Formulaires, CRM, IA : les failles de sécurité à surveiller en marketing

Octobre est le Mois de la sensibilisation à la cybersécurité au Canada. Cette année, la campagne Pensez cybersécurité du gouvernement du Canada a choisi un thème assez simple : « La meilleure défense, c’est vous ».

Quand on parle de cybersécurité dans une PME, on pense souvent aux TI, aux serveurs, aux mots de passe ou au fournisseur informatique. Beaucoup moins au marketing.

Et pourtant, quand on regarde notre quotidien, on manipule énormément de données et on utilise beaucoup d’outils externes. Formulaires, CRM, infolettres, plateformes publicitaires, extensions, outils d’IA… On connecte, on teste, on installe, souvent parce qu’on veut avancer vite.

Le problème n’est évidemment pas d’utiliser ces outils. C’est notre travail. Le problème, c’est qu’avec le temps, on finit parfois par ne plus savoir exactement ce qui est encore actif, qui a accès à quoi, ou quelles données circulent d’un outil à l’autre.

C’est pour ça que je trouve important de parler davantage de sécurité marketing. Pas pour transformer les équipes marketing en spécialistes de la cybersécurité, mais simplement pour prendre de meilleurs réflexes.

Voici six endroits où je commencerais.

Les 6 portes d’entrée

1. Les formulaires de votre site

Un formulaire de contact, une demande de soumission, une inscription à une infolettre ou le téléchargement d’un guide peuvent sembler assez anodins.

Mais derrière, il y a toujours des données qui partent quelque part : dans une boîte courriel, un CRM, un outil de formulaire ou parfois plusieurs systèmes en même temps.

Le problème, c’est qu’on peut facilement accumuler les formulaires au fil des campagnes sans vraiment faire de ménage ensuite. Certains restent actifs alors qu’ils ne servent plus, d’autres dépendent d’extensions ou d’outils qu’on ne pense plus à vérifier.

Le premier réflexe serait donc simplement de faire l’inventaire de ce qui existe encore, de supprimer ce qui ne sert plus et de vérifier que les outils utilisés sont à jour.

2. Le CRM et les listes d’infolettre

Le CRM est probablement l’un des outils les plus sensibles côté marketing, parce qu’il contient souvent beaucoup plus d’informations qu’on ne le réalise.

Des coordonnées, des historiques d’échanges, des notes, des opportunités commerciales, parfois même des informations internes.

Et pourtant, les accès sont rarement revus aussi souvent qu’ils devraient l’être.

On donne un accès à une agence pour un projet, à un stagiaire, à un ancien employé, à quelqu’un qui avait besoin de consulter une campagne pendant quelques semaines… puis personne ne pense forcément à revenir dessus.

Je commencerais donc par quelque chose de très simple : vérifier les accès, éviter les comptes partagés et activer l’authentification à deux facteurs quand elle est disponible.

Ce n’est pas la partie la plus excitante du marketing, mais c’est clairement l’une des plus utiles.

3. Les mots de passe et les gestionnaires de mots de passe

En marketing, on accumule vite les accès : CRM, infolettre, Meta, LinkedIn, Canva, CMS, outils SEO, plateformes événementielles, outils d’IA…

Et quand il y en a beaucoup, la tentation est forte de réutiliser le même mot de passe, de le partager dans Teams ou Slack, ou de garder un fichier quelque part « en attendant ».

C’est justement là que le risque augmente. Si un mot de passe est compromis sur un outil, il peut aussi ouvrir la porte à plusieurs autres comptes lorsqu’il a été réutilisé.

Le bon réflexe est donc d’utiliser un gestionnaire de mots de passe pour créer et conserver des mots de passe uniques, puis d’activer l’authentification à deux facteurs sur les comptes les plus importants.

Ça permet aussi d’éviter les fameux mots de passe partagés que tout le monde connaît… mais que personne ne pense à changer quand quelqu’un quitte l’équipe.

4. Les extensions et outils tiers

C’est probablement l’un des sujets qui me parle le plus, parce qu’en marketing on teste énormément d’outils.

Une extension Chrome pour trouver des courriels, un outil pour programmer des publications, une plateforme SEO, une application qui se connecte à votre CRM, un nouvel outil d’IA…

Souvent, tout se fait très vite : on clique sur « Se connecter avec Google », on autorise quelques accès, puis on continue notre travail.

Le problème, c’est qu’on regarde rarement en détail ce qu’on vient d’autoriser.

Avant d’installer un outil, ça vaut donc la peine de prendre trente secondes de plus pour regarder qui est derrière et à quelles données il demande accès.

Est-ce qu’un outil a vraiment besoin d’accéder à vos courriels ? À vos contacts ? À vos fichiers ? À votre CRM ?

Ce n’est pas parce qu’un outil est facile à installer qu’il faut lui ouvrir toutes les portes.

5. Les courriels

Le marketing reçoit énormément de courriels externes, parfois beaucoup plus que d’autres services.

Partenaires, fournisseurs, médias, factures, demandes de collaboration, notifications Meta ou Google, fichiers à télécharger, demandes urgentes…

Et évidemment, plus on reçoit de messages de ce type, plus il devient facile pour un faux courriel de se glisser dans le lot.

Avec l’IA, certains messages sont aussi devenus beaucoup plus crédibles qu’avant.

Donc quand un courriel demande d’agir vite, de reconnecter un compte, de confirmer un accès ou de payer une facture, le bon réflexe reste très simple : vérifier ailleurs avant de cliquer.

Aller directement sur la plateforme, écrire à la personne concernée, ou confirmer par un autre canal.

Ça prend quelques secondes et ça peut éviter beaucoup de problèmes.

6. Les outils d’IA

Je ne vais évidemment pas vous dire de ne pas utiliser l’IA. Je l’utilise moi-même tous les jours.

Mais il y a une vraie différence entre demander à un outil de reformuler un post LinkedIn et lui transmettre une liste de clients, un contrat ou des informations personnelles.

Et c’est souvent là que ça devient flou dans les entreprises, surtout quand chacun utilise son propre outil ou son propre compte.

Le vrai sujet n’est donc pas seulement « est-ce qu’on utilise l’IA ? », mais plutôt : qu’est-ce qu’on a le droit d’y mettre ?

À mon avis, chaque entreprise devrait au minimum définir quelques règles simples pour éviter que des données sensibles ou identifiantes soient copiées dans un outil sans réflexion préalable.

Par où commencer ?

Je ne pense pas qu’il faille transformer ça en énorme chantier.

Si vous gérez le marketing d’une PME, commencez simplement par regarder vos outils actuels.

CRM, infolettre, plateformes publicitaires, CMS, extensions, outils d’IA.

Puis posez-vous trois questions :

Qui a accès ?
Est-ce que cette personne en a encore besoin ?
Est-ce que l’authentification à deux facteurs est activée ?

Rien que ce petit exercice peut déjà faire ressortir pas mal de choses.

C’est aussi ça, pour moi, la sécurité marketing : ne pas ajouter une couche de complexité supplémentaire, mais intégrer quelques bons réflexes dans notre façon de travailler.

Parce que le marketing est aujourd’hui connecté à énormément de données, de plateformes et de fournisseurs externes.

Et forcément, ça mérite qu’on le protège un peu mieux.

Vous voulez faire le point sur votre environnement marketing ?

Avec RDCybersécurité, nous avons développé un accompagnement qui regarde justement la sécurité numérique du point de vue marketing.

Nous passons en revue les outils utilisés, les accès, les formulaires, les plateformes et les principaux flux de données afin d’identifier les points à corriger en priorité.

L’objectif n’est pas de vous remettre un rapport rempli de jargon technique, mais de vous aider à comprendre ce qui mérite votre attention et par où commencer.

Découvrir l’accompagnement Sécurité marketing