// CLUBIC — CYBERSECURITY
Agences de communication et studios créatifs : des cibles sous-estimées qui détiennent des données clients sensibles
Vous vous demandez peut-être ce qui, dans les dossiers de votre agence de publicité ou de votre studio créatif, peut bien intéresser des cybercriminels. Et c’est bien normal, car votre cœur de métier, c'est la création, pas la cybersécurité.
La réponse est simple. Une agence travaille presque toujours pour plusieurs clients à la fois, et pour chaque nouveau contrat, vous créez une base de données supplémentaire qui vient s’ajouter à vos serveurs.
Pour un pirate informatique, cette mine d’informations stockée dans une petite structure comme votre TPE ou votre PME vaut souvent plus qu’une grande entreprise.
Parce qu’en perçant une seule fois vos défenses, il accède aux clients de plusieurs organisations à la fois. Une grande entreprise cliente consacre souvent plus de moyens à sa sécurité informatique qu'une agence de taille modeste. Les cybercriminels le savent et attaquent d’abord le prestataire, plus vulnérable, plutôt que l’entreprise qu’il sert, c’est-à-dire vous.
Votre petite entreprise a de grandes ambitions. Protégez-là contre les pirates. Et développez sereinement votre activité !
Vos briefs confidentiels, les identifiants des comptes publicitaires de vos clients et leurs bases d’abonnés à votre newsletter sont souvent hébergés sur les mêmes serveurs, quel que soit le client concerné. Si vous dirigez un studio créatif, vous conservez aussi des maquettes de campagnes encore secrètes et des calendriers de lancement que les marques n’ont pas encore rendus publics. Un cybercriminel qui arrive à passer vos dispositifs de cybersécurité accède, d'un coup, à l'ensemble de vos clients.
C'’est ainsi qu’en janvier, des attaquants ont compromis un sous-traitant chargé du support client de ManoMano. Ils ont récupéré des noms, des adresses e-mail, des numéros de téléphone et l’historique de conversations de plusieurs clients de l’entreprise. Mais ce n’est pas ManoMano qui était la cible de l’intrusion. La CNIL, l’ANSSI et la plateforme cyber d’Île-de-France en ont été informées. Les données de vos clients transitent par vos outils et sont donc en danger au même risque que les vôtres.
Au titre du règlement européen sur la protection des données, vous avez souvent la qualité de sous-traitant de vos clients dès que votre agence traite leurs données personnelles. Vous devez donc respecter des obligations de sécurité précises, prévues par l’article 28 du texte, et vous répondez de vos manquements aux côtés de la marque que vous servez. Et attention, ça ne plaisante pas. En mai 2025, la CNIL a sanctionné Solocal Marketing Services à hauteur de 900 000 euros pour des manquements liés au consentement dans ses campagnes de prospection commerciale. La sanction portait sur la façon dont l’entreprise traitait les données de prospects avant de les exploiter commercialement, sans lien avec un piratage. Le secteur du marketing et de la communication est donc déjà sous surveillance étroite du régulateur français.
Le courrier électronique est l’outil le plus simple à pirater. Votre agence échange chaque jour avec des dizaines de journalistes, d’influenceurs et de fournisseurs extérieurs. Dans ce flux, vous ne pouvez pas forcément repérer un message frauduleux. Un attaquant peut imiter la facture d'un de vos prestataires habituels ou la demande urgente d'un client. Il suffit de cliquer une seule fois sur une pièce jointe piégée pour installer un accès durable dans vos systèmes. Vous n’avez pas le temps, agissez dans l’urgence ou par habitude et les cybercriminels profitent aussi de cela.
En plus de la messagerie, d’autres outils de votre système sont vulnérables.