L'assurance cyber pour les commerces belges

Pourquoi votre commerce est une cible cyber

On imagine encore souvent qu’un hacker s’intéresse aux banques, aux hôpitaux ou aux grandes industries. La réalité du terrain belge en 2026 est différente.

Selon le Centre pour la Cybersécurité Belgique, 1 PME sur 2 a subi un incident cyber en 2024. Le commerce de détail figure parmi les secteurs les plus touchés, avec la construction et l’horeca.

Trois raisons concrètes

Un commerce moyen combine un volume de transactions élevé, une trésorerie tendue et une dépendance forte à l’informatique. Quand la caisse refuse d’ouvrir, le chiffre d’affaires tombe à la seconde. Quand l’e-shop est hors ligne pendant Black Friday, l’équivalent d’un mois de ventes peut s’évaporer en 48 heures.

Le second facteur, c’est la donnée client. Un commerce qui tourne depuis cinq ans accumule souvent plusieurs milliers de contacts dans son CRM : noms, e-mails, adresses, historiques d’achat. Cette base a une valeur réelle sur le dark web, phishing ciblé, SIM swap, revente. Un hacker n’a pas besoin de paralyser la boutique pour rentabiliser son attaque.

Troisième facteur, plus discret : les flux financiers réguliers avec les fournisseurs. Une boutique qui paie chaque mois plusieurs factures à des fournisseurs connus est une cible parfaite pour la fraude au virement. Il suffit d’une boîte mail compromise, souvent celle du fournisseur, pour qu’un faux IBAN soit injecté dans un échange anodin.

Enfin, l’écosystème logiciel d’un commerce moderne empile des prestataires : développeur web, agence Shopify, expert-comptable en ligne, plateforme de fidélité, outil d’e-mailing, prestataire de paiement, hébergeur. Chacun a un accès à une partie de vos données ou de votre infrastructure. La compromission d’un seul d’entre eux suffit à créer un incident chez vous.

Une exposition qui ne se réduit pas à la taille

Un commerce de quartier avec un point de vente unique peut être touché aussi durement qu’une chaîne de dix boutiques. Ce n’est pas la taille qui détermine l’exposition, mais la densité de connexions entre les outils et la dépendance opérationnelle au numérique. Une indépendante qui gère sa caisse, son e-shop et sa compta depuis un seul ordinateur est tout aussi vulnérable qu’un retailer multi-sites.

Les attaques les plus fréquentes dans le commerce belge

Le ransomware qui paralyse votre POS

C’est le scénario le plus visible, et le plus brutal. Le système de caisse est connecté au cloud (Lightspeed, Square, Shopify POS), souvent partagé entre plusieurs points de vente.

Une fois le ransomware activé, tout s’arrête en même temps : ventes en boutique, lecture du stock, envoi des tickets, parfois l’e-shop si l’inventaire est mutualisé.

Le coût moyen pour une PME tourne autour de 65 000 € selon l’ENISA, rançon, perte d’exploitation, reconstruction. Pour un commerce qui ne peut pas vendre pendant deux semaines en pleine saison, l’impact peut être très supérieur.

Côté assurance, deux points clés : la rançon ne peut être payée qu’avec un accord écrit préalable de l’assureur et d’un mandataire social, et la perte d’exploitation est indemnisée sur la marge brute, pas sur le chiffre d’affaires.

Le piratage de votre base clients

C’est l’attaque silencieuse, et souvent la plus coûteuse à long terme. Un hacker accède au CRM, exfiltre la base, et la met en vente.

L’incident remonte parfois par un journaliste, parfois par un client qui reçoit du phishing à votre nom. À partir de là, l’horloge tourne.

Si le risque pour les personnes est élevé, vous devez également notifier individuellement les clients impactés. L’APD peut ouvrir une enquête. Les amendes administratives ne sont pas assurables en droit belge, c’est une interdiction légale. En revanche, tous les frais autour (avocat, call center, identity monitoring jusqu’à 12 mois, communication, défense) sont pris en charge.

Le faux fournisseur

C’est l’attaque qu’aucun antivirus ne détectera, parce qu’elle n’utilise pas de virus.

Un hacker compromet la boîte mail d’un fournisseur (ou de votre propre comptable), surveille les échanges pendant quelques semaines, puis intervient au bon moment : “petit changement de coordonnées bancaires pour notre prochaine facture, merci de mettre à jour votre fichier”.

Le ton, la signature, l’historique : tout est crédible. Le virement part.

Côté garantie, la cyber-fraude couvre le vol, l’escroquerie, l’abus de confiance, le faux et usage de faux, avec une sous-limite par défaut de 50 000 € (extensible selon contrat). Deux conditions importantes : les cryptomonnaies sont exclues, et le dépôt de plainte pénale doit être effectué dans les 24h suivant la découverte.

L’e-shop redirigé ou défacé

Plus rare, mais redoutable : votre site marchand est détourné, soit par défacement (page de revendication, contenu offensant), soit par redirection silencieuse vers un faux site qui imite le vôtre.

La marque est touchée, Google peut blacklister le domaine en quelques heures (Safe Browsing), et la confiance des clients met du temps à se reconstruire. Le coût direct (nettoyage, restauration) est gérable. Le coût indirect (SEO, image, retour des clients) pèse plus longtemps.

Le compte fournisseur ou marketplace compromis

Une variante de plus en plus courante : un attaquant prend le contrôle de votre compte vendeur sur une marketplace (Amazon, bol.com), de votre back-office Shopify, ou d’un panel d’administration partagé avec votre agence. Il modifie les coordonnées bancaires de versement, change les prix, ou exfiltre la base clients. La détection prend souvent plusieurs jours, le temps de remarquer un écart sur un virement attendu ou une commande qui n’aboutit pas.

Côté garantie, l’incident relève selon les cas de la cyber-fraude (virement détourné) ou de la violation de données personnelles (exfiltration du CRM client). Dans tous les cas, l’assistance 24/7 est mobilisable dès la découverte.

Comment Inqase intervient si ça vous arrive

L’assistance 24/7 est mobilisable dès le premier appel, sans franchise, dans la limite de 15 000 € par an.

Concrètement, trois rôles sont activés en parallèle :

• Expert IT : avis sur l’attaque, jusqu’à 1 000 € de réparation immédiate, orientation pour la suite
• Avocat : préparation de la notification APD dans les 72h, dossier de recours, conseil sur les obligations
• Communication de crise : message cadré juridiquement vers les clients, équipe, fournisseurs

Si un ransomware est en jeu, l’avis d’un expert IT est mobilisé sur la situation. Le paiement éventuel de la rançon nécessite un accord écrit préalable de l’assureur et d’un mandataire social, c’est non négociable, et c’est la règle qui protège votre éligibilité à l’indemnisation.

Récupération et amélioration

Une fois l’incident sorti, la garantie cyber-extorsion couvre la récupération des données et les améliorations post-sinistre jusqu’à 10 000 €. Concrètement : ce qu’il faut pour ne pas revivre la même attaque.

La perte d’exploitation, elle, est indemnisée sur la base de votre marge brute perdue pendant l’indisponibilité, selon la franchise temporelle définie dans votre formule.

Pourquoi marge brute, et pas chiffre d’affaires

C’est une distinction technique mais essentielle. La marge brute, c’est le chiffre d’affaires moins les coûts variables que vous n’avez pas eu à engager pendant l’arrêt (achats, frais variables). C’est la mesure de votre vraie perte économique.

Indemniser le chiffre d’affaires serait sur-indemniser : pendant l’arrêt, vous n’avez pas commandé chez vos fournisseurs, pas payé les commissions de paiement, pas engagé certains frais logistiques. La marge brute reflète ce qui reste réellement dans votre poche en temps normal, et donc ce qui manque pendant l’incident.

C’est le standard du marché cyber sérieux, et c’est ce que les contrats Inqase appliquent.

Les bons réflexes côté commerce

Avant même de souscrire, quelques mesures simples réduisent significativement l’exposition et facilitent l’indemnisation en cas d’incident :

• Sauvegardes testées : une sauvegarde qui n’a jamais été restaurée n’est pas une sauvegarde
• MFA partout : sur la messagerie, le back-office e-shop, le panel d’hébergement, le compte marketplace
• Double validation des changements d’IBAN : un appel téléphonique au fournisseur sur un numéro connu, jamais sur le numéro figurant dans l’e-mail
• Registre RGPD à jour : base légale, durée de conservation, sous-traitants
• Plan de continuité minimal : qui appelle qui, sur quel numéro, en cas de samedi matin paralysé

Ces points ne sont pas des conditions de souscription rigides, mais ils orientent le devis et conditionnent souvent la rapidité d’indemnisation. C’est aussi sur ces points qu’Inqase oriente ses assurés après un sinistre, dans le cadre des améliorations post-sinistre couvertes jusqu’à 10 000 €.