Assurance e-commerce : que faire après une cyberattaque ?

Votre administration de boutique affiche des adresses modifiées ou votre système devient inaccessible. Vous devez protéger les données, déterminer ce qui s’est passé et décider quelles commandes peuvent encore partir. L’assurance du site e-commerce peut intervenir selon ses garanties, mais elle ne transforme pas ces décisions en une seule déclaration automatique. Préparez les contacts et les documents avant de découvrir le problème.

Le cadre examiné ici est celui d’une boutique française, avec des sources publiques consultées le 14 octobre 2026. La question porte sur le dossier cyber et la continuité des commandes. La page AirPost pour externaliser l’expédition décrit les tâches physiques déléguées ; cette organisation ne fournit pas à votre boutique une police d’assurance cyber.

Qui appeler si mon contrat mentionne une assistance cyber ? #

Retrouvez le numéro d’urgence, le nom de la société assurée et la référence de police depuis un support encore accessible. Demandez quelle assistance activer, quels intervenants utiliser et comment faire accepter les dépenses. Une liste de garanties sur le devis ne vous dit pas nécessairement si vous devez passer par un prestataire désigné. Notez le numéro de dossier et le canal pour transmettre ensuite les justificatifs.

Séparez le contact technique du contact qui pilote la boutique. Le premier cherche les accès compromis ; le second décide de suspendre des ventes ou de prévenir les partenaires. Votre courtier peut faciliter l’échange sans remplacer le service qui ouvre le sinistre. Prévoyez une adresse de secours contrôlée par une personne autorisée, afin que les réponses ne soient pas envoyées uniquement vers la messagerie compromise.

Demandez au professionnel chargé de l’incident de conserver les éléments utiles. Cybermalveillance.gouv.fr recommande notamment de préserver les journaux et preuves de l’attaque. Pour votre boutique, ajoutez les changements d’adresse et de commandes que vous avez constatés, avec leur date. Ne réécrivez pas l’historique pour le rendre plus lisible : joignez une explication séparée aux fichiers d’origine.

La plainte et la notification CNIL ont-elles la même fonction ? #

Le dépôt de plainte conditionnant certaines indemnisations cyber relève du Code des assurances. La règle vise les personnes morales et les personnes physiques dans leur activité professionnelle pour les atteintes définies par le texte. Elle n’est pas limitée au paiement d’une rançon. La fiche officielle sur les rançongiciels rappelle ce délai légal. Prévenir l’hébergeur, envoyer un message au courtier ou utiliser un formulaire de signalement ne prouve pas à lui seul le dépôt de plainte demandé.

Gardez une chronologie commune, mais transmettez à chacun les éléments pertinents. L’expéditeur qui prépare vos produits a besoin de savoir quels ordres sont fiables ; il n’a pas besoin de recevoir une copie complète de la base clients. Une communication courte peut demander de retenir les commandes touchées et d’attendre une confirmation. Ne présentez pas comme un vol établi ce qui est encore une anomalie à examiner.

Quand faut-il notifier une violation de données à la CNIL ? #

La grille de la CNIL prévoit une documentation interne pour les violations, même sans risque justifiant une notification. En présence de risque, la notification à l’autorité intervient au plus tôt, dans le délai de 72 heures ; un risque élevé entraîne aussi l’information des personnes, sous réserve des exceptions applicables. C’est l’analyse de risque pour les personnes qui oriente ces obligations.

Pour une boutique, examinez les catégories touchées : coordonnées de livraison, historique d’achat, accès au compte ou autres informations réellement détenues. Indiquez ce que vous savez du périmètre et ce qui reste à vérifier. Ne supposez pas qu’une attaque du site a forcément exposé des numéros de carte si votre système ne les détenait pas. À l’inverse, l’absence d’accès aux paiements ne règle pas le risque lié aux adresses.

Attribuez clairement la préparation de l’analyse et de la notification. Si plusieurs services interviennent, demandez qui dépose, qui relit et comment vous recevez la preuve de transmission. La CNIL précise aussi que, pour certains traitements transfrontaliers, l’autorité chef de file peut être différente de la CNIL. Vendre à l’étranger mérite donc une vérification du responsable et de l’autorité compétente, au lieu de déclencher plusieurs démarches identiques par défaut.

Dois-je attendre de connaître tous les clients concernés ? #

Non : le téléservice officiel prévoit une notification initiale puis une notification complémentaire dès disponibilité des informations. Si la première intervient après le délai, vous devez expliquer les motifs du retard. Une estimation doit être identifiée comme telle. Préparez le contenu connu, sans transformer une recherche inachevée en raison pour laisser la démarche de côté.

Évitez les versions contradictoires en conservant un relevé des corrections. Si l’enquête réduit le périmètre, notez les éléments qui justifient cette réduction. Si elle révèle une autre catégorie de données, ajoutez-la avec sa date de découverte. Le dossier assurance et les communications doivent pouvoir retrouver la même évolution factuelle, même si chacun utilise un formulaire différent ou demande des pièces supplémentaires.

Quelles commandes faut-il retenir chez mon expéditeur ? #

Une règle pratique est de retenir les commandes dont l’adresse, le paiement ou la composition ne peut plus être confirmé à partir d’une source fiable. Ne transmettez pas simplement une nouvelle liste issue du même accès compromis. Distinguez les ordres encore modifiables des colis déjà confiés au transporteur. Pour ces derniers, contactez le canal de transport concerné ; demander à l’expéditeur de changer une étiquette ne ramène pas le colis.

1. 1

   Identifier les ordres touchés

   Rapprochez références de commande, dernières modifications et données vérifiables. Présentez le périmètre comme provisoire si nécessaire.

2. 2

   Fixer un état physique

   Demandez quels produits restent en stock, quels colis sont fermés et lesquels disposent d’une preuve de remise.

3. 3

   Confirmer les instructions depuis un accès sûr

   Transmettez une liste datée d’ordres à retenir ou à reprendre, sans diffuser tout l’historique des clients.

4. 4

   Réconcilier après restauration

   Comparez les commandes restaurées aux mouvements physiques pour éviter une préparation en double ou une sortie de stock oubliée.

Le guide application de fulfilment Shopify explique le circuit des commandes dans une collaboration AirPost. Après un incident, faites vérifier les autorisations et les données avant de reprendre ce circuit. Une commande réapparue après restauration n’est pas forcément nouvelle. Sa référence et la preuve de préparation restent nécessaires pour décider s’il faut agir ou seulement corriger l’état affiché.

Quels frais demander à l’assureur de distinguer ? #

Demandez quelles garanties concernent investigation, restauration, défense, communication et interruption d’activité. Faites préciser les franchises, délais de carence, sous-limites et conditions liées aux prestataires. Vérifiez le traitement d’un incident chez l’hébergeur ou un fournisseur. Ces questions portent sur votre contrat réel : la disponibilité d’une rubrique chez un assureur ne garantit pas qu’elle figure dans votre propre devis.

Dans votre suivi de frais, un petit colis AirPost au montant de préparation recommandé de 2,25 € et au tarif de plateforme de 0,85 € représente 3,10 € pour ces deux postes, selon les constantes consultées le 14 octobre 2026. Transport et matériaux restent séparés. Ce montant n’est ni une prime cyber ni une dépense automatiquement remboursable après l’attaque.

Conservez le détail d’une nouvelle préparation, d’une étiquette annulée ou d’un retour, avec la décision qui l’a rendu nécessaire. N’inscrivez pas un remboursement client comme une perte de stock si le produit revient intact. Pour une interruption, gardez les périodes et preuves demandées par l’assureur plutôt qu’un chiffre d’affaires supposé. La qualité du dossier vient du lien entre l’événement, l’action et la dépense justifiée.

Que préparer aujourd’hui pour que le contrat soit utilisable ? #

Gardez une copie accessible du contrat, une liste de contacts et la description des systèmes qui servent aux ventes et expéditions. Répondez exactement au questionnaire de sécurité : une sauvegarde annoncée doit correspondre à votre fonctionnement réel. Faites préciser comment signaler un changement de plateforme ou de prestataire. Relisez ensuite la procédure avec la personne qui pourrait agir pendant votre absence.