(Mise à jour) Remboursement des pertes, versement forfaitaire, service gratuit : plusieurs entreprises japonaises commencent à indemniser directement leurs clients après une cyberattaque. Les cas de GMO Internet et Park24 montrent que le coût d’un incident ne se limite plus à la restauration informatique. Il faut désormais financer très concrètement le retour de la confiance.
Une cyberattaque ne coûte pas seulement des heures de travail aux équipes informatiques. Elle peut aussi obliger l’entreprise à rembourser ses clients, leur verser une compensation, financer un service de remplacement et absorber une dégradation de son image. Au Japon, les réponses apportées par GMO Internet Group et Park24 donnent une traduction comptable très concrète à cette réalité.
GMO Internet Group a été victime d’une attaque ayant notamment touché son activité de trading sur le marché des changes. Des accès non autorisés ont permis la réalisation d’opérations frauduleuses sur les comptes de certains clients. Le groupe a donc décidé de rembourser les pertes directement liées à ces transactions.
Mais l’entreprise ne s’arrête pas à la réparation du préjudice financier. En plus des 5 000 yens versés à tous les utilisateurs du service, l’entreprise prévoit une indemnité comprise entre 10 000 et 25 000 yens par catégorie de données divulguée. Ces montants pourront être additionnés, dans la limite de 3 millions de yens par divulgation. Les clients éligibles seront contactés individuellement.
GMO prévoit également une aide distincte pour les personnes ayant subi un préjudice lié à cette publication, mais ses modalités et son montant restent indéterminés. GMO leur proposera par ailleurs un service alternatif gratuit pendant six mois.
Rembourser la perte et compenser la défiance
Ces trois mesures répondent à des objectifs différents. Le remboursement replace théoriquement la victime dans la situation qui était la sienne avant l’opération frauduleuse. Le versement forfaitaire reconnaît les désagréments subis, même en l’absence de perte directement mesurable. Enfin, la gratuité temporaire du service vise à retenir les clients et à éviter qu’ils ne partent chez un concurrent.
Car, au fond, une entreprise peut parfaitement restaurer ses systèmes sans avoir réparé la relation avec ses utilisateurs. Après une compromission, ceux-ci doivent changer leurs identifiants, contrôler leurs opérations et parfois interrompre leur activité. Une somme forfaitaire ne couvre pas nécessairement ce temps perdu, mais elle matérialise la responsabilité prise par le fournisseur.
La crise de GMO ne se limite pas aux indemnisations. Les attaquants ont réclamé 50 millions de dollars en cryptomonnaies, en menaçant de publier des informations sur l’entreprise et ses clients. Le groupe a refusé de payer et annoncé travailler avec la police et les autorités. Son dirigeant, Masatoshi Kumagai, a également reconnu que des spécialistes internes avaient identifié des problèmes de sécurité, mais que la profondeur et la rapidité de la réponse n’avaient pas été suffisantes.
La sanction du marché a été immédiate. L’action de GMO Internet Group a perdu près de 16 % en une séance, alors que l’indice de référence japonais progressait légèrement. Le coût de la défiance s’exprime donc simultanément dans les comptes, dans la relation avec les clients et dans la valorisation de l’entreprise.
Park24 provisionne 5,5 milliards de yens
GMO n’est pas un cas isolé. Park24, opérateur du service d’auto-partage Times, a annoncé le versement de 3 000 yens aux clients concernés par une fuite de données personnelles.
L’entreprise prévoit surtout d’enregistrer une perte exceptionnelle de 5,5 milliards de yens, soit environ 31 millions d’euros, pour financer la réponse à l’incident et les indemnisations. Elle a aussi décidé de ne plus conserver les images des pièces d’identité après la vérification de l’inscription. Plus qu’une compensation, l’attaque entraîne ainsi une modification durable de la politique de conservation des données.
Cette décision rappelle une règle simple : une donnée qui n’est plus conservée ne peut plus être volée. Les entreprises ont souvent tendance à accumuler des justificatifs « au cas où ». Elles transforment alors leurs bases en réserves de données sensibles dont elles devront assumer la protection, mais aussi la perte éventuelle.
Le signal envoyé par GMO et Park24 n’en demeure pas moins fort. Une cyberattaque ne peut plus être traitée comme un simple problème technique clos dès que les serveurs redémarrent. La facture comprend désormais les pertes des clients, le geste commercial, la continuité du service, les mesures correctives et l’impact boursier. La confiance numérique possède désormais un prix.
