Rechercher J’ai été piraté Conseil Menu
J’ai été piraté
Pour moi Aperçu : Pour moi
Pour les entreprises Aperçu : Pour les entreprises
Coûts et comparatif Aperçu : Coûts et comparatif
Situation en Suisse Aperçu : Situation en Suisse

Association et fondation : que peut-il arriver, et qui paie ?

limité 7 positions de coûts sur 11 généralement couvertes

5 cas typiques avec ticket de caisse : ce qu’ils coûtent et quelle position l’assurance cyber paie le plus souvent. Selon nos recherches, il faut surtout prêter attention à « Le caissier paie sur e-mail du « président » » (probabilité élevée).

État au

Association et fondation1. Le caissier paie sur e-mail du « président »13. Facture de maillots interceptée34. Liste des membres avec dates de naissance publiée42. Compte Instagram de l’association repris25. Fondation chiffrée, données sur le darknet5

Le caissier paie sur e-mail du « président »

Facture de maillots interceptée

Liste des membres avec dates de naissance publiée

Compte Instagram de l’association repris

Fondation chiffrée, données sur le darknet

Touchez un numéro : il mène au scénario.

Sur cette page
  1. Scénarios
  2. Un jour fermé
  3. En réseau
  4. Cas réels

5 scénarios, 5 tickets de caisse

  1. Le caissier paie sur e-mail du « président »
  2. Compte Instagram de l’association repris
  3. Facture de maillots interceptée
  4. Liste des membres avec dates de naissance publiée
  5. Fondation chiffrée, données sur le darknet

1Le caissier paie sur e-mail du « président »

Ticket de caisse

Association et fondation

Touchez une ligne pour la justification

  • Montant viré CHF 500–5'000 en option

    De nombreuses associations n’ont pas de police cyber ; les produits pour PME sont conçus pour les entreprises. En Allemagne, une assurance responsabilité civile pour dommages patrimoniaux de l’association a payé. Calcul : Cas de comparaison en Allemagne : EUR 1'900–3'850.

Payé le plus souvent par la police cyber
rien
Incertain ou seulement avec un complément
CHF 500–5'000
Reste le plus souvent à l’entreprise
rien

Probabilité élevée

Le caissier reçoit du prétendu président la demande de payer une facture de chaussures de sport. Il vire CHF 2'800.

Comment cela se passe

Point d’entrée : Faux e-mail avec des noms tirés du site web de l’association

Ce que l’IA y change : L’IA rédige des e-mails d’hameçonnage sans fautes et personnalisés, dans un allemand proche du dialecte ; l’ancien signal d’alerte « mauvais allemand » disparaît. Selon IBM, les attaquants ont utilisé l’IA en 2025 dans 16 % des violations de données, le plus souvent pour l’hameçonnage.

Pourquoi élevée ? OFCS : nombreux signalements visant des églises, des écoles, des associations et des partis (décembre 2024) ; cas d’un club sportif en 2022.

Ce qui prévient

  • Paiements seulement avec justificatif et validation par deux membres du comité.
  • Sur le site web, seulement des adresses de fonction au lieu des noms de personnes.
  • Rappeler le président.
Pièges dans les conditions

Modules : Fraude avec de fausses instructions

2Compte Instagram de l’association repris

Ticket de caisse

Association et fondation

Touchez une ligne pour la justification

  • Récupérer le compte CHF 360–1'400 couvert

    Restauration des données, des logiciels et des systèmes dans la couverture de base ; contrat collectif Sunrise/AXA seulement jusqu’à CHF 20'000 de dommage propre. Calcul : 2–6 h × CHF 180–225/h (support informatique PME, heures de bureau)

  • Atteinte à l’image pas de chiffre fiable non couvert

    Perte d’exploitation due à une atteinte à l’image : expressément exclue chez Helvetia, non prévue chez AXA, La Mobilière et Zurich ; seulement Chubb en complément. Les frais de relations publiques sont payés par g.soforthilfe. Calcul : Non chiffrable.

Payé le plus souvent par la police cyber
CHF 360–1'400
Incertain ou seulement avec un complément
rien
Reste le plus souvent à l’entreprise
1 poste sans montant

Probabilité élevée

Après un hameçonnage, des auteurs reprennent le compte Instagram et publient de la publicité pour des cryptomonnaies.

Comment cela se passe

Point d’entrée : Hameçonnage

Ce que l’IA y change : L’IA génère des textes publicitaires et des images.

Pourquoi élevée ? Cas de comptes repris signalés à l’OFCS.

Ce qui prévient

  • Authentification à deux facteurs.
  • Au moins deux administrateurs.
  • Données de récupération à jour.
Pièges dans les conditions

Modules : Restaurer données et systèmes, Atteinte à la réputation

3Facture de maillots interceptée

Ticket de caisse

Association et fondation

Touchez une ligne pour la justification

  • Paiement anticipé CHF 1'000–5'000 en option

    Seulement en complément (AXA A6, La Mobilière B8, Zurich Premium) ou avec sous-limite (Helvetia CHF 30'000–100'000) ; presque toujours obligation de rappel en cas de nouvelles coordonnées bancaires. Calcul : Cas de comparaison : EUR 2'848.

Payé le plus souvent par la police cyber
rien
Incertain ou seulement avec un complément
CHF 1'000–5'000
Reste le plus souvent à l’entreprise
rien

Probabilité moyenne

La facture du fournisseur est interceptée en cours de route et les coordonnées bancaires modifiées ; l’association paie d’avance, les maillots n’arrivent jamais.

Comment cela se passe

Point d’entrée : Facture manipulée

Ce que l’IA y change : L’IA rédige des e-mails d’hameçonnage sans fautes et personnalisés, dans un allemand proche du dialecte ; l’ancien signal d’alerte « mauvais allemand » disparaît. Selon IBM, les attaquants ont utilisé l’IA en 2025 dans 16 % des violations de données, le plus souvent pour l’hameçonnage.

Pourquoi moyenne ? Documenté en Allemagne (2024), l’assurance a payé.

Ce qui prévient

  • Confirmer l’IBAN par téléphone.
  • Pas de paiement anticipé aux nouveaux fournisseurs.
  • Deux signatures.
Pièges dans les conditions

Modules : Fraude avec de fausses instructions

4Liste des membres avec dates de naissance publiée

Ticket de caisse

Association et fondation

Touchez une ligne pour la justification

  • Avocat : obligations d’annonce selon la LPD, information des personnes concernées, défense contre les prétentions CHF 500–2'800 couvert

    Dans la couverture de base chez AXA, La Mobilière, Zurich, Helvetia et Chubb ; mesures immédiates AXA jusqu’à CHF 5'000 sans franchise. Calcul : 2–8 h × CHF 250–350/h (tarif d’avocat en Suisse)

  • Notification des membres par lettre (affranchissement seulement) CHF 100–2'400 couvert

    Information des personnes concernées dans la couverture de base ; le plus souvent, accord préalable de l’assureur nécessaire. Calcul : 100–2'000 lettres × CHF 1.00–1.20 (Courrier B/A 2026) ; impression, enveloppe et préparation des adresses non trouvées, s’y ajouteraient

Payé le plus souvent par la police cyber
CHF 600–5'200
Incertain ou seulement avec un complément
rien
Reste le plus souvent à l’entreprise
rien

Probabilité moyenne

Une liste des membres avec adresses et dates de naissance se trouve dans un dossier cloud ouvert et est découverte.

Comment cela se passe

Point d’entrée : Dossier partagé par erreur

Ce que l’IA y change : La recherche par IA trouve plus vite les documents ouverts.

Pourquoi moyenne ? Erreur de manipulation fréquente (hypothèse).

Ce qui prévient

  • Vérifier les partages chaque année.
  • Seulement les données nécessaires.
  • Désigner une personne responsable des données.
Pièges dans les conditions
  • Erreur de manipulation sans attaque : AXA n’assure que les attaques intentionnelles ; La Mobilière (interruption d’exploitation seulement avec complément), Zurich (Optimum/Premium) et Helvetia (liste exhaustive) couvrent les erreurs par négligence du personnel.
    Où est-ce écrit ?

    Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung, Ausgabe 06.2024 (16381DE – 2024-06), Ziff. E2, S. 16

    «Ein Cyber-Eigenschaden-Ereignis ist ein vorsätzlicher, schädigender Angriff durch Dritte oder durch versicherte Personen»

    Ouvrir le document: Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung (s’ouvre dans une nouvelle fenêtre), consulté le 06.11.2026

  • Obligation d’annonce : une violation de la sécurité des données entraînant vraisemblablement un risque élevé doit être annoncée au PFPDT dans les meilleurs délais (art. 24 LPD). Convenir au préalable avec l’assureur de la notification et des relations publiques (AXA, Helvetia), sinon il y a litige sur les frais.
    Où est-ce écrit ?

    Bundesgesetz über den Datenschutz (DSG), SR 235.1, geltende Fassung, Art. 24 DSG (Paraphrase)

    Ouvrir le document: Bundesgesetz über den Datenschutz (DSG), SR 235.1 (s’ouvre dans une nouvelle fenêtre), consulté le 06.11.2026

Modules : Aide immédiate en cas d’urgence, Informer les personnes concernées

5Fondation chiffrée, données sur le darknet

Ticket de caisse

Association et fondation

Touchez une ligne pour la justification

  • Criminalistique informatique et réponse aux incidents (analyse, confinement, conservation des preuves) CHF 5'000–24'000 couvert

    Dans la couverture de base chez AXA, La Mobilière, Zurich, Helvetia et Chubb ; mesures immédiates AXA jusqu’à CHF 5'000 sans franchise. Calcul : 20–60 h × CHF 250–400/h (fourchette du marché pour la réponse aux incidents)

  • Prestataire informatique : nettoyage, reconstruction, restauration de la sauvegarde CHF 3'600–13'500 couvert

    Restauration des données, des logiciels et des systèmes dans la couverture de base ; contrat collectif Sunrise/AXA seulement jusqu’à CHF 20'000 de dommage propre. Calcul : 20–60 h × CHF 180–225/h (support informatique PME, heures de bureau)

  • Avocat : obligations d’annonce selon la LPD, information des personnes concernées, défense contre les prétentions CHF 2'500–10'500 couvert

    Dans la couverture de base chez AXA, La Mobilière, Zurich, Helvetia et Chubb ; mesures immédiates AXA jusqu’à CHF 5'000 sans franchise. Calcul : 10–30 h × CHF 250–350/h (tarif d’avocat en Suisse)

  • Notification des personnes concernées par lettre (affranchissement seulement) CHF 500–6'000 couvert

    Information des personnes concernées dans la couverture de base ; le plus souvent, accord préalable de l’assureur nécessaire. Calcul : 500–5'000 lettres × CHF 1.00–1.20 (Courrier B/A 2026) ; impression, enveloppe et préparation des adresses non trouvées, s’y ajouteraient

  • Panne CHF 7'100–23'800 limité

    Valeur de l’AFC pour les associations peu significative. Calcul : 3–10 jours × environ CHF 11'900 de chiffre d’affaires/jour × 20 % (statistique TVA de l’AFC 2024, moyenne des entreprises assujetties à la TVA ; les petites entreprises se situent plus bas)

Payé le plus souvent par la police cyber
CHF 11'600–54'000
Incertain ou seulement avec un complément
CHF 7'100–23'800
Reste le plus souvent à l’entreprise
rien

Probabilité moyenne

Une fondation à but non lucratif est victime d’un rançongiciel ; des données de partenaires, dont des services fédéraux, se retrouvent sur le darknet.

Comment cela se passe

Point d’entrée : Rançongiciel

Ce que l’IA y change : L’IA accélère la découverte de failles ouvertes (routeur, VPN, télémaintenance) et la rédaction d’e-mails d’extorsion ; le temps entre la publication d’une faille et l’attaque se raccourcit, le délai de correctif des assureurs (14 ou 30 jours) devient serré.

Pourquoi moyenne ? Cas réel de la Fondation Radix (2025).

Ce qui prévient

  • Sauvegarde hors ligne.
  • Authentification à deux facteurs.
  • Données des partenaires séparées.
Pièges dans les conditions
  • Obligation de sauvegarde : AXA et La Mobilière exigent au moins une sauvegarde hebdomadaire déconnectée du réseau, Zurich tous les 7 jours, Helvetia quotidienne avec contrôle de fonctionnement. Si elle manque, l’assureur réduit ses prestations ; chez AXA, sans sauvegarde utilisable, seulement les frais de constatation.
    Où est-ce écrit ?

    Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung, Ausgabe 06.2024 (16381DE – 2024-06), Ziff. C3 und C5, S. 14

    «keine verwendbare Datensicherung vorhanden ist, so sind nur die Kosten zur Feststellung dieses Sachverhalts gedeckt»

    Ouvrir le document: Allgemeine Vertragsbedingungen (AVB) KMU Versicherung, Modul Cyberversicherung (s’ouvre dans une nouvelle fenêtre), consulté le 06.11.2026

  • Obligation d’annonce : une violation de la sécurité des données entraînant vraisemblablement un risque élevé doit être annoncée au PFPDT dans les meilleurs délais (art. 24 LPD). Convenir au préalable avec l’assureur de la notification et des relations publiques (AXA, Helvetia), sinon il y a litige sur les frais.
    Où est-ce écrit ?

    Bundesgesetz über den Datenschutz (DSG), SR 235.1, geltende Fassung, Art. 24 DSG (Paraphrase)

    Ouvrir le document: Bundesgesetz über den Datenschutz (DSG), SR 235.1 (s’ouvre dans une nouvelle fenêtre), consulté le 06.11.2026

Modules : Aide immédiate en cas d’urgence, Restaurer données et systèmes, Informer les personnes concernées, Perte d’exploitation après une attaque

Fourchettes pour une petite ou moyenne entreprise, pas une prestation d’assurance. S’y ajoutent franchise, sommes et sous-limites. Les barres de tous les tickets ont la même échelle.

Aperçu selon les conditions publiques, état au 06.11.2026. Seules votre police et les conditions générales d’assurance (CGA) correspondantes font foi. Aucune promesse de couverture.

Ce que coûte un jour d’arrêt

CHF 11'900 Chiffre d’affaires moyen par jour ; votre entreprise peut être plus petite.

D’où viennent les chiffres

Moyenne des entreprises assujetties à la TVA (AFC 2024) ; les petites entreprises se situent plus bas. N’est assurée que la perte d’exploitation après le délai de carence (chiffre d’affaires moins frais économisés, ou EBITDA). Fiabilité : faible.

Délai de carence : perte d’exploitation seulement après 12 heures (AXA ; La Mobilière seulement avec le complément B4) ou 24 heures (Helvetia) ; chez Zurich seulement dans Optimum/Premium, délai de carence selon la police. Une interruption plus courte que le délai de carence reste à la charge de l’entreprise.

Ce qui est connecté dans l’entreprise

Cas réels

  • Suisse · 01.2022

    Club sportif (anonyme)

    Des escrocs se sont renseignés au préalable sur un club sportif et ont écrit au caissier au nom du président.

  • Suisse · 12.2024

    Églises, écoles, associations et partis (anonymes)

    En décembre 2024, l’OFCS a reçu de nombreux signalements de fraude au président visant des églises, des écoles, des associations et des partis, dont les sites web affichent de nombreux noms et fonctions.

  • Suisse · 04.2022

    Musée (anonyme)

    Via le Facebook Business Manager, un musée a reçu un prétendu message de l'« Instagram Copyright Help Center » concernant une violation du droit d’auteur.

4 autres cas et cas types

  • Suisse · 06.2025

    Fondation Radix

    La fondation à but non lucratif pour la promotion de la santé a été victime d’une attaque par rançongiciel en juin 2025 : des données ont été dérobées, chiffrées puis publiées sur le darknet.

  • AllemagneÉtranger : Allemagne

    Club sportif avec groupe de course à pied (anonyme)

    Le club a commandé des maillots et a payé la facture d’avance.

  • AllemagneÉtranger : Allemagne

    Club sportif (anonyme)

    Par le compte de messagerie piraté du président, la caissière a reçu une fausse facture pour des appareils de fitness.

  • AllemagneÉtranger : Allemagne

    Association (anonyme)

    Un prétendu employé de la Sparkasse a appelé le caissier et l’a amené à divulguer des numéros TAN.

Trois pistes pour continuer