En bref
- Les commerces sont des cibles privilégiées : les TPE et PME, souvent peu protégées, concentrent une grande part des attaques.
- Une MRP standard couvre rarement les cyber-risques : blocage, perte de données et perte d'exploitation numérique sont souvent exclus.
- Une garantie cyber dédiée couvre la perte d'exploitation, les frais de restauration des données, la rançon parfois et la responsabilité en cas de fuite.
- Les réflexes officiels après une attaque : isoler les équipements, ne pas payer la rançon, déposer plainte et se faire assister via cybermalveillance.gouv.fr.
- En cas de violation de données personnelles, vous devez notifier la CNIL sous 72 heures.
Les cyberattaques qui visent les commerces
Un commerce concentre tout ce qui intéresse un attaquant : des paiements, un fichier clients et des outils indispensables à l'activité. Contrairement à une idée reçue, les petites structures ne sont pas épargnées : selon le dispositif public cybermalveillance.gouv.fr, elles figurent parmi les cibles les plus fréquentes, précisément parce qu'elles sont souvent moins protégées.
Voici les cinq attaques les plus courantes contre un local professionnel :
1 Le rançongiciel (ransomware)
Un logiciel malveillant chiffre vos fichiers et bloque vos outils, puis une rançon est réclamée pour les débloquer. C'est l'attaque la plus redoutée par les commerces : caisse hors service, base clients inaccessible, activité à l'arrêt le temps de la remise en route.
2 L'hameçonnage (phishing)
Un e-mail ou un SMS imite un fournisseur, une banque ou l'administration pour vous soutirer identifiants, coordonnées bancaires ou un clic sur une pièce piégée. C'est la porte d'entrée la plus fréquente vers les autres attaques.
3 Le piratage de la caisse ou du TPE
Les terminaux de paiement et logiciels de caisse mal mis à jour peuvent être détournés pour capter des données de cartes ou détourner des transactions. Un matériel connecté et non sécurisé est une cible directe.
4 La fraude au virement
Un faux fournisseur ou un faux dirigeant demande, par e-mail, de modifier un RIB ou de régler une facture en urgence. La somme part sur un compte frauduleux avant que la supercherie ne soit repérée.
5 Le vol de données clients
Fichier clients, historiques d'achat, adresses e-mail : ces données ont de la valeur. Leur vol expose votre commerce à des réclamations et vous impose des obligations légales de notification.
À retenir : le point commun de ces attaques est l'interruption d'activité. Un commerce dont la caisse ou le fichier clients est bloqué peut perdre plusieurs jours de chiffre d'affaires, un poste que couvre mal une assurance classique.
Ce que couvre (ou non) une MRP
La Multirisque Professionnelle a été conçue pour les dommages matériels : incendie, dégât des eaux, vol, bris de glace. Face à une cyberattaque, qui n'endommage pas physiquement le local, elle montre vite ses limites. Sans garantie spécifique, la plupart des postes ci-dessous restent à votre charge.
Le tableau suivant compare, poste par poste, ce que prévoit une MRP standard et ce qu'apporte une garantie cyber dédiée :
| Poste | MRP standard | Garantie cyber |
|---|---|---|
| Dommages matériels informatiques | Parfois, si le matériel est physiquement détruit par un événement garanti (incendie, foudre). Un simple blocage logiciel n'est pas un dommage matériel. | Prise en charge des atteintes aux systèmes et de leur remise en état après l'attaque. |
| Perte d'exploitation après cyberattaque | Généralement exclue : la perte d'exploitation MRP suppose un dommage matériel garanti, pas un arrêt dû à un blocage informatique. | Indemnise la baisse d'activité liée à l'interruption des systèmes, dans la limite des plafonds prévus. |
| Frais de restauration des données | Rarement prévus : les données ne sont pas un bien matériel au sens de la MRP. | Prend en charge la reconstitution des données et la remise en service des outils. |
| Extorsion et rançon | Non couverte. | Parfois couverte (gestion de crise, négociation, frais annexes), selon le contrat et dans le respect de la loi. |
| Responsabilité en cas de fuite de données | En principe hors champ : la responsabilité civile exploitation ne vise pas les atteintes aux données personnelles. | Couvre les conséquences d'une fuite : réclamations de tiers, frais de notification, frais de défense. |
| Assistance et gestion de crise | Absente. | Cellule d'assistance et experts techniques et juridiques mobilisés dès la déclaration du sinistre. |
À vérifier : relisez vos conditions générales à la ligne « cyber » ou « atteinte aux systèmes d'information ». Beaucoup de contrats l'excluent explicitement, d'autres proposent une extension. Dans le doute, demandez confirmation écrite à votre assureur.
La garantie cyber dédiée
La garantie cyber est un contrat, ou une extension de votre MRP, pensé pour les risques numériques. Au-delà de l'indemnisation, elle apporte souvent le plus utile dans l'urgence : une assistance qui vous prend en charge dès la déclaration du sinistre.
- →Elle prend en charge la restauration des données et des systèmes, la perte d'exploitation consécutive à l'attaque et les frais de gestion de crise.
- →Elle couvre votre responsabilité en cas de fuite de données : réclamations de tiers, frais de notification et de défense.
- →Elle s'adresse à tout commerce dépendant d'outils numériques : caisse, TPE, réservation en ligne, fichier clients, boutique e-commerce.
Comme toute assurance, elle comporte une franchise (part restant à votre charge) et des plafonds d'indemnisation par sinistre et par an. À surveiller de près, car ils déterminent votre couverture réelle en cas d'arrêt prolongé.
Enfin, l'assureur exige en général des mesures de sécurité minimales : sauvegardes régulières, double authentification et mises à jour à jour. Sans elles, l'indemnisation peut être réduite ou refusée. Ces exigences pèsent aussi sur le prix de votre assurance local professionnel, un commerce bien protégé étant moins risqué à couvrir.
Les bons réflexes après une attaque
En cas d'attaque, les premières heures comptent. Voici la marche à suivre recommandée par cybermalveillance.gouv.fr et l'ANSSI, dans l'ordre :
1 Isoler les équipements touchés
Déconnectez du réseau et d'internet les postes et serveurs atteints pour stopper la propagation, sans forcément les éteindre : cela aide à préserver les traces pour l'enquête.
2 Ne pas payer la rançon
Cybermalveillance.gouv.fr recommande de ne pas payer : rien ne garantit le déblocage, cela finance les attaquants et vous désigne comme cible qui paie. Cherchez d'abord une solution de restauration.
3 Conserver les preuves
Ne supprimez rien. Faites des captures d'écran, gardez les e-mails suspects, les messages de rançon et les journaux techniques : ce sont des éléments utiles à la plainte et à l'expertise.
4 Déposer plainte
Portez plainte auprès du commissariat ou de la gendarmerie, ou par la plateforme dédiée. Le dépôt de plainte est souvent une condition de prise en charge par l'assureur.
5 Se faire assister
Rendez-vous sur cybermalveillance.gouv.fr : le dispositif public vous oriente et référence des prestataires de proximité pour diagnostiquer et remettre en état vos systèmes.
6 Notifier la CNIL sous 72 heures
Si des données personnelles ont été touchées, vous devez notifier la violation à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle est sans risque pour les personnes concernées.
7 Informer les clients concernés
Lorsque la fuite présente un risque élevé pour les personnes, vous devez aussi les informer sans délai, en expliquant la nature de l'incident et les précautions à prendre.
Le réflexe assurance : prévenez votre assureur au plus tôt. Si vous disposez d'une garantie cyber, sa cellule d'assistance peut prendre le relais dès la déclaration et coordonner la remise en état.
Prévenir plutôt que subir
La meilleure couverture reste la prévention : elle limite votre exposition et conditionne souvent l'indemnisation. Quelques gestes simples, recommandés par cybermalveillance.gouv.fr et l'ANSSI, réduisent fortement le risque :
- Sauvegardes régulières et hors ligne : gardez une copie déconnectée de vos données. C'est votre meilleure parade contre un rançongiciel.
- Mises à jour : appliquez les correctifs de vos logiciels, de votre caisse et de votre TPE dès qu'ils sont disponibles.
- Mots de passe forts et double authentification : un mot de passe unique par service et une validation en deux étapes pour les accès sensibles.
- Sensibilisation des équipes : apprenez à vos salariés à repérer un e-mail d'hameçonnage et à ne jamais changer un RIB sur simple demande par e-mail.
Ces mesures ne sont pas que des bonnes pratiques : elles font souvent partie des conditions exigées par les assureurs cyber. Les mettre en place, c'est à la fois réduire le risque et sécuriser votre indemnisation.
Questions fréquentes sur la cyberassurance d'un commerce
Ma MRP couvre-t-elle une cyberattaque ?
Le plus souvent, non ou très partiellement. Une Multirisque Professionnelle standard indemnise des dommages matériels (incendie, dégât des eaux, vol) et couvre rarement les cyber-risques : blocage informatique, perte de données, perte d'exploitation liée à une attaque ou fuite de données restent généralement exclus. Vérifiez vos conditions générales et, au besoin, ajoutez une garantie cyber dédiée.
Qu'est-ce qu'une garantie cyber ?
C'est une garantie spécifique aux risques numériques. Elle prend en charge, selon le contrat, la restauration des données, la perte d'exploitation consécutive à une attaque, les frais de gestion de crise, la responsabilité en cas de fuite de données et parfois les frais liés à une extorsion. Elle inclut souvent une assistance technique et juridique disponible dès l'incident.
Faut-il payer la rançon ?
Le dispositif public cybermalveillance.gouv.fr recommande de ne pas payer. Payer ne garantit pas de récupérer vos données, entretient l'activité des attaquants et vous signale comme une cible qui cède. Privilégiez la restauration depuis vos sauvegardes et faites-vous assister par un prestataire.
Dois-je prévenir la CNIL après une cyberattaque ?
Oui, si des données personnelles (clients, salariés) ont été concernées. La violation doit être notifiée à la CNIL dans les 72 heures après en avoir pris connaissance, sauf si elle est peu susceptible d'engendrer un risque pour les personnes. En cas de risque élevé, vous devez aussi informer les personnes concernées.
Que faire immédiatement après une attaque ?
Selon cybermalveillance.gouv.fr et l'ANSSI : isolez les équipements touchés du réseau, ne payez pas la rançon, conservez les preuves, déposez plainte et faites-vous assister par un professionnel. Prévenez ensuite votre assureur et, si des données personnelles sont en jeu, la CNIL sous 72 heures.
Une TPE a-t-elle vraiment besoin d'une assurance cyber ?
Les petites structures sont des cibles privilégiées car souvent moins protégées. Pour un commerce dont l'activité dépend de la caisse, du TPE ou d'un fichier clients, une attaque peut tout arrêter pendant plusieurs jours. Une garantie cyber, même modeste, apporte l'assistance et l'indemnisation de la perte d'exploitation qui manquent à une MRP seule.
Pour aller plus loin
- →Découvrez ce que couvre réellement une assurance Multirisque Professionnelle pour votre local.
- →Comprenez le rôle de la garantie perte d'exploitation quand votre activité s'arrête.
- →Estimez votre budget avec notre repère sur le prix de l'assurance local professionnel.