En mai dernier, la presse révélait que les systèmes de réservation des groupes Pierre & Vacances, Belambra et Gîtes de France avaient été piratés, exposant ainsi les données personnelles de (respectivement) 4 millions, 402 000 et 389 000 clients. Ces épisodes sont loin d’être des cas isolés : le site de référence FrenchBreaches ne recense pas moins de 60 fuites de données à impact massif (concernant plus de 1 million de clients) sur le seul premier semestre 2026. Dans ces conditions, la question n’est plus aujourd’hui de savoir si une organisation est susceptible d’être touchée, mais plutôt « quand ? » et surtout « comment réagir ? ». C’est tout l’objet d’un article récemment publié dans la Review of Finance, intitulé « Hacking Corporate Reputations ». Ses auteurs analysent les fuites de données comme des événements affectant négativement la réputation (donc le capital immatériel) de l’entreprise. Fait nouveau et original, ils documentent précisément les actions de « réparation » que les entreprises mettent en place une fois leur réputation entamée.

L’étude porte sur un échantillon de 287 fuites de données recensées pour des entreprises américaines cotées en Bourse sur la période 1999-2015. 66 % d’entre elles impliquent des données clients, 33 % concernent des données relatives aux salariés de l’entreprise. Les cyberattaques sont particulièrement intéressantes pour les chercheurs puisqu’il s’agit finalement d’événements « purs » n’impactant que la réputation de l’entreprise (un piratage de données informatiques n’altère pas la qualité des produits ou des services qu’elle propose). L’étude montre par ailleurs que la fuite de données ne transmet pas de signal quant à la santé financière de l’entreprise ciblée (le ROA, le levier financier ou la croissance des ventes ne sont pas prédictifs).

Premier constat : le dommage est réel et durable. Sur les trente jours qui suivent la fuite de données, on enregistre des rentabilités boursières anormales cumulées de -1,50 %. La perception négative s’avère particulièrement persistante puisque le ratio market-to-book diminue de 0,49 à un horizon de deux ans et de 0,27 à un horizon de cinq ans. Les auteurs identifient plusieurs mécanismes sous-jacents : les articles de presse (en particulier émanant des médias régionaux) deviennent plus négatifs et on observe une diminution de la valeur des marques de l’entreprise (sur la base de sondages réalisés auprès de consommateurs). Il apparaît également une hausse significative du taux d’attrition (« churn ») de la clientèle. Cela oblige les dirigeants de l’entreprise à réagir et à communiquer plus fortement sur les thématiques de réputation lors des conference calls avec les analystes financiers.

Deuxième constat, au cœur de l’étude : les entreprises réagissent an activant des leviers qui ne sont pas directement en lien avec la cause du mal. Sans trop de surprise, l’étude documente (à l’aide d’une analyse lexicale) une plus grande attention portée à la sécurité informatique dans les années postérieures à la fuite, marqueur – selon les auteurs – d’investissements significatifs dans ce domaine. Mais l’essentiel des réponses relève de la reconstitution de l’image et du capital réputationnel. Les dons annuels en direction d’organismes caritatifs augmentent de 1,13 million de dollars, tandis que la probabilité de créer une fondation d’entreprise augmente de 19 % sur un horizon de cinq ans après la fuite. A long terme, la note ESG augmente. Les salariés de l’entreprise enregistrent également une hausse significative de leurs salaires d’environ 1 100 dollars annuels (soit 1,5 % du salaire moyen). Plus étonnant, les auteurs relèvent une hausse des contributions aux partis politiques. La reconstitution du capital réputationnel passe donc par des actions à destination de nombreuses parties prenantes : clients, communautés, salariés et Etat. En revanche, l’étude ne relève pas de hausse significative des dépenses de publicité de l’entreprise suite à la fuite de données, alors même qu’on aurait pu anticiper un potentiel effet réparateur auprès du grand public.

Troisième constat : les actions de réparation de la réputation sont ciblées. Les entreprises en contact direct avec le grand public (comme les acteurs du tourisme cités plus haut) sont plus susceptibles de créer une fondation. L’augmentation des donations aux partis politiques est plus importante lorsque l’entreprise est dépendante de la commande publique. Enfin, et c’est frappant, les hausses de salaires sont significativement plus élevées lorsque les fuites de données concernent directement les employés et/ou lorsque l’entreprise évolue sur un secteur caractérisé par une forte mobilité du capital humain. En un mot, les investissements de réparation du capital réputationnel semblent viser les parties prenantes les plus stratégiques pour l’entreprise.

Pour les praticiens de la finance, cette étude vient rappeler que la réputation de l’entreprise se pilote. A l’heure où les cyberattaques se multiplient, savoir analyser mais aussi restaurer le capital réputationnel apparaît plus que jamais comme une compétence managériale différenciante.