« On est un magasin d'optique, on n'intéresse personne. »
C'est la phrase qu'on entend avant, et qu'on ne redit jamais après. Parce que dans l'immense majorité des cas, un petit commerce n'est pas visé : il est trouvé. Les campagnes d'attaque sont automatisées, elles balaient des milliers d'adresses et s'arrêtent là où une porte est ouverte.
Un magasin d'optique a par ailleurs deux caractéristiques qui aggravent les conséquences : il détient des données de santé, et il ne peut pas fonctionner un seul jour sans son logiciel de gestion.
Voici sept mesures proportionnées. Aucune ne demande de budget significatif.
Les trois risques réels
Avant les mesures, le diagnostic. Trois scénarios concentrent l'essentiel de ce qui arrive vraiment aux commerces de cette taille.
Le rançongiciel. Un fichier ouvert par erreur, et l'ensemble des données du poste — voire du réseau — est chiffré. Le magasin s'arrête : plus de fiches clients, plus d'historique, plus de commandes en cours.
L'hameçonnage et la fraude au virement. Un message crédible conduit à saisir un identifiant, ou à payer un fournisseur sur un faux RIB. C'est le scénario le plus coûteux en trésorerie immédiate.
Le vol de matériel. Un ordinateur portable emporté lors d'un cambriolage. S'il n'est pas chiffré, ce sont des dossiers de santé qui partent avec.
Les trois scénarios qui arrivent vraiment
- Rançongiciel
- Données chiffréesle magasin s'arrête
- Hameçonnage
- Faux RIB fournisseurla perte est immédiate
- Vol
- Poste non chiffrédes données de santé partent avec
Mesure 1 — La sauvegarde testée
C'est la plus rentable de toutes, et de loin.
Elle ne prévient rien. Elle annule les conséquences : un magasin capable de restaurer les données de la veille en quelques heures n'a aucune raison de payer une rançon.
Trois exigences :
- Automatique. Une sauvegarde manuelle est une sauvegarde qu'on oublie dès la première semaine chargée.
- Hors ligne ou déconnectée. Une sauvegarde accessible en permanence depuis le poste sera chiffrée en même temps que le reste. C'est l'erreur classique.
- Testée. Une fois par an, restaurez pour de vrai et vérifiez le contenu. Une sauvegarde jamais restaurée n'est pas une sauvegarde, c'est une hypothèse.
Mesure 2 — Des comptes nominatifs
Un identifiant par personne. Jamais un compte « magasin » partagé, avec un mot de passe collé sous le clavier ou connu des anciens salariés.
Ce point sert trois causes à la fois :
- il limite la propagation d'une compromission ;
- il permet de savoir qui a consulté quoi, ce que le RGPD attend sur des données de santé ;
- il rend possible la fermeture des accès le jour d'un départ.
C'est la mesure la plus souvent absente dans les petits commerces, et l'une des plus simples à mettre en place. Elle rejoint les exigences détaillées dans notre article sur le RGPD en magasin d'optique.
Mesure 3 — Les mises à jour appliquées
Système d'exploitation, navigateur, logiciel de gestion, extensions. La grande majorité des attaques automatisées exploite des failles connues et corrigées depuis des mois.
Activez les mises à jour automatiques partout où c'est possible. Et traitez le cas du poste ancien qui ne reçoit plus de correctifs : il n'a plus sa place sur le réseau du magasin, quel que soit son bon fonctionnement apparent.
Un fournisseur annonce un changement de coordonnées bancaires
Que faites-vous avant de payer ?
Mesure 4 — La règle du RIB
Celle-ci mérite d'être affichée, parce qu'elle protège contre le scénario le plus coûteux.
Tout changement de coordonnées bancaires d'un fournisseur est vérifié par téléphone, sur le numéro que nous avons déjà, jamais sur celui indiqué dans le message.
La fraude au virement fonctionne parce que le message est crédible : bonne signature, bon logo, bon interlocuteur, parfois en réponse à un échange réel. Aucune vigilance visuelle ne suffit — seule la vérification par un canal indépendant fonctionne.
Ajoutez une seconde règle : aucun virement exceptionnel ne se fait dans l'urgence. L'urgence est l'outil principal de ce type d'attaque.
Des données de santé qui ne circulent pas
Avec OptiBot, la lecture de la carte mutuelle et de l'ordonnance s'exécute dans le navigateur du magasin. Les images ne partent sur aucun serveur.
Mesure 5 — Le chiffrement des postes
Un ordinateur volé et non chiffré, c'est l'intégralité de son contenu accessible.
Le chiffrement intégral du disque est disponible en standard sur les systèmes courants. Il s'active une fois, il ne se voit pas à l'usage, et il transforme un vol de matériel en simple perte de matériel.
C'est particulièrement important pour tout portable qui sort du magasin.
Mesure 6 — La messagerie
Deux règles simples couvrent l'essentiel.
Une adresse professionnelle par personne, jamais une boîte personnelle pour des documents clients. Une ordonnance envoyée depuis une messagerie privée est une fuite de données de santé, indépendamment de toute attaque.
La double authentification sur la messagerie et sur tous les comptes sensibles. C'est la mesure qui neutralise la conséquence d'un mot de passe volé — et les mots de passe sont volés.
Mesure 7 — Le réflexe d'équipe
La meilleure protection technique tombe devant un clic.
Trois signaux à enseigner : une demande urgente et inhabituelle, une demande de mot de passe, un changement de coordonnées bancaires. Dans ces trois cas, la consigne est identique : on ne clique pas, on vérifie par un autre canal.
Une règle explicite contre la peur de se tromper : signaler un clic malheureux ne vaut jamais de reproche. C'est ce qui permet d'intervenir dans l'heure plutôt que de découvrir le problème trois jours plus tard, quand tout est chiffré.
Un rappel de dix minutes tous les six mois. Pas une formation, une conversation. C'est suffisant.
Si ça arrive quand même
| Étape | Action |
|---|---|
| 1 | Déconnecter les postes du réseau, sans les éteindre |
| 2 | Ne rien payer et ne répondre à aucune demande |
| 3 | Appeler votre prestataire informatique |
| 4 | Porter plainte |
| 5 | Évaluer si des données personnelles sont concernées |
| 6 | Notifier la CNIL sous 72 heures si un risque existe |
| 7 | Restaurer depuis la sauvegarde, sur un système sain |
Le point 5 est celui qu'on oublie. Une attaque qui touche des données de santé n'est pas seulement un incident technique : c'est une violation de données, avec ses obligations propres, détaillées dans notre article RGPD.
La question à poser à vos prestataires
Vous n'êtes pas seul dans cette chaîne. Éditeur de logiciel, hébergeur, solution d'automatisation : chacun traite vos données.
Trois questions suffisent :
- Où sont hébergées les données ?
- Y a-t-il un accord de sous-traitance signé ?
- Les données de santé sont-elles réellement hébergées chez vous, ou restent-elles chez nous ?
La troisième est la plus utile. Un prestataire qui n'héberge aucune donnée de santé supprime une partie entière du risque à la racine — c'est le choix d'architecture que nous avons fait pour OptiBot, où la lecture des documents s'exécute dans le navigateur du magasin.
Questions fréquentes
Un magasin d'optique est-il vraiment une cible ?
Rarement une cible choisie, souvent une cible trouvée : les attaques sont automatisées et s'arrêtent là où une porte est ouverte.
Quelle est la mesure la plus rentable ?
La sauvegarde automatique, déconnectée et testée. Elle n'empêche rien mais elle annule les conséquences.
Qu'est-ce que la fraude au virement ?
Un faux message annonçant un changement de RIB fournisseur. Seule la vérification téléphonique sur le numéro habituel protège.
Faut-il un antivirus payant ?
Moins que des mises à jour appliquées, des comptes nominatifs et une sauvegarde testée.
Que faire en cas d'attaque ?
Déconnecter sans éteindre, ne rien payer, appeler son prestataire, porter plainte, évaluer l'atteinte aux données personnelles et notifier la CNIL si nécessaire.
En résumé
Un magasin d'optique n'est pas visé, il est trouvé — et il perd gros, parce qu'il détient des données de santé et qu'il ne peut pas travailler sans son logiciel. Sept mesures suffisent, et aucune ne coûte cher : une sauvegarde automatique déconnectée et testée, des comptes nominatifs, des mises à jour appliquées, une règle absolue sur les changements de RIB, le chiffrement des postes, une messagerie professionnelle avec double authentification, et un réflexe d'équipe entretenu en dix minutes tous les six mois. La première de ces mesures est celle qui compte le plus : elle n'empêche rien, mais elle rend tout le reste survivable.