En août 2025, Google a révélé qu’une importante attaque avait ciblé sa base Salesforce dédiée aux prospects Google Ads, compromettant des millions de données professionnelles. Bien que les informations sensibles comme les cartes de paiement aient été épargnées, la fuite de coordonnées et de notes commerciales soulève des questions sérieuses sur la sécurité numérique des entreprises et les risques de fraude ciblée. Cette situation démontre combien la gestion des données, même « publiques », peut devenir un levier d’attaque redoutable dans un contexte cybercriminalité toujours plus sophistiqué.
L’article en bref
La récente cyberattaque qui a frappé Google met en lumière les dangers liés à l’exploitation des données professionnelles agit comme un signal d’alarme pour les entreprises, quant à leur vulnérabilité face aux groupes cybercriminels.
- Données exposées et risque B2B : Plusieurs millions d’identités et contacts pros compromis
- Phishing et vishing intensifiés : Fuite utilisée pour des attaques ciblées très crédibles
- Conséquences réglementaires : Obligations de notification et risques liés au RGPD
- Mesures concrètes à adopter : Sensibilisation et renforcement des procédures de sécurité
La gestion responsable des données, même celles dites publiques, devient un enjeu central pour éviter de lourdes conséquences en ligne.
Une faille dans l’écosystème : comment Google s’est fait piéger
Le 11 août 2025, Google a confirmé qu’une attaque menée par plusieurs groupes connus – ShinyHunters, Scattered Spider et Lapsus$ – avait permis de compromettre une partie de sa base Salesforce utilisée pour son service Google Ads. Cette base n’était pas une simple base interne sécurisée mais un point d’accès tiers, ce qui illustre la réalité actuelle : la fragilité d’une chaîne dépend souvent du maillon le plus faible, qu’il ne s’agisse pas forcément d’une faille technique chez Google lui-même.
Des millions de noms d’entreprises, numéros de téléphone et notes commerciales ont été copiés, sans toucher aux données de paiement ou aux accès directs aux comptes publicitaires. Google a précisé que ces informations étaient en grande partie accessibles au public mais structurées, ce qui rend leur agrégation une mine d’or pour les attaquants qui peaufinent leurs scénarios de phishing et vishing.
De la donnée ouverte à un outil d’attaque hyper ciblé
Que faire d’un simple numéro et d’un profil d’entreprise ? Sur le papier, cela paraît anodin, mais dans la vraie vie, cela devient une arme redoutable. Un hacker peut construire rapidement un scénario d’appel ou de message convaincant, décliné en fonction des notes ou organisations ciblées. Le résultat : des attaques de phishing ou vishing difficiles à détecter.
Ce phénomène n’est pas théorique : des cas concrets de compromission se multiplient, souvent tragiques pour les entreprises qui voient leur chaîne de confiance brisée, clients et partenaires méfiants. Google Ads, un outil clé de la publicité numérique, devient ainsi un point d’entrée indirect où la sécurité des tiers constitue un gros point noir.
Risques légaux et obligations des entreprises face à la fuite
La présence dans une base exploitée frauduleusement pose des questions réglementaires immédiates. Sous le prisme du RGPD, la fuite même de données dites « professionnelles » doit être considérée comme une violation, d’autant plus si elles contribuent à des actions frauduleuses, ou si cela entraîne un impact sur la vie privée ou les opérations commerciales.
Pour les entreprises concernées, il devient impératif d’auditer leur situation :
- Evaluer si la notification aux autorités compétentes est requise.
- Informer leurs clients et partenaires selon les risques encourus.
- Mettre en place et documenter des mesures correctives pour prouver leur diligence.
Ne pas s’emparer de ce sujet rapidement peut se solder par des sanctions administratives lourdes ainsi qu’une difficulté accrue en cas de litige ultérieur.
Audit des partenaires et sécurité : une errance à corriger
La faille n’est pas sur un serveur Google public, mais bien sur un outil tiers – Salesforce – intégré à la gestion des prospects. Ceci rappelle qu’en 2026, la chaîne de confiance doit inclure une gouvernance rigoureuse des prestataires et partenaires internes et externes.
Sans audit régulier, ni clauses contractuelles sécurisées, il devient impossible de garantir la sécurité globale des données. Cette prise de conscience pousse les DSI à revoir leurs standards, integrations et processus internes, singulièrement sur l’authentification et la prévention des risques externes.
Actions efficaces pour réduire l’exposition et sécuriser le futur
La simple réaction d’un changement de mot de passe sera trop légère face à ce type d’attaque. Des mesures plus précises doivent être adoptées :
- Informer et former immédiatement les équipes sur les risques de phishing et vishing ciblés.
- Renforcer l’authentification et les protocoles avant toute opération sensible.
- Revoir les procédures de validation des paiements et modifications bancaires.
- Intégrer ces scénarios d’attaque dans les exercices de gestion de crise pour mieux anticiper.
Au final, ces mesures sont autant des boucliers contre les menaces que des arguments solides pour une meilleure conformité réglementaire et un positionnement responsable dans la gouvernance RSE.
Tableau : Conséquences clés de l’attaque Google sur la sécurité des données
| Aspect | Conséquences | Impact pour les entreprises | Solutions recommandées |
|---|---|---|---|
| Données exposées | Coordonnées et notes commerciales millions | Risque accru de phishing et vishing ciblé | Sensibilisation, renforcement authentification |
| Réglementation | Obligation de notification sous RGPD | Sanctions en cas d’inaction | Audit et documentation des mitigations |
| Chaîne de confiance | Vulnérabilité du maillon tiers (Salesforce) | Révision de contrats et audits réguliers | Gouvernance renforcée des partenaires |
| Actions concrètes | Formations et protocoles mis à jour | Meilleure résistance aux attaques futures | Exercices réguliers et communication interne |
Quels sont les types de données exposées lors de l’attaque Google ?
Principalement des noms d’entreprises, numéros de téléphone et notes commerciales présents dans la base Salesforce de Google Ads.
Pourquoi les données « publiques » posent-elles un réel problème ?
Parce qu’agrégées et organisées, ces données deviennent des outils puissants pour des attaques ciblées comme le phishing ou le vishing.
Quelles sont les obligations des entreprises concernées par cette fuite ?
Elles doivent évaluer la nécessité de notifier les autorités, informer leurs partenaires et clients, et documenter les mesures correctives mises en place.
Comment prévenir efficacement ce type d’attaque ?
En renforçant l’authentification, en formant les équipes aux techniques de phishing/vishing et en intégrant ces risques dans les exercices de crise.
Pourquoi le maillon tiers est-il un point faible ?
Parce que les prestataires externes, comme Salesforce ici, peuvent présenter des vulnérabilités souvent sous-estimées dans les contrats et audits.
