TL;DR, l'essentiel en 6 points
- Le contexte : un acteur majeur français du e-commerce, filiale d'un grand groupe industriel coté. Quelques centaines de millions d'euros de chiffre d'affaires annuel.
- La proposition refusée : un pentest applicatif sur la plateforme marchande, environ 5 000 € HT pour un périmètre cadré (catalogue, parcours d'achat, espace client, paiement).
- Le motif du refus : « on est trop gros pour ça », l'argument du parapluie capitalistique du groupe, l'externalisation cognitive vers l'infogérant, le déni du risque.
- L'incident : 23 mars 2026, intrusion confirmée. Mise en vente sur le dark web : 453 000 clients uniques, 740 000 commandes, données 2014-2026. Notification clients officielle le 27 mars.
- L'addition estimée : entre 4 et 12 millions d'euros toutes choses égales par ailleurs (notification RGPD, amende CNIL probable, perte d'exploitation, augmentation prime cyber-assurance, churn client, contentieux). Soit un multiplicateur de 800 à 2 400 par rapport au pentest refusé.
- La leçon : la posture « on est trop gros pour être attaqué » est statistiquement la plus dangereuse en 2026. Les attaquants ne ciblent plus les petits ou les gros, ils ciblent les surfaces d'attaque exposées.
1. La séquence, dans l'ordre
Je vais raconter sobrement. Pas pour balancer, pas pour faire de la peine, juste parce que la séquence est trop pédagogique pour la laisser se perdre.
Début mars 2026. Je sors d'une mission qui m'a remis en tête à quel point les sites e-commerce français sont mal audités. Je décide de lancer une vague de prospection ciblée sur les acteurs du e-commerce français de plus de 100 millions d'euros de chiffre d'affaires. Ces boîtes ont à la fois la surface d'attaque qui justifie un pentest sérieux, et le budget pour le payer.
Je passe quelques jours à constituer ma liste : leader du pneu en ligne, leader de la pièce auto, distributeur de matériel sportif, plateforme de réservation tourisme, retailer mode multimarque. Je qualifie chaque cible : taille, ancienneté du site, dernière refonte technique connue, indicateurs publics de maturité cybersécurité (job posting récent pour un RSSI, certifications affichées, etc.).
Pour la cible qui nous intéresse, plusieurs signaux laissaient penser que le pentest serait un sujet ouvert : croissance forte, beaucoup d'évolutions sur le site dans les deux dernières années, intégrations partenaires multiples, espace pro avec gestion de comptes B2B. Le profil typique d'un site qui mérite un pentest annuel et qui ne le fait probablement pas.
L'appel. Je passe par le standard, je demande la DSI. On me passe quelqu'un. Je me présente : pentester indépendant, basé sur la Côte d'Azur, certifié CPTS, je propose un pentest applicatif ciblé sur leur plateforme. Je donne une fourchette indicative, 5 000 € HT pour un périmètre cadré, 8 000 € pour un test plus large incluant l'API et l'espace pro. La conversation dure trois minutes.
La réponse, dans le sens que j'en ai retenu : « vous vous trompez de cible, nous, on est rattachés à un grand groupe, on a tout ce qu'il faut, ce n'est pas le genre de prestation qu'on achète à un indépendant trouvé au téléphone ». La porte se ferme cordialement mais fermement.
Je note la cible dans mon CRM, je passe à la suivante. Je ne ressens rien de particulier, c'est un refus banal, je dois en prendre douze par jour quand je prospecte. Statistiquement, sur dix appels à froid à des DSI grands comptes, j'en convertis zéro à un en première intention. Ça fait partie du jeu.
23 mars 2026. Une compromission est identifiée chez la cible. À ce stade, l'incident est interne, elle ne le sait peut-être que partiellement.
27 mars 2026. Notification officielle aux clients : un email leur apprend qu'une intrusion a permis à un tiers d'accéder à des données personnelles (nom, prénom, adresse, téléphone, historique de commandes, dimensions de pneus, dates d'intervention à domicile). L'entité précise qu'aucune donnée bancaire ni mot de passe n'est concernée.
Sur les forums criminels, c'est plus violent : un acteur publie des échantillons. La base totale comprend 453 299 clients uniques et 739 316 enregistrements de commandes, couvrant la période 2014 à mars 2026. Les chercheurs en cybersécurité français (SaxX, FrenchBreaches, JustaBreach) relaient l'information dans la journée. La presse spécialisée embraye le lendemain.
Je vois passer l'info dans mon flux. Je mets quelques minutes à recouper avec ma liste de prospects récents. Quand je vois la coïncidence, je vais me chercher un café.
2. Pourquoi cette histoire mérite d'être analysée
Trois raisons.
D'abord, la séquence temporelle est exceptionnellement courte. Vingt-trois jours entre le refus d'un pentest applicatif standard et l'apparition publique d'une fuite massive. Ce n'est pas un cas où l'on dit, dix-huit mois après, « ah oui, peut-être qu'on aurait dû ». C'est un cas où l'évidence se déploie dans le mois qui suit.
Ensuite, le profil de la cible est emblématique. Pas une PME isolée. Pas un mom-and-pop qui n'a jamais entendu parler du RGPD. Un acteur structuré, intégré à un grand groupe, doté en théorie de toutes les ressources de cybersécurité que peut avoir un groupe industriel français de premier plan. Si ce niveau de sophistication échoue à protéger une plateforme e-commerce, alors la posture « on a un grand groupe derrière, donc on craint rien » est à enterrer.
Enfin, l'asymétrie économique est obscène. Un pentest applicatif ne vous protège pas magiquement de tout incident, c'est une mesure parmi d'autres, et l'absence de pentest n'est pas la cause de l'attaque dans cette séquence (on ne sait pas par quel vecteur exact l'attaquant est entré). Mais le pentest aurait probablement identifié le vecteur d'entrée s'il avait existé dans la surface d'attaque applicative. Et même si ce n'avait pas été le cas, il aurait servi à autre chose : il aurait signalé en interne que le sujet était pris au sérieux, ce qui est souvent le levier le plus efficace pour faire avancer le reste (MFA back-office, segmentation, journalisation, plan de réponse).
3. L'addition probable d'une fuite à 740 000 commandes
Je ne sais pas combien va coûter cet incident à l'entité. Personne ne le sait précisément, ni elle, à ce stade. Mais on peut estimer un ordre de grandeur en s'appuyant sur les benchmarks publics 2023-2025 (rapports ANSSI, IBM Cost of a Data Breach, Hiscox Cyber Readiness, Verizon DBIR) et sur l'analyse d'incidents similaires en France.
Notification RGPD aux clients
Le RGPD impose la notification individuelle des personnes concernées en cas de risque élevé. Pour 453 000 clients, en supposant un coût total de 3 à 5 € par notification (rédaction juridique, envoi multicanal, support client pour absorber le pic d'appels et de mails), on est entre 1,4 et 2,3 millions d'euros rien que sur cette ligne.
Amende CNIL
Le RGPD prévoit jusqu'à 4 % du CA mondial annuel ou 20 millions d'euros, le plus élevé. La CNIL ne tape pas systématiquement au plafond, son barème en pratique pour les grandes fuites françaises 2022-2025 oscille entre 50 000 € (pour les petites structures) et 5 millions d'euros (pour les grands groupes négligents). Pour cette taille d'entité, en cas de défauts de sécurité prouvés en post-mortem, une amende dans la fourchette 500 000 € à 3 millions d'euros est réaliste.
Investigation forensique et remédiation
Une investigation forensique sérieuse sur un périmètre e-commerce avec base de données 12 ans d'historique se chiffre entre 80 000 et 200 000 € selon l'éditeur. Ajoutez la remédiation technique : reconstruction propre de l'environnement, durcissement, audit complémentaire, rotation des secrets, vérification de la chaîne d'approvisionnement logicielle. Total : 300 000 à 600 000 €.
Augmentation de la prime cyber-assurance
Après un sinistre majeur, la prime cyber-assurance est multipliée par 1,5 à 3 selon la franchise et les conditions de renouvellement. Sur un contrat existant de 80 000 € à 300 000 € de prime annuelle (typique pour cette taille), on est à 120 000 à 600 000 € de surcoût annuel récurrent pendant trois ans minimum, soit 360 000 € à 1,8 million d'euros sur le cycle.
Churn client et perte d'exploitation
Les benchmarks IBM 2024 indiquent un taux de churn post-incident de 3,9 % en moyenne sur les 12 mois suivants une fuite de données B2C. Sur 453 000 clients actifs avec un panier moyen de l'ordre de 200 € et une fréquence d'achat annualisée, on parle d'une perte de chiffre d'affaires de l'ordre de 3 à 5 millions d'euros sur 12 mois. À cela s'ajoute la baisse de conversion sur les nouveaux visiteurs pendant la période de communication de crise, plus difficile à chiffrer mais loin d'être négligeable.
Contentieux et class actions
En France, les actions de groupe en matière de données personnelles sont encore peu fréquentes mais émergent. Quelques milliers d'euros par dossier individuel devant la justice, multipliés par 200 à 5 000 dossiers selon la dynamique du cabinet d'avocats spécialisé. Estimation prudente : 200 000 € à 2 millions d'euros.
Communication de crise et juridique externe
Cabinet de communication de crise, avocats RGPD spécialisés, conseil DPO externe ponctuel : 100 000 à 250 000 € sur les six premiers mois.
Total estimé
| Poste | Estimation basse | Estimation haute |
|---|---|---|
| Notification clients | 1 400 000 € | 2 300 000 € |
| Amende CNIL | 500 000 € | 3 000 000 € |
| Forensique & remédiation | 300 000 € | 600 000 € |
| Surcoût cyber-assurance (3 ans) | 360 000 € | 1 800 000 € |
| Churn client (12 mois) | 3 000 000 € | 5 000 000 € |
| Contentieux clients | 200 000 € | 2 000 000 € |
| Communication / juridique | 100 000 € | 250 000 € |
| Total | ~ 5,9 M€ | ~ 15 M€ |
Soit un multiplicateur, par rapport au pentest applicatif refusé à 5 000 €, compris entre ×1 180 et ×3 000.
Ces chiffres sont des estimations d'ordre de grandeur, pas des valeurs réelles propres à l'entité. Mais ils donnent l'échelle. Et ils sont conservateurs : on n'a pas chiffré la dévalorisation potentielle de la marque, l'impact RH (équipes IT et sécurité brûlées par six mois de gestion de crise, démissions à la clef), ni le coût d'opportunité (refonte projets stratégiques décalée).
4. Pourquoi les grands comptes pensent qu'ils sont à l'abri
Cinq biais cognitifs structurent ce type de refus. Je les ai croisés tellement souvent en prospection qu'ils sont devenus mon kit d'analyse. Ils ne sont pas spécifiques à cette entité, ils sont systémiques.
Biais 1, « On est trop gros pour ça »
C'est la posture qu'on m'a opposée. Elle repose sur l'idée que les attaquants seraient des opportunistes qui cherchent la moindre résistance, donc visent les petites structures faciles. C'est faux à deux niveaux. D'abord, les groupes ransomware sophistiqués (Conti, LockBit, Akira, Play, Black Basta) ciblent prioritairement les ETI et grands groupes parce que la rançon possible est plus haute. Ensuite, beaucoup de fuites viennent de groupes opportunistes (script kiddies, exploitations automatisées de CVE) qui ne choisissent pas leurs cibles : ils scannent internet, ils trouvent une appli vulnérable, ils l'exploitent. La taille de l'entité n'entre pas dans l'équation, seule la surface d'attaque exposée compte.
Biais 2, « Notre infogérant s'en occupe »
L'externalisation cognitive. Le DSI sait qu'il y a un infogérant ou un éditeur SaaS derrière la plateforme, et conclut que la sécurité applicative est de leur ressort. C'est partiellement faux : l'infogérant est responsable de l'infrastructure (OS, patching serveur, sauvegarde), mais la sécurité applicative (logique métier du site, gestion des sessions, contrôles d'accès au back-office, configuration des intégrations tierces) est presque toujours sous la responsabilité contractuelle de l'entité elle-même. Le contrat le précise, encore faut-il l'avoir lu.
Biais 3, « On a une certification ISO 27001 »
L'ISO 27001 atteste d'un système de management de la sécurité de l'information conforme à un standard organisationnel. Elle ne dit absolument rien sur la résistance technique des applications à un attaquant motivé. On peut être ISO 27001 et avoir des injections SQL en production. Beaucoup de référentiels (NIS2, DORA, HDS) exigent désormais des tests d'intrusion réguliers en complément de l'ISO 27001, justement parce que le marché a compris la limite de la certification organisationnelle pure.
Biais 4, « Nos applis, c'est notre prestataire qui les a faites »
Variante du biais 2. La logique : « si une faille existe, c'est leur problème, on retournera contre eux ». En pratique, le contrat type prestataire web ne prévoit jamais une responsabilité illimitée sur la sécurité applicative. Les clauses standards plafonnent la responsabilité au montant du contrat, soit quelques dizaines de milliers d'euros, sans commune mesure avec le coût d'une fuite. Et juridiquement, c'est l'entité qui est responsable du traitement des données personnelles vis-à-vis du RGPD, pas son prestataire.
Biais 5, « On a un pare-feu et un certificat SSL »
Le pare-feu (WAF) filtre des patterns d'attaque connus mais ne stoppe pas les injections subtiles, les abus de logique métier, les IDOR, les compromissions de comptes back-office. Le SSL chiffre le transport entre le navigateur et le serveur, point. Aucune des fuites majeures publiques 2024-2026 en France n'a été stoppée par ces deux mesures, elles étaient toutes en place sur les sites concernés.
5. Pourquoi le pentest applicatif est exactement le bon angle pour un e-commerce
Quand je prospecte un site marchand, je propose presque toujours un pentest applicatif en première intention plutôt qu'un audit infrastructure complet. Trois raisons.
Le ROI est immédiat. Un pentest applicatif sur une plateforme e-commerce identifie, dans plus de 80 % des cas que je vois, au moins une faille critique exploitable : injection SQL résiduelle, IDOR sur les pages dossier client, contournement de paiement, race condition sur panier ou code promo. Ces failles ont un impact financier et juridique direct, immédiat, démontrable au comité de direction.
Le périmètre est cadré. Un site e-commerce, c'est un parcours utilisateur fini : catalogue, fiche produit, panier, paiement, espace client, espace pro, back-office. C'est testable en cinq à dix jours-homme avec un consultant expérimenté. À 5 000 € de fourchette de départ, c'est dans le budget courant d'un DSI sans même monter d'arbitrage.
L'effet de levier interne est puissant. Le rapport priorisé sert de support pour faire avancer les autres chantiers de cybersécurité (MFA back-office, segmentation des environnements, journalisation, plan de réponse). Sans rapport, le DSI doit pousser ses sujets sécurité face à la direction sur la base de son intuition. Avec rapport, il a un document signé par un tiers expert qui chiffre les risques.
6. Ce que je fais désormais quand on me dit non
Cet épisode, et quelques autres similaires, m'a fait modifier ma pratique. Trois changements concrets.
Je ne défend plus mon pentest, je laisse tomber élégamment. Quand un DSI me dit non en trois minutes au téléphone, je remercie, j'envoie un email court de récapitulatif avec mes coordonnées et une fourchette de prix mise à jour, et je passe à la cible suivante. Insister gâche du temps et brûle la possibilité d'un rappel ultérieur. Je sais que les conditions changent (incident chez un concurrent, nouveau RSSI, audit ISO qui demande une preuve de pentest), quand elles changeront, je veux que mon nom soit dans leurs archives, pas dans leur liste noire.
J'archive le refus. Date, interlocuteur, motif. Sans rancœur, juste pour la mémoire. Quand un incident arrive ensuite, je peux retracer l'historique et l'utiliser à des fins pédagogiques anonymisées, comme dans cet article. Pas pour faire la leçon, pour aider d'autres dirigeants à reconnaître le pattern chez eux.
Je publie le pattern. Comme cet article. La prospection en cybersécurité est inefficace parce que les dirigeants n'ont pas la grille d'analyse pour évaluer rationnellement la décision. Plus on documente publiquement les conséquences asymétriques d'un refus, plus la grille devient évidente pour les prochains.
7. Le calcul que tout dirigeant devrait faire
Si tu diriges une entité qui fait du e-commerce, voici un calcul simple à faire en cinq minutes pour évaluer ton exposition.
- Combien tu as de clients dans ta base ? Multiplie par 3 € (le coût minimal d'une notification RGPD individuelle).
- Quel est ton chiffre d'affaires annuel ? Multiplie par 0,5 % à 2 % (l'amende CNIL probable sur une fuite mal gérée pour une entité de ta taille).
- Quel est ton CA quotidien ? Multiplie par 7 (la durée moyenne d'arrêt opérationnel partiel post-incident sur un site e-commerce).
- Quel est ton churn annuel actuel ? Ajoute 4 points (le surcroît de churn post-incident moyen sur un B2C français).
- Additionne le tout. Compare à 5 000 €.
Si l'écart est supérieur à un facteur 100, et il l'est presque toujours, la question n'est pas « est-ce que je dois faire un pentest ? » mais « quel cabinet je choisis et quand je commence ? ».
8. Si l'incident t'arrive, par où commencer
Au cas où tu lis cet article alors que ta boîte vient de se faire compromettre, voici l'ordre d'actions des trente-six premières heures.
- H+0 à H+4 : confiner. Couper les accès compromis identifiés, isoler les machines suspectes, préserver les preuves (ne pas redémarrer, ne pas formater). Ne pas payer une rançon dans les premières heures sous la pression.
- H+4 à H+12 : appeler un prestataire de réponse à incident. Voir notre page réponse à incident pour le cadre HackHeart. Notifier l'assureur cyber. Déclencher la cellule de crise interne.
- H+12 à H+36 : commencer l'investigation forensique. Évaluer le périmètre des données exfiltrées. Préparer la communication interne (collaborateurs) puis externe (clients, presse, autorités). Notification CNIL sous 72h si données personnelles concernées.
- H+36 à J+30 : remédiation technique, audit complet du périmètre élargi, restauration des services, communication clients, prise en charge légale.
- J+30 à J+90 : pentest post-incident pour vérifier l'élimination du vecteur, mise en place d'un plan de durcissement structurel, mise en place d'un vCISO ou d'un RSSI à temps partagé pour piloter le redressement.
9. Les leçons à graver, indépendamment de ta taille
La taille ne protège pas. Elle aggrave plutôt l'impact, parce qu'elle augmente la surface d'attaque, le volume de données exposé et l'attention médiatique reçue en cas d'incident. Un grand groupe industriel n'a pas un bouclier magique, il a juste plus de portes à fermer.
Le rattachement à un grand groupe ne protège pas non plus. Les filiales e-commerce sont souvent autonomes opérationnellement, avec leur propre IT, leur propre stack technique, et une gouvernance cybersécurité qui ne descend pas systématiquement depuis la maison-mère. Le « grand groupe derrière » est un argument psychologique, pas un dispositif de sécurité.
Les attaques 2026 sont méthodiques, pas opportunistes. L'image du hacker en sweat à capuche qui essaie au hasard est dépassée. Les groupes criminels modernes scannent systématiquement, identifient les vulnérabilités, vendent les accès initiaux à des affiliés, et exploitent. Toute appli e-commerce non auditée régulièrement est sur leurs radars dès qu'elle apparaît dans les indexations publiques.
Le pentest n'est pas l'assurance, c'est la prévention. Avoir une cyber-assurance ne dispense pas de faire des audits, au contraire, l'assurance va précisément vérifier le niveau de diligence avant d'indemniser. Sans audit récent documenté, l'assureur peut réduire ou refuser la prise en charge en cas de sinistre.
10. Pour aller plus loin
Si cet article t'a fait réfléchir, voici les ressources HackHeart complémentaires :
- Combien coûte un pentest en 2026 ?, fourchettes par type de mission
- Sécurité offensive & pentest, l'offre complète HackHeart
- Audit de cybersécurité, pour les périmètres organisationnels
- Réponse à incident, si vous y êtes déjà
- vCISO — RSSI virtuel, pour piloter votre redressement
- NIS2 & RGPD pour les PME, la conformité actionnable
- Cybersécurité hôtel Côte d'Azur, déclinaison sectorielle
- Race condition sur un moteur de réservation hôtelier, un autre retex
Audit risque ransomware en 2 jours : exposition Internet, durcissement AD, état des sauvegardes, MFA et anti-phishing, score chiffré et plan d'action priorisé. À partir de 2 400 € HT.
