Les entreprises sont la cible d’attaques informationnelles
En mars 2026, deux rapports publiés à quelques jours d’intervalle ont posé, chiffres à l’appui, un constat que les dirigeants d’entreprise ne peuvent plus ignorer : la désinformation est devenue un risque économique de premier plan. Sopra Steria l’a estimé à 417 milliards de dollars en 2024, soit l’équivalent de 15 % du PIB de la France. L’ARCOM publiait quelques jours plus tard son bilan annuel sur les manipulations de l’information en ligne : 79 pages cartographiant avec précision les techniques aujourd’hui utilisées pour diffuser et amplifier la désinformation. Ces techniques sont désormais utilisées contre les marques, les dirigeants et les entreprises.
L’idée reçue est tenace, la désinformation serait l’affaire des politiques, des campagnes électorales et des ingérences étrangères, mais pas des PME. Les chiffres démentent pourtant cette idée : sur les 417 milliards de dollars de pertes identifiés par Sopra Steria, 227 milliards sont directement imputables à des dépenses de consommation influencées par de faux avis en ligne, et 11 milliards aux deepfakes et fraudes exploitant l’intelligence artificielle. L’étude pointe également une asymétrie vertigineuse : en 2024, les contenus frauduleux ont généré 16,4 milliards de dollars de revenus publicitaires, quand le budget mondial consacré au fact- checking ne dépassait pas 100 millions de dollars. La désinformation est une industrie. Rentable.
Les techniques de manipulation documentées par l’ARCOM
Le rapport de l’ARCOM vient compléter ce tableau en documentant six techniques opérationnelles désormais accessibles à n’importe quel acteur malveillant, qu’il s’agisse d’un concurrent déloyal ou d’un client mécontent. La première phase de toute opération de manipulation consiste à créer l’inauthenticité : des réseaux de faux comptes coordonnés inondent une page d’entreprise de commentaires négatifs synchronisés ; des communautés factices sont montées de toutes pièces pour diffuser un narratif falsifié sur un secteur ou une marque ; des sites clones imitent l’apparence d’un site officiel pour publier de fausses informations « en son nom » ; des comptes usurpent l’identité d’un dirigeant sur les réseaux sociaux pour prendre la parole à sa place.
Une fois ce dispositif en place, la seconde phase consiste à amplifier. C’est là que les techniques deviennent les plus redoutables. Le deepfake de dirigeant empruntant son visage et sa voix peut circuler des heures avant qu’un démenti soit possible. Le hack and leak, lui, combine intrusion informatique et fuite stratégique de données : des documents internes, partiels et sortis de leur contexte, publiés au moment le plus dommageable. La sponsorisation dissimulée d’influenceurs, des créateurs de contenu rémunérés pour dénigrer une marque sans révéler leur lien avec le commanditaire constitue une pratique illégale de plus en plus documentée.
Des plateformes aux réponses encore insuffisantes
Face à ces tactiques, le bilan des grandes plateformes est nuancé. Les systèmes de détection automatisée ont progressé, les partenariats avec des fact-checkers se sont multipliés, et les conditions générales d’utilisation prévoient désormais des sanctions pour une partie de ces comportements. Mais l’ARCOM pointe des lacunes persistantes de la part de ces grandes plateformes : vérification d’identité insuffisante, procédures de signalement trop lentes pour les victimes, manque de transparence sur les critères de suppression de contenu. C’est précisément ce fossé entre les règles affichées et leur application effective qui laisse les entreprises ciblées seules face à la crise sans interlocuteur identifié, sans procédure d’urgence, sans recours immédiat.
Pour les PME et les startups, ces évolutions ont des implications pratiques immédiates. La surveillance de l’e-réputation n’est plus une option : détecter tôt une campagne de manipulation laisse le temps d’agir, juridiquement et en termes de communication. Le DSA offre de nouveaux leviers pour exiger le retrait rapide de contenus illicites mais encore faut-il savoir s’en saisir, car les procédures sont techniques et les erreurs de forme coûteuses. Si l’entreprise est instrumentalisée le silence peut être interprété comme une validation : réagir vite et dans les formes est impératif. Et si un préjudice est subi, la constitution du dossier probatoire est déterminante dès les premières heures : captures d’écran horodatées, constats d’huissier numériques, signalements formels tracés.
Intégrer le risque informationnel à la gouvernance, comme le risque cyber
Sopra Steria le formule clairement dans son étude : la désinformation doit désormais figurer dans les matrices de risques des entreprises, au même titre que le risque cyber ou le risque climatique. Les petites structures, plus exposées et moins armées que les grands groupes, peuvent subir des variations brutales de réputation sans toujours avoir les réflexes pour y répondre.
La désinformation visant les entreprises les pousse aujourd’hui à intégrer pleinement le risque informationnel dans leur gouvernance, au même titre que la cybersécurité. Il y a une dizaine d’années, un dirigeant de PME pouvait encore considérer qu’un plan de réponse à une cyberattaque, élément désormais essentiel pour protéger les données de l’entreprise, n’était pas nécessaire. Le risque informationnel suit une trajectoire similaire, avec des enjeux comparables en matière de prévention, de détection et de réponse.
Votre entreprise, votre marque ou votre dirigeant sont visés par une campagne de désinformation, de faux avis ou un deepfake ? Le cabinet Boulet Avocat vous accompagne pour identifier l’auteur, réunir les preuves, obtenir le retrait des contenus et la réparation de votre préjudice. Contactez-nous pour un premier échange confidentiel.
