Compte Google Ads piraté : le risque cyber du référenceur

On parle volontiers du risque cyber des entreprises, rarement de celui des prestataires qui détiennent leurs accès. Le consultant ou l'agence en search marketing est pourtant un cas d'école : pour travailler, vous accédez quotidiennement aux comptes Google Ads, Google Analytics, Search Console, Tag Manager et aux gestionnaires de publicités sociales de l'ensemble de votre portefeuille clients.

Cette concentration crée une asymétrie de risque méconnue. Un attaquant qui compromet votre poste ou votre messagerie n'accède pas à un seul compte : il accède potentiellement à dizaines de comptes publicitaires, chacun adossé à un moyen de paiement actif. Vous êtes, en langage cyber, un maillon à fort effet de levier : peu d'effort pour l'attaquant, beaucoup de dégâts potentiels.

Cette réalité change la nature de votre exposition : vous n'êtes plus seulement responsable de vos propres données, mais gardien des accès d'autrui.

Un compte Google Ads piraté n'est pas un trophée passif : il a une valeur d'usage immédiate pour l'attaquant. Les scénarios les plus fréquents sont :

• La diffusion de campagnes frauduleuses. L'attaquant crée des annonces renvoyant vers des sites malveillants ou des arnaques, financées par le budget du client légitime. Le compte sert de blanchisseuse publicitaire jusqu'à épuisement du moyen de paiement.
• L'exfiltration de données business. Analytics et Search Console contiennent des informations stratégiques : volumes de ventes, requêtes performantes, parcours d'achat, données d'audience. Un concurrent ou un revendeur de données y trouve une mine.
• Le détournement de la conversion. Modification des balises via Tag Manager pour rediriger des conversions ou injecter du code malveillant sur le site du client.

Dans tous les cas, le client subit un préjudice direct, et la question de l'origine de la compromission se posera. Si la brèche provient de vos accès mal protégés, votre responsabilité est en jeu.

Une compromission par vos accès vous expose sur deux fronts distincts.

Le front financier d'abord. Les dépenses frauduleuses engagées sur le compte du client, le coût de remédiation, l'interruption des campagnes légitimes : autant de pertes que le client cherchera à imputer au prestataire dont les accès ont servi de porte d'entrée.

Le front réglementaire ensuite. Si des données personnelles fuitent — données d'audience, listes de remarketing, identifiants — la situation bascule dans le champ du RGPD. En tant que prestataire manipulant ces données pour le compte du client, vous pouvez être qualifié de sous-traitant au sens de l'article 28 du RGPD, avec des obligations de sécurité et de notification. Une violation de données peut déclencher une obligation d'information de la CNIL dans les 72 heures et une exposition à des sanctions.

Le risque cyber du référenceur n'est pas qu'une affaire d'argent : c'est aussi une affaire de conformité, car vous traitez des données personnelles pour le compte de vos clients.

Cette double exposition justifie une couverture spécifique, distincte de la simple responsabilité civile professionnelle.

Une garantie Cyber pensée pour les métiers du numérique va au-delà de l'indemnisation d'un sinistre matériel. Elle intervient typiquement sur :

• Les dépenses frauduleuses engagées sur les comptes confiés à la suite d'une compromission.
• Les frais de remédiation : expertise informatique, restauration des accès, audit de sécurité post-incident.
• La gestion de crise et la notification en cas de violation de données personnelles, y compris l'accompagnement juridique vis-à-vis de la CNIL et des clients concernés.
• La responsabilité envers les tiers lorsque le client ou un sous-client subit un préjudice du fait de la compromission.

Cette garantie se combine naturellement avec votre RC Pro : la première traite l'incident de sécurité et ses conséquences, la seconde la faute professionnelle classique. Pour un référenceur, dissocier les deux risques revient à laisser un angle mort sur la moitié de son exposition.

La plupart des référenceurs signent un devis ou un contrat de prestation, mais oublient le volet protection des données. Or, dès lors que vous accédez à des données personnelles pour le compte d'un client — listes de remarketing, audiences personnalisées, données de Search Console — vous agissez en tant que sous-traitant au sens du RGPD. Cela impose, en théorie, un contrat de sous-traitance conforme à l'article 28 : description des traitements, mesures de sécurité, obligations en cas de violation.

En pratique, cet acte fait presque toujours défaut dans la relation référenceur-client. C'est un double risque : juridique, car vous êtes en infraction avec une obligation légale ; et assurantiel, car en cas de fuite de données, l'absence de cadre contractuel complique l'établissement des responsabilités. À l'inverse, un contrat de sous-traitance qui précise vos mesures de sécurité et les obligations du client (par exemple le nettoyage régulier des accès) clarifie qui répond de quoi.

Formaliser le volet RGPD de votre prestation n'est pas une formalité administrative : c'est la pièce qui détermine, en cas de violation de données, si vous avez agi en sous-traitant diligent ou en maillon négligent.

Ce cadre s'articule avec votre couverture : une garantie Cyber qui prend en charge la gestion de crise et la notification CNIL ne dispense pas du contrat, elle en est le complément naturel.

L'assurance traite les conséquences ; l'hygiène numérique réduit la probabilité. Trois mesures concentrent l'essentiel de la protection :

1. La double authentification partout. Activez l'authentification à deux facteurs sur votre compte Google, vos messageries et chaque plateforme publicitaire. C'est la mesure la plus efficace contre le vol d'identifiants.
2. La gestion fine des accès. Privilégiez les accès délégués via le Centre pour les clients Google Ads (MCC) et les rôles Analytics, plutôt que le partage de mots de passe. À la fin d'une mission, révoquez immédiatement les accès. Ne conservez jamais d'identifiants clients en clair dans un fichier.
3. La séparation des environnements et la surveillance. Poste de travail à jour, antivirus actif, gestionnaire de mots de passe, et alertes de dépense activées sur les comptes Ads pour détecter une activité anormale au plus tôt.

Documenter ces mesures a un bénéfice supplémentaire : en cas de sinistre, prouver que vous appliquiez les bonnes pratiques facilite la prise en charge et démontre votre diligence vis-à-vis du client. La prévention et l'assurance ne s'opposent pas, elles se renforcent.