Intermarché sous les décombres numériques : et si nos données n'avaient pas dormi sur des serveurs soumis au Cloud Act ?

# Intermarché sous les décombres numériques : et si nos données n'avaient pas dormi sur des serveurs soumis au Cloud Act ?

Il y a quelque chose d'étrangement prévisible dans ce qui vient d'arriver à Intermarché. Pas dans le détail de l'attaque — on ne prédit jamais l'heure, le vecteur, la signature précise d'un groupe qui décide de frapper. Mais dans l'ampleur des dégâts. Dans le fait que, encore une fois, une organisation française de premier plan se retrouve à compter ses blessures devant une infrastructure qui n'était pas conçue pour résister à ce niveau d'exposition — et certainement pas pour protéger ses données des regards extérieurs, y compris américains.

Je veux être direct : cet article n'est pas un post-mortem technique. Ce n'est pas non plus une mise en cause des équipes IT d'Intermarché, qui font face à des adversaires suréquipés avec des budgets qui ne sont pas les leurs. C'est une question de fond, que je pose depuis trop longtemps sans que les réponses suivent : pourquoi une enseigne qui collecte les données de millions de foyers européens continue-t-elle à déléguer l'hébergement de ces données à des acteurs soumis à la juridiction américaine ?

L'extraterritorialité, ce risque qu'on continue de minorer

Le Cloud Act n'est pas une théorie complotiste. C'est une loi américaine, en vigueur depuis 2018, qui oblige les opérateurs cloud dont le siège est aux États-Unis à transmettre des données à la justice fédérale américaine — même si ces données sont physiquement stockées en Europe. Ce n'est pas une possibilité, c'est une obligation légale. Et elle ne connaît pas d'exception pour les distributeurs alimentaires français, les PME lyonnaises ou les ETI industrielles alsaciennes.

Or, dans le cas d'une cyberattaque majeure comme celle qu'a subie Intermarché, l'extraterritorialité ne se limite pas à une question de conformité abstraite. Elle crée une double vulnérabilité : d'abord l'attaquant, ensuite, potentiellement, l'autorité étrangère qui peut légitimement réclamer l'accès aux données dans le cadre d'une enquête. Deux portes d'entrée là où il ne devrait en exister aucune.

NIS2 est entrée en vigueur. DORA s'applique désormais au-delà du seul secteur financier dans ses exigences de résilience. Le RGPD a sept ans. Et pourtant, le choix d'une infrastructure certifiée SecNumCloud — le référentiel de l'ANSSI qui garantit précisément une protection contre cette extraterritorialité — reste minoritaire dans les grandes organisations françaises et européennes. Pourquoi ?

Le vrai coût de la commodité

Je comprends l'argument de la commodité. Les acteurs américains dominants ont construit des offres remarquablement intégrées, des interfaces fluides, des écosystèmes qui se tiennent. Migrer coûte cher. Réentraîner les équipes coûte cher. Repenser une architecture SI autour d'acteurs européens demande un effort stratégique que beaucoup de DSI n'ont pas le luxe de se payer quand ils gèrent déjà l'urgence opérationnelle au quotidien.

Mais je veux poser une question concrète : quel est le coût réel de ce qui vient de se passer chez Intermarché ? Pas seulement l'interruption de service. Pas seulement les heures de crise. Mais l'exposition potentielle des données de fidélité, des habitudes d'achat, des informations de paiement de millions de clients. La notification à la CNIL. L'audit NIS2 qui va suivre. La perte de confiance des consommateurs. Le risque réputationnel à long terme.

Comparé à ce coût-là, le surcoût perçu d'une migration vers une infrastructure souveraine devient une fiction comptable. C'est un investissement qu'on refuse de faire jusqu'au jour où le coût de ne pas l'avoir fait se manifeste de façon brutale et publique.

Ce qu'une infrastructure souveraine aurait changé — concrètement

Je ne dis pas qu'un cloud souverain rend une organisation invulnérable aux cyberattaques. Aucun acteur sérieux ne tient ce discours. Les attaquants s'adaptent. Les failles existent partout.

Mais une infrastructure certifiée SecNumCloud, hébergée par un opérateur européen dont les équipes, les actionnaires et les obligations légales sont exclusivement soumis au droit européen, aurait changé plusieurs paramètres essentiels dans ce scénario.

Premièrement, le périmètre d'exposition en cas de compromission. Quand vos workloads critiques ne partagent pas d'environnement logique avec d'autres clients d'un hyperscaler américain qui gère des centaines de milliers d'organisations dans le monde, le rayon de blast d'une attaque est mécaniquement différent.

Deuxièmement, la capacité de réponse juridique. Une violation de données chez un opérateur soumis exclusivement au droit européen permet une coordination immédiate avec les autorités compétentes — ANSSI, CNIL, les CSIRT nationaux — sans avoir à négocier avec une entité dont le centre de gravité légal est à San Francisco.

Troisièmement, et c'est peut-être le point le moins discuté : la résilience contractuelle. Les clauses de responsabilité dans les contrats des acteurs américains dominants sont construites pour les protéger, pas pour protéger leurs clients. Un opérateur européen qui joue sa réputation sur le marché domestique a une relation au risque client qui est structurellement différente.

Aux DSI qui lisent ces lignes : l'heure n'est plus à la prudence

Je m'adresse directement à ceux qui prennent ces décisions au quotidien. Je sais que vous n'êtes pas seuls dans la pièce quand il s'agit de valider un budget de migration. Je sais que le CFO veut des chiffres et que le board veut de la continuité. Je sais que les intégrations existantes créent une inertie réelle.

Mais NIS2 vous impose désormais une responsabilité personnelle sur la résilience de votre SI. DORA impose des standards de continuité opérationnelle qui ne sont plus optionnels. Et la CNIL a clairement signalé qu'elle considérait l'hébergement de données personnelles sur des infrastructures soumises au Cloud Act comme une non-conformité RGPD structurelle.

Autrement dit : le risque de rester où vous êtes est maintenant légalement quantifiable. Ce n'est plus seulement un risque stratégique ou réputationnel. C'est un risque de mise en cause directe.

Ce que je vous demande, ce n'est pas de tout migrer demain. C'est de commencer le travail de cartographie sérieux : quelles données, quels workloads, quelles applications sont aujourd'hui hébergés chez des acteurs soumis à la juridiction américaine ? Quelle est votre surface d'exposition réelle ? Et quel est votre plan pour la réduire ?

L'Europe a les acteurs pour répondre

Il y a encore trois ans, on pouvait arguer que l'offre souveraine européenne n'était pas mature. Ce n'est plus tenable. Des opérateurs comme Outscale — pour ne citer qu'un exemple parmi ceux qui ont obtenu ou sont en cours d'obtention des certifications de niveau SecNumCloud — ont considérablement renforcé leurs capacités. L'écosystème existe. Il n'est pas parfait, il n'est pas aussi vaste que celui des acteurs américains dominants. Mais il est suffisant pour couvrir les workloads critiques des PME et ETI européennes qui constituent l'essentiel de notre tissu économique.

Intermarché ne sera pas le dernier grand nom à passer une semaine difficile devant des écrans noirs et des conférences de crise. La question n'est pas de savoir si votre organisation sera ciblée. C'est de savoir dans quel état vous serez quand ça arrivera — et si, ce jour-là, vous pourrez regarder vos clients, vos équipes et vos régulateurs dans les yeux.

Le cloud souverain n'est pas une option idéologique. C'est une décision de gestion du risque. Et en 2026, ne pas l'avoir prise, c'est accepter consciemment un risque que vous n'avez plus les moyens de justifier.