Plans confidentiels exfiltrés : quand le NDA signé se retourne contre le dessinateur piraté

Un dessinateur industriel indépendant ou un petit bureau d'études manipule chaque semaine ce que la cybercriminalité industrielle recherche : fichiers CAO natifs (CATPart, SLDPRT, STEP), nomenclatures, dossiers de définition de produits non encore commercialisés. Le grand donneur d'ordre a un RSSI, un SOC et des pare-feux ; son sous-traitant d'études a un poste de travail, une box internet et une messagerie grand public.

C'est le principe de l'attaque par la chaîne d'approvisionnement : plutôt que d'attaquer frontalement l'équipementier, on compromet le prestataire qui détient les mêmes fichiers avec dix fois moins de défenses. L'ANSSI alerte régulièrement sur ce déport du risque vers les TPE de la sous-traitance industrielle. Et il y a un angle mort supplémentaire : ces fichiers ne contiennent presque jamais de données personnelles. Pas de RGPD, pas de réflexe de protection… alors que leur valeur concurrentielle dépasse largement celle d'un fichier client.

Reconstitution d'un cas type, inspiré de sinistres réels du secteur. Un dessinateur 3D travaille depuis huit mois sur le prototype d'un équipement de manutention pour un industriel. Un mardi matin, il reçoit un e-mail imitant la plateforme de transfert de fichiers utilisée avec son client. Il saisit ses identifiants sur la fausse page : en 48 heures, l'attaquant accède à sa messagerie, puis à son espace de stockage en ligne synchronisé.

• J+3 : exfiltration silencieuse de 240 fichiers CAO et du dossier de définition complet du prototype ;
• J+5 : message de chantage — 25 000 € en cryptomonnaie, faute de quoi les fichiers seront vendus « à la concurrence » ;
• J+6 : le dessinateur, de bonne foi, prévient son client. La direction juridique de l'industriel active immédiatement l'accord de confidentialité signé en début de mission.

Le NDA prévoyait une pénalité forfaitaire de 50 000 € par manquement, une obligation de « mesures de sécurité conformes à l'état de l'art » et la résiliation immédiate aux torts du prestataire. Résultat : mission stoppée (32 000 € de facturation annuelle envolés), pénalité réclamée, et 11 500 € de frais d'investigation numérique et d'avocat pour organiser la défense. Sans compter trois semaines d'activité quasi nulle.

Sans accord de confidentialité, le dessinateur piraté serait d'abord une victime. Avec un NDA, il devient débiteur d'une obligation contractuelle de protection. Trois clauses méritent une lecture à la loupe avant signature :

• L'intensité de l'obligation : « moyens raisonnables » est défendable ; « garantit la confidentialité » ou toute formulation de résultat signifie que la fuite suffit à engager votre responsabilité, quelles que soient vos précautions ;
• La clause pénale : un forfait dû par manquement, sans preuve de préjudice. Le juge peut la modérer si elle est manifestement excessive, mais il faut aller au contentieux pour l'obtenir ;
• Le renvoi à « l'état de l'art » : sans MFA ni chiffrement, difficile de plaider que vos mesures étaient au niveau attendu en 2026.

La question de l'expert judiciaire ne sera pas « avez-vous été piraté ? » mais « pouviez-vous raisonnablement l'empêcher ? ». C'est votre hygiène numérique documentée qui répondra à votre place.

Conservez donc la preuve de vos mesures : captures d'activation du MFA, journal des sauvegardes, attestations de formation. Ce dossier vaut de l'or en expertise.

Face à ce scénario, une assurance cyber intervient sur quatre plans :

• Gestion de crise immédiate : hotline 24/7, experts en réponse à incident, négociateurs — les premières 72 heures sont déterminantes et impossibles à improviser seul ;
• Investigation et remédiation : analyse forensique (facturée 800 à 1 500 € par jour sur le marché), nettoyage des postes, restauration des accès ;
• Responsabilité civile cyber : les dommages et intérêts réclamés par le donneur d'ordre au titre de son préjudice réel (perte d'avance concurrentielle, frais de re-conception) ;
• Pertes d'exploitation propres : vos journées d'activité perdues pendant la remise en état.

La nuance qui fâche : la plupart des contrats excluent les pénalités contractuelles pures, celles dues indépendamment de tout préjudice démontré — précisément le mécanisme de la clause pénale du NDA. D'où une double stratégie : négocier le NDA en amont (remplacer le forfait automatique par une indemnisation du préjudice prouvé) et vérifier noir sur blanc le sort des pénalités dans le contrat cyber. Notre page dédiée au métier de dessinateur industriel récapitule les garanties à croiser.

Le questionnaire de souscription cyber ressemble de plus en plus à un audit des donneurs d'ordre. Cinq mesures conditionnent l'accès à la garantie — et souvent son tarif :

• MFA partout : messagerie, stockage en ligne, VPN. C'est la mesure qui aurait stoppé net le scénario ci-dessus ;
• Sauvegarde 3-2-1 : trois copies, deux supports, une copie hors ligne ou immuable — un disque déconnecté suffit à l'échelle d'un indépendant ;
• Espace d'échange dédié et chiffré pour les fichiers clients, distinct de la messagerie personnelle ;
• Mises à jour systématiques du poste CAO et des logiciels, y compris les visionneuses gratuites, portes d'entrée classiques ;
• Suppression contractuelle des fichiers en fin de mission, avec attestation : on ne peut pas se faire voler ce qu'on ne détient plus.

Coût total de ces mesures pour un indépendant : moins de 300 € par an. À comparer aux 93 500 € du scénario reconstitué.