Rechercher J’ai été piraté Conseil Menu
J’ai été piraté
Pour moi Aperçu : Pour moi
Pour les entreprises Aperçu : Pour les entreprises
Coûts et comparatif Aperçu : Coûts et comparatif
Situation en Suisse Aperçu : Situation en Suisse

Boutique en ligne : que peut-il arriver, et qui paie ?

limité 7 positions de coûts sur 16 généralement couvertes

6 cas typiques avec ticket de caisse : ce qu’ils coûtent et quelle position l’assurance cyber paie le plus souvent. Selon nos recherches, il faut surtout prêter attention à « Commandes avec une identité volée » (probabilité élevée).

État au

Boutique en ligne3. Boutique paralysée pendant douze heures par un afflux de requêtes31. Données de carte dérobées dans la boutique (skimming)16. La plateforme de boutique du fournisseur tombe en panne64. Des maîtres chanteurs menacent de publier les données des clients45. Fausse copie de la boutique52. Commandes avec une identité volée2

Boutique paralysée pendant douze heures par un afflux de requêtes

Données de carte dérobées dans la boutique (skimming)

La plateforme de boutique du fournisseur tombe en panne

Des maîtres chanteurs menacent de publier les données des clients

Fausse copie de la boutique

Commandes avec une identité volée

Touchez un numéro : il mène au scénario.

Sur cette page
  1. Scénarios
  2. Un jour fermé
  3. En réseau
  4. Cas réels

6 scénarios, 6 tickets de caisse

  1. Données de carte dérobées dans la boutique (skimming)
  2. Commandes avec une identité volée
  3. Boutique paralysée pendant douze heures par un afflux de requêtes
  4. Des maîtres chanteurs menacent de publier les données des clients
  5. Fausse copie de la boutique
  6. La plateforme de boutique du fournisseur tombe en panne

1Données de carte dérobées dans la boutique (skimming)

Ticket de caisse

Boutique en ligne

Touchez une ligne pour la justification

  • Criminalistique selon les prescriptions de l’industrie des cartes, nettoyage CHF 5'000–32'000 couvert

    Dans la couverture de base chez AXA, La Mobilière, Zurich, Helvetia et Chubb ; mesures immédiates AXA jusqu’à CHF 5'000 sans franchise. Calcul : 20–80 h × CHF 250–400/h (fourchette du marché pour la réponse aux incidents)

  • Avocat : obligations d’annonce selon la LPD, information des personnes concernées, défense contre les prétentions CHF 2'500–10'500 couvert

    Dans la couverture de base chez AXA, La Mobilière, Zurich, Helvetia et Chubb ; mesures immédiates AXA jusqu’à CHF 5'000 sans franchise. Calcul : 10–30 h × CHF 250–350/h (tarif d’avocat en Suisse)

  • Notification des clientes et clients par lettre (affranchissement seulement) CHF 1'000–12'000 couvert

    Information des personnes concernées dans la couverture de base ; le plus souvent, accord préalable de l’assureur nécessaire. Calcul : 1'000–10'000 lettres × CHF 1.00–1.20 (Courrier B/A 2026) ; impression, enveloppe et préparation des adresses non trouvées, s’y ajouteraient

  • Pénalités et frais de remplacement des cartes de l’industrie des cartes (PCI) pas de chiffre fiable limité

    Zurich et Helvetia paient les pénalités PCI, dans la mesure où elles sont assurables ; La Mobilière seulement en complément avec une certification PCI valable ; AXA les exclut (B4, B11). Calcul : Aucun montant suisse trouvé.

  • Prétentions de clients pas de chiffre fiable couvert

    Prétentions de tiers et défense contre les prétentions injustifiées dans la couverture de base ; contrat collectif Sunrise/AXA jusqu’à CHF 200'000. Calcul : Aucun montant trouvé.

  • Perte de chiffre d’affaires tant que la boutique est hors ligne CHF 23'100–77'000 limité

    Valeur de l’AFC pour le commerce en ligne peu significative (les grands prestataires faussent la moyenne) ; les petites boutiques se situent bien plus bas. Calcul : 3–10 jours × environ CHF 15'410 de chiffre d’affaires/jour × 50 % (statistique TVA de l’AFC 2024, moyenne des entreprises assujetties à la TVA ; les petites entreprises se situent plus bas)

Payé le plus souvent par la police cyber
CHF 8'500–54'500, plus 1 poste sans montant
Incertain ou seulement avec un complément
CHF 23'100–77'000, plus 1 poste sans montant
Reste le plus souvent à l’entreprise
rien

Probabilité moyenne

Par un plugin obsolète, des attaquants injectent un script dans la page de paiement. Les clientes voient un masque de carte d’apparence authentique ; les données partent vers un domaine au nom presque identique.

Comment cela se passe

Après trois semaines, le prestataire de paiement signale une accumulation d’utilisations abusives de cartes, la boutique doit être mise hors ligne, une enquête criminalistique selon les prescriptions de l’industrie des cartes est obligatoire.

Point d’entrée : Plugin obsolète, script tiers compromis ou accès administrateur

Ce que l’IA y change : L’IA construit des copies sans défaut des masques de paiement dans toutes les langues et aide à dissimuler les scripts.

Pourquoi moyenne ? Documenté dans la boutique de l’ESA (2024) et dans une boutique en ligne suisse de livraison de repas (2026).

Ce qui prévient

  • Utiliser la page de paiement hébergée du prestataire de paiement ; aucune donnée de carte dans la propre boutique.
  • Limiter les plugins au minimum et les mettre à jour automatiquement ; accès administrateur avec authentification à deux facteurs.
  • Surveillance de l’intégrité de la page de paiement (notification en cas de modification de scripts).
Pièges dans les conditions

Modules : Aide immédiate en cas d’urgence, Informer les personnes concernées, Pénalités de l’industrie des cartes, Prétentions de tiers après une fuite de données, Perte d’exploitation après une attaque

2Commandes avec une identité volée

Ticket de caisse

Boutique en ligne

Touchez une ligne pour la justification

  • Marchandises impayées CHF 1'000–20'000 limité

    Expressément seulement Helvetia (3.3.1.8 let. c, sous-limite, plainte pénale). Calcul : Hypothèse.

Payé le plus souvent par la police cyber
rien
Incertain ou seulement avec un complément
CHF 1'000–20'000
Reste le plus souvent à l’entreprise
rien

Probabilité élevée

Des auteurs commandent sur facture avec les vrais noms et adresses de tiers et se font livrer dans des stations de colis. Les factures restent impayées.

Comment cela se passe

Point d’entrée : Fake identity fraud

Ce que l’IA y change : L’IA aide à créer des comptes en masse.

Pourquoi élevée ? OFS : plus de 20'000 cas d’utilisation abusive de systèmes de paiement en ligne ou de l’identité d’autrui en 2025.

Où est-ce écrit ?

Polizeiliche Kriminalstatistik (PKS), Jahresbericht 2025 (BFS-Nr. 1116-2500), 23.03.2026

Ouvrir le document: Polizeiliche Kriminalstatistik (PKS), Jahresbericht 2025 (BFS-Nr. 1116-2500) (s’ouvre dans une nouvelle fenêtre), consulté le 06.11.2026

Ce qui prévient

  • Achat sur facture seulement avec vérification de solvabilité et d’adresse.
  • Livraison dans des stations de colis pour les nouveaux clients seulement contre paiement anticipé.
  • Bloquer les schémas de commande inhabituels.
Pièges dans les conditions

Modules : Fraude avec de fausses instructions

3Boutique paralysée pendant douze heures par un afflux de requêtes

Ticket de caisse

Boutique en ligne

Touchez une ligne pour la justification

  • Perte de chiffre d’affaires CHF 3'900–23'100 limité

    Pour une panne de 12 h, tout tombe dans le délai de carence (AXA, La Mobilière 12 h ; Helvetia 24 h). Calcul : ½–3 jours × environ CHF 15'410 de chiffre d’affaires/jour × 50 % (statistique TVA de l’AFC 2024, moyenne des entreprises assujetties à la TVA ; les petites entreprises se situent plus bas)

  • Mesures de défense CHF 540–2'200 limité

    Seulement après le délai de carence (AXA 12 h, La Mobilière 12 h seulement avec complément, Helvetia 24 h, Zurich seulement Optimum/Premium). Est remboursé le chiffre d’affaires moins les frais économisés (AXA) ou l’EBITDA (Helvetia), pas le chiffre d’affaires. Calcul : 3–10 h × CHF 180–225/h (support informatique PME, heures de bureau)

Payé le plus souvent par la police cyber
rien
Incertain ou seulement avec un complément
CHF 4'440–25'300
Reste le plus souvent à l’entreprise
rien

Probabilité moyenne

Un afflux de requêtes paralyse le site web pendant plus de douze heures ; des commandes sont perdues.

Comment cela se passe

Point d’entrée : DDoS

Ce que l’IA y change : Guère de lien avec l’IA.

Pourquoi moyenne ? Cas type La Mobilière (12 heures), AXA (3 jours).

Ce qui prévient

  • Protection DDoS chez l’hébergeur/le CDN.
  • Page de secours statique.
  • Choisir délibérément le délai de carence avec l’assureur.
Pièges dans les conditions

Modules : Perte d’exploitation après une attaque

4Des maîtres chanteurs menacent de publier les données des clients

Ticket de caisse

Boutique en ligne

Touchez une ligne pour la justification

  • Vérifier si les données proviennent de la boutique et d’où CHF 2'500–12'000 couvert

    Dans la couverture de base chez AXA, La Mobilière, Zurich, Helvetia et Chubb ; mesures immédiates AXA jusqu’à CHF 5'000 sans franchise. Calcul : 10–30 h × CHF 250–400/h (fourchette du marché pour la réponse aux incidents)

  • Avocat : obligations d’annonce selon la LPD, information des personnes concernées, défense contre les prétentions CHF 1'200–5'200 couvert

    Dans la couverture de base chez AXA, La Mobilière, Zurich, Helvetia et Chubb ; mesures immédiates AXA jusqu’à CHF 5'000 sans franchise. Calcul : 5–15 h × CHF 250–350/h (tarif d’avocat en Suisse)

  • Notification des clientes et clients par lettre (affranchissement seulement) CHF 1'000–24'000 couvert

    Information des personnes concernées dans la couverture de base ; le plus souvent, accord préalable de l’assureur nécessaire. Calcul : 1'000–20'000 lettres × CHF 1.00–1.20 (Courrier B/A 2026) ; impression, enveloppe et préparation des adresses non trouvées, s’y ajouteraient

  • Rançon CHF 3'000 limité

    Rançon : La Mobilière et Sunrise jamais, AXA seulement avec extension, Zurich dans la sous-limite de 25 %, Helvetia CHF 30'000–100'000, Chubb en principe oui ; plainte à la police obligatoire. Calcul : Documenté : environ CHF 3'000 exigés (2017).

Payé le plus souvent par la police cyber
CHF 4'700–41'200
Incertain ou seulement avec un complément
CHF 3'000
Reste le plus souvent à l’entreprise
rien

Probabilité moyenne

Un groupe affirme posséder toute la base de données des clients, joint un échantillon et exige des bitcoins dans les trois jours.

Comment cela se passe

Point d’entrée : Fuite de données (origine souvent inconnue)

Ce que l’IA y change : L’IA facilite l’exploitation et la revente des données.

Pourquoi moyenne ? Documenté dans des boutiques suisses (2017) ; fuites d’identifiants fréquentes.

Ce qui prévient

  • N’enregistrer les mots de passe que sous forme hachée.
  • Supprimer les anciens comptes clients.
  • Sécuriser l’accès administrateur.
Pièges dans les conditions

Modules : Aide immédiate en cas d’urgence, Informer les personnes concernées, Cyber-extorsion

5Fausse copie de la boutique

Ticket de caisse

Boutique en ligne

Touchez une ligne pour la justification

  • Blocage du domaine, défense CHF 1'200–7'000 pas clair

    Pas d’attaque contre le propre système ; le plus souvent pas d’événement assuré. Calcul : 5–20 h × CHF 250–350/h (tarif d’avocat en Suisse)

  • Atteinte à l’image pas de chiffre fiable non couvert

    Perte d’exploitation due à une atteinte à l’image : expressément exclue chez Helvetia, non prévue chez AXA, La Mobilière et Zurich ; seulement Chubb en complément. Les frais de relations publiques sont payés par g.soforthilfe. Calcul : Non chiffrable.

Payé le plus souvent par la police cyber
rien
Incertain ou seulement avec un complément
CHF 1'200–7'000
Reste le plus souvent à l’entreprise
1 poste sans montant

Probabilité moyenne

Des escrocs copient la boutique sur un domaine similaire, vendent contre paiement anticipé et ne livrent jamais. Les personnes lésées s’adressent à la vraie boutique.

Comment cela se passe

Point d’entrée : Usurpation du nom et du design

Ce que l’IA y change : L’IA crée des copies de boutiques et des textes de produits en quelques minutes.

Pourquoi moyenne ? Selon la statistique policière de la criminalité de l’OFS, les faux shops sont répandus ; copie d’une vraie boutique documentée (horloger DE 2026).

Où est-ce écrit ?

Polizeiliche Kriminalstatistik (PKS), Jahresbericht 2025 (BFS-Nr. 1116-2500), 23.03.2026

Ouvrir le document: Polizeiliche Kriminalstatistik (PKS), Jahresbericht 2025 (BFS-Nr. 1116-2500) (s’ouvre dans une nouvelle fenêtre), consulté le 06.11.2026

Ce qui prévient

  • Enregistrer soi-même les domaines similaires.
  • Surveillance de la marque.
  • Avertissement sur le site web.
Pièges dans les conditions

Modules : Responsabilité civile médias, Atteinte à la réputation

6La plateforme de boutique du fournisseur tombe en panne

Ticket de caisse

Boutique en ligne

Touchez une ligne pour la justification

  • Perte de chiffre d’affaires CHF 7'700–15'400 limité

    Seulement en cas d’attaque contre le fournisseur ; une panne technique n’est pas assurée. Calcul : 1–2 jours × environ CHF 15'410 de chiffre d’affaires/jour × 50 % (statistique TVA de l’AFC 2024, moyenne des entreprises assujetties à la TVA ; les petites entreprises se situent plus bas)

Payé le plus souvent par la police cyber
rien
Incertain ou seulement avec un complément
CHF 7'700–15'400
Reste le plus souvent à l’entreprise
rien

Probabilité faible

Le software-as-a-service de boutique du fournisseur est hors ligne pendant deux jours après une attaque.

Comment cela se passe

Point d’entrée : Attaque contre le fournisseur

Ce que l’IA y change : Pas de lien direct avec l’IA.

Pourquoi faible ? Les grandes plateformes sont bien protégées ; les pannes sont plutôt techniques.

Ce qui prévient

  • Page de statut et communication d’urgence.
  • Contrat sur la disponibilité.
  • Pouvoir prendre les commandes par téléphone.
Pièges dans les conditions

Modules : Panne chez le prestataire informatique

Fourchettes pour une petite ou moyenne entreprise, pas une prestation d’assurance. S’y ajoutent franchise, sommes et sous-limites. Les barres de tous les tickets ont la même échelle.

Aperçu selon les conditions publiques, état au 06.11.2026. Seules votre police et les conditions générales d’assurance (CGA) correspondantes font foi. Aucune promesse de couverture.

Ce que coûte un jour d’arrêt

CHF 15'410 Chiffre d’affaires moyen par jour ; votre entreprise peut être plus petite.

D’où viennent les chiffres

Moyenne des entreprises assujetties à la TVA (AFC 2024) ; les petites entreprises se situent plus bas. N’est assurée que la perte d’exploitation après le délai de carence (chiffre d’affaires moins frais économisés, ou EBITDA). Fiabilité : faible.

Délai de carence : perte d’exploitation seulement après 12 heures (AXA ; La Mobilière seulement avec le complément B4) ou 24 heures (Helvetia) ; chez Zurich seulement dans Optimum/Premium, délai de carence selon la police. Une interruption plus courte que le délai de carence reste à la charge de l’entreprise.

Ce qui est connecté dans l’entreprise

Cas réels

  • Suisse · 08.2026

    Boutique en ligne de livraison de repas (anonyme)

    Des attaquants ont injecté un code malveillant dans la vraie page de paiement d’une boutique en ligne de commande de repas.

  • Suisse · 02.2017

    Boutique en ligne suisse (anonyme)

    Le groupe « Armada Collective » a affirmé posséder toute la base de données des clients d’une boutique en ligne suisse et a joint un jeu de données comme preuve.

  • Suisse · 12.2017

    dvd-shop.ch

    La Confédération a reçu environ 70'000 combinaisons volées de nom d’utilisateur et de mot de passe ; MELANI les a attribuées à la boutique en ligne dvd-shop.ch. L’exploitant a réinitialisé tous les mots de passe, a mis la boutique temporairement hors ligne et a informé la clientèle par e-mail.

6 autres cas et cas types

  • international · 12.2024Étranger : international

    Boutique en ligne officielle de l’Agence spatiale européenne ESA

    Peu avant Noël 2024, l’entreprise Sansec a découvert dans la boutique de l’ESA un script qui affichait une fausse page de paiement lors du paiement et dérobait les données de carte.

  • Allemagne · 02.2026Étranger : Allemagne

    Maître horloger Peter-Jesko Buse

    Fin février 2026, un prétendu client s’est renseigné sur une montre que le maître horloger de 83 ans n’avait jamais vendue.

  • Cas type d’un assureur : La Mobilière

    Un afflux de requêtes paralyse le site web d’une boutique en ligne pendant plus de 12 heures ; pertes de recettes.

    Cas type sans montant. Se situe exactement au délai de carence de 12 heures : les pannes plus courtes sont supportées par l’entreprise elle-même.

    Où est-ce écrit ?

    Cyberversicherung für Unternehmen (Produktseite, Schadenbeispiele), abgerufen 06.11.2026, Schadenbeispiele, Ertragsausfall «Server lahmgelegt»

    Ouvrir le document: Cyberversicherung für Unternehmen (Produktseite, Schadenbeispiele) (s’ouvre dans une nouvelle fenêtre), consulté le 06.11.2026

  • Cas type d’un assureur : AXA

    Spécialiste des vêtements outdoor avec sa propre boutique en ligne : une attaque DoS bloque le système, la boutique en ligne est hors service pendant trois jours.

    Cas type ; montant seulement comme ordre de grandeur (« plusieurs milliers de francs »), d’où chf null. Délai de carence AXA 12 heures.

    Où est-ce écrit ?

    Factsheet Cyberversicherung Unternehmen, 14152DE – 2025-10, Ziff. 5, Ertragsausfall

    «Die AXA übernimmt den Ertragsausfall von mehreren tausend Franken.»

    Ouvrir le document: Factsheet Cyberversicherung Unternehmen (s’ouvre dans une nouvelle fenêtre), consulté le 06.11.2026

  • Cas type d’un assureur : Helvetia

    Attaque DoS contre la boutique en ligne d’un magasin spécialisé de chaussures pendant la période de Noël ; repoussée après quelques jours avec l’aide d’un spécialiste informatique, perte de bénéfice jusque-là.

    Cas type de l’assureur sans montants ; Helvetia : prestations « selon le paquet de prestations choisi ». Délai de carence Helvetia pour l’interruption d’exploitation 24 heures (proposition KMU-Spezial).

    Où est-ce écrit ?

    Cyber-Versicherung (Broschüre), 07.26 (Nr. 120015329), S. 7/9, «Online-Shop lahmgelegt»

    «Bis zur Installation der Abwehrmassnahmen entsteht während der ertragsreichen Weihnachtszeit dennoch ein Gewinnausfall für das Schuhfachgeschäft.»

    Ouvrir le document: Cyber-Versicherung (Broschüre) (s’ouvre dans une nouvelle fenêtre), consulté le 06.11.2026

  • Polizeiliche Kriminalstatistik (PKS), Jahresbericht 2025 (BFS-Nr. 1116-2500)

    Où est-ce écrit ?

    Polizeiliche Kriminalstatistik (PKS), Jahresbericht 2025 (BFS-Nr. 1116-2500), 23.03.2026

    Ouvrir le document: Polizeiliche Kriminalstatistik (PKS), Jahresbericht 2025 (BFS-Nr. 1116-2500) (s’ouvre dans une nouvelle fenêtre), consulté le 06.11.2026

Trois pistes pour continuer