Secteur
Cybersécurité pour le commerce en ligne et le retail
Menace dominante
Comptes clients volés, skimming, fraude
Textes
PCI DSS, RGPD, NIS2 pour les places de marché
Le contexte
Paiements, comptes clients et disponibilité
Un site marchand expose en permanence ses formulaires de connexion, son tunnel de commande et ses API, et dépend de dizaines de modules et de scripts tiers. Chacun est une porte possible : extension vulnérable, script de paiement modifié, compte administrateur sans MFA.
516 M€
de fraude par manipulation en 2025[1]
47 €
fraudés pour 100 000 € de paiements par carte en 2025, un plus bas historique[1]
31/03/2025
date d'entrée en vigueur des exigences « futures » de PCI DSS 4.0[4]
Les menaces
Ce qui vise votre secteur
- 01
Le vol de comptes clients
Réutilisation de mots de passe fuités (credential stuffing), hameçonnage aux couleurs de l'enseigne : le piratage de compte est la première menace pour les entreprises en 2025 selon Cybermalveillance.gouv.fr. Les comptes repris servent à commander, à vider des cagnottes de fidélité ou à revendre des données.[2]
- 02
Le skimming web
Un script injecté dans la page de paiement copie les numéros de carte saisis par les clients. PCI DSS 4.0 a ajouté des exigences dédiées : inventaire et autorisation des scripts de la page de paiement, détection de leurs modifications.[4]
- 03
La fraude par manipulation
Faux service client, substitution d'IBAN, faux site imitant l'enseigne : 516 M€ de fraude par manipulation en 2025, plus de 40 % de la fraude aux moyens de paiement.[1]
- 04
Le rançongiciel et l'indisponibilité
Un chiffrement de l'ERP ou de l'entrepôt arrête les expéditions ; une attaque par déni de service ferme la boutique. L'ANSSI note en 2025 des attaques par déni de service d'une envergure croissante, sur des temps courts.[3]
Les obligations
Ce que la réglementation vous demande
État des textes au . Votre situation exacte dépend de votre activité et de votre taille : nous la vérifions avec vous.
- En vigueur
PCI DSS, si vous traitez des cartes
Version 4.0.1 en vigueur ; les exigences dites « futures » sont obligatoires depuis le 31 mars 2025. Votre niveau d'effort dépend de votre façon d'encaisser : page de paiement hébergée par le prestataire, formulaire intégré ou traitement direct des cartes.
- En vigueur
RGPD
Sécurité des comptes clients (article 32), notification des violations à la CNIL sous 72 heures, encadrement des sous-traitants : hébergeur, CRM, prestataire d'e-mailing.
- En vigueur
Authentification forte des paiements
Pour les paiements en ligne par carte, l'authentification forte du client (3-D Secure) est la règle, sauf exemptions prévues par la directive DSP2 ; c'est elle qui a fait reculer la fraude sur Internet.
- Loi en discussion
NIS2, seulement pour les places de marché
La directive vise les places de marché en ligne d'au moins 50 salariés, ou de 10 M€ de chiffre d'affaires et de bilan (fournisseurs numériques, annexe II), pas une boutique qui vend ses propres produits. La loi française n'est pas encore votée.
Pour décider
Ce qui protège vraiment une boutique en ligne
Les mesures qui réduisent le plus le risque, dans l'ordre où nous les conseillons :
- MFA sur tous les comptes d'administration : CMS, hébergeur, prestataire de paiement, DNS, messagerie.
- Une page de paiement hébergée par votre prestataire de paiement quand c'est possible : elle réduit fortement votre périmètre PCI DSS.
- Un inventaire des modules et scripts tiers, des mises à jour suivies et une surveillance des modifications des pages sensibles.
- La protection des comptes clients : limitation des tentatives de connexion, détection des connexions anormales, MFA proposée aux clients.
- Un pentest du site et des API avant chaque grosse période commerciale, et un plan de réaction prêt : qui coupe quoi, qui prévient les clients, qui notifie la CNIL.
Par où commencer
Les prestations que nous conseillons
Prix publics, hors taxes. Le nom et le CV de l'intervenant figurent dans la proposition, avant signature.
Questions fréquentes
Les questions des commerçants en ligne
Notre prestataire de paiement est certifié PCI DSS : sommes-nous couverts ?
En partie seulement. Sa certification couvre son périmètre ; vous restez responsable de votre site, en particulier des scripts qui s'exécutent sur la page où le client saisit sa carte. Votre niveau d'obligation dépend de votre intégration et de votre volume de transactions.
Quand faire un pentest de la boutique ?
Avant le lancement, à chaque refonte ou changement de plateforme, et idéalement avant les périodes de forte activité. Le test couvre le site, les API et les comptes clients.
Que faire si des comptes clients sont piratés ?
Réinitialiser les mots de passe concernés, fermer les sessions, vérifier les commandes et les changements d'adresse, puis évaluer s'il y a une violation de données à notifier à la CNIL sous 72 heures. Notre intervention d'urgence prend le relais si l'origine est une compromission du site.
Sommes-nous concernés par NIS2 ?
Une boutique qui vend ses propres produits, en principe non. Une place de marché d'au moins 50 salariés, ou de 10 M€ de chiffre d'affaires et de bilan, oui, une fois la loi française votée.
Sources (5)Afficher
- [1]Banque de France, rapport de l'Observatoire de la sécurité des moyens de paiement 2025 (septembre 2026)
- [2]Cybermalveillance.gouv.fr, rapport d'activité 2025 (mars 2026)
- [3]ANSSI, Panorama de la cybermenace 2025 (mars 2026)
- [4]PCI Security Standards Council, bibliothèque des documents PCI DSS (2024)
- [5]Directive (UE) 2022/2555 (NIS2), EUR-Lex (2022)
Nos pôles utiles à votre secteur
Chaque pôle regroupe des prestations à prix publics.
Parlons de votre situation.
Décrivez votre besoin : la proposition indique le périmètre, le prix et le nom de l'intervenant.
Ou appelez le 02 43 25 99 59 (lun.-ven. 9 h-18 h), ou réservez un appel de 20 min (nouvel onglet).