaires et gère un ATS (Applicant Tracking System) en mode SaaS, intégré à un connecteur LinkedIn et à une boîte mail mutualisée. Sa base contient environ 42 000 CV accumulés sur huit ans, dont 14 000 considérés comme « actifs » (mis à jour dans les vingt-quatre derniers mois). Le cabinet a souscrit, dix-huit mois plus tôt, une cyber assurance dédiée à 720 € HT par an, avec un plafond de 1 M€ et une franchise de 5 000 €.

Le sinistre commence un vendredi soir. Un consultant senior clique sur un mail piégé imitant une notification LinkedIn (« nouveau message d'un candidat »). La page de connexion frauduleuse capte ses identifiants, qui ne sont pas protégés par MFA. Le pirate teste les identifiants sur l'ATS dans la nuit, identifie un rôle administrateur et programme l'export massif de la base pour le samedi matin.

Cette configuration — équipe moyenne, base volumineuse, MFA partiel, ATS SaaS intégré à plusieurs outils — est extrêmement représentative du marché français du recrutement. C'est précisément pour cela que les analystes assurance la considèrent comme un profil de risque cyber à exposition élevée et à fréquence croissante.

La rapidité de réaction est ici l'élément décisif. La notification à la CNIL dans les 72 heures est une obligation de l'article 33 du RGPD ; tout dépassement non motivé est sanctionnable. La notification aux personnes concernées est obligatoire dès lors que la violation est susceptible d'engendrer un risque élevé pour leurs droits et libertés (article 34).

Sur ce total, la cyber assurance a pris en charge environ 162 000 €, après application d'une franchise de 5 000 € et déduction de quelques postes non couverts (formation préventive notamment). Sans assurance, Cabinet R. aurait absorbé l'intégralité, soit l'équivalent de 8 % de son chiffre d'affaires annuel.

Le coût comptable raconte l'essentiel mais pas tout. Trois conséquences indirectes pèsent à long terme :

• Le départ d'un client grand compte, qui a invoqué une clause de sécurité de son cahier des charges fournisseurs.
• La défiance des candidats seniors, qui ont retiré leur CV de la base dans les semaines suivantes — environ 9 % de la base active.
• L'inscription du cabinet dans une enquête sectorielle du Défenseur des droits, le mettant sur le radar pour les vingt-quatre mois suivants.

Aucune cyber assurance ne « répare » totalement ces pertes. Certaines couvrent une aide à la reconquête commerciale ou une option e-réputation : à demander explicitement à la souscription.

La base candidats d'un cabinet de recrutement est qualifiée par la CNIL de traitement à grande échelle de données personnelles. Cela emporte plusieurs obligations renforcées :

1. Analyse d'impact relative à la protection des données (AIPD) souvent requise, en application des lignes directrices CNIL.
2. Désignation d'un délégué à la protection des données (DPO) recommandée dès lors que l'activité principale consiste en un suivi régulier et systématique de personnes.
3. Durée de conservation limitée : la CNIL recommande deux ans à compter du dernier contact pour les CV non retenus, sauf consentement explicite pour une durée plus longue.
4. Registre des traitements obligatoire.
5. Notification sous 72 heures à la CNIL en cas de violation et information des personnes concernées en cas de risque élevé.

Un cabinet en infraction sur ces points lors d'une violation se voit reprocher non seulement la fuite mais aussi son défaut de conformité préalable — facteur aggravant pour la sanction.

Une couverture cyber bien calibrée pour un cabinet doit comporter au minimum :

• une cellule de crise 24/7 mobilisable en moins de 4 heures (forensic, juriste, communication) ;
• la prise en charge des coûts de notification aux personnes concernées ;
• la garantie responsabilité civile RGPD face aux candidats lésés ;
• la perte d'exploitation cyber avec une indemnisation journalière ;
• la cyber-extorsion et la prise en charge des négociations ;
• une option fraude au président ou fraude bancaire en ligne, fréquente dans ce type de structure.

Pour un cabinet de moins de 25 collaborateurs, un plafond global de 500 000 € à 1 M€ est un seuil cohérent. Au-delà de 5 M€ de chiffre d'affaires ou de 50 000 candidats actifs, montez à 2 M€.

La cyber assurance se cumule utilement avec une RC Pro et, si vous occupez vos propres locaux, une multirisque professionnelle.

Les assureurs cyber appliquent des bonifications tarifaires significatives quand le cabinet peut démontrer :

1. un MFA généralisé sur tous les outils SaaS (ATS, mail, LinkedIn) ;
2. une sauvegarde quotidienne avec test de restauration trimestriel ;
3. une formation phishing annuelle avec exercice de simulation ;
4. une politique de mots de passe robuste et un gestionnaire centralisé ;
5. un plan de continuité documenté, même synthétique.

Ces cinq mesures peuvent réduire la prime de 15 à 30 % et, surtout, divisent par dix la probabilité du sinistre. Dans le cas de Cabinet R., le simple déploiement du MFA sur l'ATS aurait probablement neutralisé le scénario — le pirate aurait obtenu les identifiants mais buté sur le second facteur.

Le contrat avec l'éditeur de l'ATS définit la répartition des responsabilités RGPD. Le cabinet est responsable du traitement, l'éditeur sous-traitant au sens de l'article 28 du RGPD. En cas de violation, les autorités regarderont :

• si la cause technique est imputable à l'éditeur (faille, défaut de chiffrement, absence de MFA imposé) ou au cabinet (identifiants compromis, paramétrage des droits trop large) ;
• si le contrat sous-traitance conforme à l'article 28 a été signé ;
• si le cabinet a réalisé une due diligence à la sélection de l'éditeur.

Cabinet R. a pu mettre en cause son éditeur pour absence de MFA obligatoire côté administrateur, ce qui a permis une récupération partielle de 22 000 € auprès de l'assureur RC Pro de l'éditeur. Cette subrogation est devenue un poste habituel dans les sinistres cyber : votre assureur la pilote pour vous.

Conséquence opérationnelle : conservez les contrats signés, les annexes techniques de sécurité, les certifications (ISO 27001, HDS, SecNumCloud) et les comptes rendus d'audit de vos sous-traitants. C'est ce dossier qui alimente la subrogation et permet à votre cyber assurance de récupérer une partie de l'indemnisation auprès du véritable responsable.