Le trésorier d’une association humanitaire reçoit un e-mail qui semble venir de la CAF, lui demandant de transmettre un fichier avec les coordonnées bancaires des donateurs. Le logo est crédible, le ton est administratif. Il obtempère. Trois jours plus tard, les premiers prélèvements frauduleux apparaissent. C’est une attaque par hameçonnage ciblée, et elle a fonctionné parce que personne n’était préparé.
Ce scénario se produit régulièrement dans le secteur associatif. Les associations ne sont pas des cibles au hasard : elles détiennent des données sensibles et disposent rarement des protections que les entreprises ont mises en place.
Pourquoi les associations sont des cibles
Les cybercriminels ne choisissent pas leurs victimes selon leur taille ou leur budget. Ils cherchent le chemin le plus simple vers des données exploitables. Une association avec 500 adhérents et leurs coordonnées bancaires, sans authentification multifacteur ni sauvegardes testées, est une cible plus facile qu’une PME correctement équipée.
Les données que les associations détiennent sont précieuses : coordonnées complètes, informations bancaires pour les dons récurrents, parfois des données médicales ou sociales pour les associations de terrain. Une fuite expose directement vos donateurs et peut déclencher une enquête de la CNIL.
Les attaques les plus fréquentes
L’hameçonnage reste la menace la plus courante. Les messages sont de plus en plus crédibles, parfois enrichis d’éléments personnalisés issus de vos communications publiques. Les trésoriers et présidents sont particulièrement visés, parce qu’ils ont accès aux comptes bancaires.
Les rançongiciels chiffrent l’ensemble de vos données et réclament un paiement pour les restituer. Pour une association sans sauvegardes testées, cela peut signifier la perte de plusieurs années de données.
Les deux attaques partagent un point commun : elles exploitent des failles humaines et organisationnelles autant que techniques.
Les mesures concrètes à mettre en place
L’authentification multifacteur sur tous les comptes : messagerie, outils collaboratifs, accès bancaires. C’est la mesure avec le meilleur rapport protection/effort. Un mot de passe volé ne suffit plus à prendre le contrôle d’un compte.
Des sauvegardes régulières et testées. Une sauvegarde non testée n’est pas une sauvegarde. Prévoyez a minima une copie hors site et vérifiez régulièrement que la restauration fonctionne.
La gestion des accès. Chaque bénévole ou salarié ne doit accéder qu’aux données nécessaires à sa mission. Un bénévole chargé de la communication n’a pas besoin d’accéder à la liste complète des donateurs avec leurs montants.
La formation des équipes. Une heure de sensibilisation par an suffit pour réduire significativement les risques d’hameçonnage. Apprenez à votre équipe à vérifier l’adresse de l’expéditeur, à ne jamais transmettre de données sensibles par e-mail sans confirmation téléphonique, à signaler les messages suspects.
Ce que le RGPD impose
Vous êtes responsable des données que vous collectez. En cas de fuite, vous devez notifier la CNIL sous 72 heures et prévenir les personnes concernées. Dans les cas les plus graves, les sanctions peuvent atteindre 4 % du budget annuel. Ce n’est pas un argument pour vous faire peur, simplement la réalité légale dont vous êtes responsable. Au-delà du risque légal, une fuite de données de donateurs détruit la confiance que vous avez mise des années à construire.
La protection des données de donateurs fait partie de notre accompagnement pour les associations. Si vous n’avez pas encore mis en place l’authentification multifacteur ou des sauvegardes testées, c’est le point de départ le plus utile.
