Tout a commencé par une simple demande un mardi matin.

Layla Hassan, coordinatrice de projet dans une agence marketing de taille moyenne, devait partager un brief de campagne avec une agence de design externe. Leur processus habituel impliquait un portail interne peu pratique qui obligeait l'agence à créer encore un nouveau compte. Agacé par ce délai, le collègue de Layla, Tariq, proposa une solution plus rapide.

« Modifie simplement les paramètres de partage du dossier Google Drive pour sélectionner "Toute personne disposant du lien", » dit Tariq en se penchant par-dessus son écran. « Comme ça, ils peuvent y accéder immédiatement. Tout le monde fait ça. »

Layla hésita un instant, puis cliqua sur le menu déroulant et sélectionna l'option. Le brief fut partagé, l'agence était satisfaite, et la matinée continua. Ce que ni Layla ni Tariq ne réalisèrent, c'est que le dossier que Tariq lui avait indiqué n'était pas seulement le brief de campagne. C'était un dossier parent — qui contenait trois ans de contrats clients, de propositions financières, de grilles salariales internes, et un tableur avec des données personnelles d'employés, dont des numéros de pièce d'identité nationale.

Pendant onze jours, ce dossier resta ouvert sur internet.

La découverte vint d'une source inattendue. Une analyste junior prénommée Reem effectuait une recherche Google de routine sur le nom de l'entreprise lorsqu'elle tomba sur l'aperçu mis en cache d'un document qui lui sembla très familier. Il portait leur logo. Il contenait des noms de clients qu'elle reconnaissait. Et il apparaissait dans un index Google public.

Reem sentit son estomac se serrer. Elle se rendit immédiatement au bureau de la sécurité informatique et posa son ordinateur portable devant le responsable de la sécurité, Faisal.

« J'ai trouvé ça en cherchant simplement en ligne, » dit-elle doucement. « Est-ce que c'est censé être public ? »

L'expression de Faisal passa de la confusion à l'inquiétude en quelques secondes. Il consulta les journaux d'audit Google Drive et vit ce qui s'était passé. Le dossier avait été rendu public onze jours auparavant. Durant cette période, les journaux d'accès indiquaient que 47 adresses IP externes distinctes avaient ouvert des fichiers — certaines à plusieurs reprises.

L'équipe de sécurité révoqua immédiatement les autorisations de partage et lança un processus de réponse aux incidents. Mais l'évaluation des dommages était alarmante. Parmi les fichiers exposés se trouvait un tableur utilisé par les RH contenant les adresses e-mail personnelles et les numéros de téléphone des 200 employés. Dans les 48 heures suivant la mise en accès public du dossier, deux employés avaient déjà reçu des e-mails suspects de réinitialisation de mot de passe pour leurs comptes Microsoft 365 professionnels — signe que quelqu'un avait collecté les données et tentait déjà de prendre le contrôle des comptes.

L'un de ces employés, un responsable commercial prénommé Omar, avait cliqué sur le lien de réinitialisation avant de réaliser que quelque chose clochait. Ses applications SaaS — dont le système CRM de l'entreprise — furent accédées depuis une adresse IP étrangère à 2h14 du matin.

La violation avait déjà commencé.

Lors de la réunion d'urgence qui suivit, le RSSI expliqua à l'équipe ce qui s'était passé. La cause profonde