Si vous soupçonnez une brèche de données de carte : quoi faire d'abord

Contenez-la sans détruire les preuves

Le guide de la FTC, Data Breach Response: A Guide for Business, précise d'agir rapidement pour sécuriser les systèmes et corriger les vulnérabilités qui pourraient avoir causé l'atteinte. Ses étapes comprennent : sécuriser les zones physiques concernées et changer les codes d'accès au besoin; former une équipe d'intervention, qui peut inclure la médecine légale, le juridique, la sécurité de l'information, l'informatique, les opérations et la direction; envisager des enquêteurs judiciaires indépendants; mettre hors ligne immédiatement tout l'équipement touché, mais ne pas éteindre les machines avant l'arrivée des experts judiciaires; mettre à jour les identifiants et mots de passe; interroger les personnes ayant découvert l'atteinte; documenter l'enquête; et ne pas détruire les preuves judiciaires. Effacer un ordinateur de caisse ou réinstaller un serveur Web avant qu'il ne soit examiné est exactement ce que le guide déconseille.

Avisez votre fournisseur de paiement tôt

Les atteintes aux données de carte font intervenir les réseaux de cartes. Les Visa Core Rules (18 avril 2026) précisent qu'un membre doit se conformer au guide « What To Do If Compromised » de Visa, enquêter sur les compromissions soupçonnées ou confirmées par ses agents ou commerçants, et les signaler immédiatement à Visa; dans la région américaine, le signalement peut être fait au nom du membre par son agent ou par un commerçant. À la demande de Visa, le membre ou son agent doit donner accès aux lieux et aux systèmes, et doit engager un enquêteur judiciaire PCI; s'il ne le fait pas, Visa peut en engager un et lui refacturer les coûts. Les mêmes règles exigent que les membres s'assurent que leurs contrats de commerçant énoncent les responsabilités de sécurité des commerçants et les conséquences d'un manquement. En pratique, votre acquéreur vous transférera ces obligations par votre contrat de commerçant; appelez donc l'équipe de risque ou de sécurité de votre fournisseur dès que vous soupçonnez un problème et lisez la section sécurité de votre contrat.

Déterminez qui vous devez aviser

Le guide de la FTC précise d'aviser les forces de l'ordre, les entreprises touchées et les personnes touchées. Il précise que tous les États, le District of Columbia, Porto Rico et les Îles Vierges ont des lois exigeant la notification des atteintes à la sécurité touchant des renseignements personnels, et que d'autres lois peuvent s'appliquer selon les renseignements en cause. Les lois d'État diffèrent; vérifiez donc celles qui s'appliquent à vous avec un avocat plutôt que de vous fier à un résumé. Si des numéros de carte ou de compte bancaire ont été volés et que vous ne tenez pas ces comptes, la FTC précise d'aviser l'institution qui les tient afin qu'elle puisse surveiller la fraude. Par ailleurs, la règle Safeguards de la FTC s'applique aux entreprises qui sont des institutions financières selon sa définition; la FTC cite en exemples les prêteurs hypothécaires, les prêteurs sur salaire, les sociétés de financement, les agences de recouvrement et les entreprises de préparation fiscale. Une institution financière visée doit aviser la FTC dès que possible et au plus tard 30 jours après avoir découvert une atteinte à la sécurité touchant les renseignements non chiffrés d'au moins 500 consommateurs. Au Canada, le Commissariat à la protection de la vie privée précise que les organisations assujetties à la LPRPDE doivent signaler les atteintes présentant un risque réel de préjudice grave, aviser les personnes touchées, et conserver des registres de toutes les atteintes, qu'elles soient déclarables ou non. Les lois provinciales sur la vie privée peuvent aussi s'appliquer; vérifiez-les également.

Communiquez avec soin

La FTC recommande un plan de communication qui rejoint les employés, les clients, les partenaires et autres parties prenantes, et met en garde contre les déclarations trompeuses ou la rétention de détails qui aideraient les gens à se protéger. Elle suggère de consulter les forces de l'ordre sur le moment des avis afin de ne pas nuire à une enquête, de nommer une personne-ressource unique, et d'expliquer ce qui s'est passé, quels renseignements ont été pris, ce que vous faites, et comment les gens peuvent vous joindre. Elle suggère aussi de dire aux gens comment vous les contacterez à l'avenir, ce qui les aide à repérer l'hameçonnage qui utiliserait l'atteinte comme couverture.

Corrigez la cause et conservez moins de données

Après le confinement, le guide de la FTC précise de vérifier ce à quoi les fournisseurs de services peuvent accéder et de vérifier leurs correctifs, de revoir si la segmentation du réseau a contenu l'atteinte, et de déterminer si le chiffrement était activé. Le PCI SSC note que le chiffrement seul ne suffit généralement pas à sortir les données de titulaires de carte du champ d'application du PCI DSS, tandis qu'une solution de chiffrement point à point homologuée PCI peut réduire considérablement les exigences applicables. La tokenisation et les pages de paiement hébergées réduisent la quantité de données de carte que vos systèmes touchent jamais. Exemple illustratif seulement, avec des détails fictifs : un commerce avec quatre terminaux découvre un lecteur trafiqué sur l'un d'eux. Il débranche ce lecteur du réseau sans l'éteindre, le photographie, cesse de l'utiliser, appelle la ligne de sécurité de son fournisseur de paiement et un avocat, et note qui a remarqué quoi et quand. Il ne remplace pas l'appareil ni n'efface la caisse avant que l'enquêteur ne le dise. Ceci est de l'information générale, non un avis juridique (17 septembre 2026).