Agences de voyage
Agences de voyage : le risque cyber et pourquoi une assurance cyber dédiée
- Les agences de voyage concentrent des données très recherchées par les cybercriminels : passeports, coordonnées, moyens de paiement, itinéraires.
- Hameçonnage, rançongiciel et fraude au faux RIB sont les attaques les plus fréquentes, et elles visent aussi les petites structures.
- Une fuite de données impose des obligations précises, notamment une notification à la CNIL sous 72 heures.
- La RC pro et la multirisque couvrent rarement ces sinistres : une assurance cyber dédiée prend en charge la gestion de crise, les pertes et les réclamations.
Pourquoi les agences de voyage sont des cibles
Une agence de voyage manipule chaque jour des informations qui ont une vraie valeur sur le marché noir : copies de passeports et de pièces d'identité, dates de naissance, adresses, numéros de téléphone, coordonnées bancaires, et le détail des déplacements de ses clients.
Elle échange aussi des sommes importantes avec ses fournisseurs : réceptifs, hôtels, compagnies aériennes. Ces virements fréquents vers l'étranger, souvent dans l'urgence d'un départ, sont un terrain idéal pour la fraude.
Enfin, l'activité dépend entièrement des outils numériques : plateformes de réservation, messagerie, logiciel de gestion. Quelques jours d'arrêt en haute saison suffisent à mettre une agence en difficulté.
Les attaques les plus fréquentes
| Attaque | Comment elle se présente | Conséquence typique |
|---|---|---|
| Hameçonnage | Un faux e-mail d'un fournisseur, d'une plateforme de réservation ou d'un client, avec un lien ou une pièce jointe piégée | Vol des identifiants de vos outils professionnels |
| Fraude au faux RIB | Un « fournisseur » vous informe d'un changement de coordonnées bancaires, depuis une adresse très proche de la vraie | Paiement d'un séjour versé à un escroc, et souvent impossible à récupérer |
| Rançongiciel | Vos fichiers et votre logiciel de gestion sont chiffrés, une rançon est exigée | Activité bloquée, dossiers clients inaccessibles |
| Fuite de données | Un accès frauduleux à votre messagerie ou à vos fichiers clients | Obligations légales de notification, réclamations, atteinte à la réputation |
| Usurpation de votre agence | Un faux site ou de faux messages à votre nom proposent des voyages à vos clients | Clients escroqués qui se retournent vers vous |
Ce que la loi impose en cas de fuite de données
En tant que responsable du traitement des données de vos clients, votre agence doit notifier une violation de données personnelles à la CNIL dans les 72 heures après en avoir pris connaissance, lorsqu'elle présente un risque pour les personnes concernées. Si ce risque est élevé, les clients eux-mêmes doivent être informés.
Autre point important : pour être indemnisée par son assurance des pertes liées à une cyberattaque, une entreprise doit déposer plainte dans les 72 heures après avoir eu connaissance de l'attaque. Cette condition figure dans le Code des assurances depuis 2023. Elle s'ajoute aux délais de déclaration prévus par votre contrat.
Exemple : une semaine qui coûte cher
Situation fictive, créée pour illustrer le risque.
Un lundi de juin, une agence de quatre salariés reçoit un e-mail de son réceptif au Portugal : suite à un changement de banque, les acomptes doivent désormais être versés sur un nouveau compte. L'adresse d'expédition diffère d'une seule lettre. Trois virements partent dans la semaine, pour près de 40 000 €.
Le vendredi, le vrai réceptif relance pour un impayé. L'agence découvre en plus que sa messagerie a été piratée depuis plusieurs semaines : l'escroc lisait les échanges pour se glisser au bon moment, et il a eu accès aux copies de passeports envoyées par les clients.
Sans assurance adaptée, l'agence doit à la fois régler une seconde fois le réceptif, financer un expert pour sécuriser sa messagerie, notifier la CNIL, informer ses clients et répondre à leurs inquiétudes. Avec une assurance cyber comprenant l'option fraude, une grande partie de ces frais et pertes peut être prise en charge, dans les limites du contrat.
Pourquoi une assurance cyber dédiée
Les contrats de responsabilité civile professionnelle et de multirisque bureau excluent souvent les dommages immatériels liés à une attaque informatique, ou ne les couvrent que très partiellement. Une assurance cyber est conçue pour ces situations. Selon les formules, elle comprend :
- Une assistance d'urgence 24 h/24 : experts informatiques pour contenir l'attaque, avocats spécialisés, conseil en communication de crise.
- Les frais de notification à la CNIL et aux clients, et la surveillance des données exposées.
- La restauration de vos données et de vos systèmes.
- La perte d'exploitation : la marge perdue pendant l'interruption d'activité.
- La responsabilité civile en cas de réclamation de clients ou de partenaires dont les données ont été exposées.
- La fraude au faux RIB ou au faux fournisseur, souvent en option : à vérifier attentivement pour une agence de voyage.
L'offre cyber Agilassur Travel pour nos agences assurées
Nous proposons aux agences de voyage que nous assurons une assurance cyber adaptée à leur métier, placée auprès de nos assureurs partenaires. Nous vérifions avec vous les points qui comptent vraiment pour une agence : la garantie fraude aux virements, le montant de la perte d'exploitation en haute saison, et la cohérence avec votre RC pro et votre garantie financière. Le questionnaire de souscription porte sur vos mesures de sécurité : c'est aussi l'occasion de faire le point sur les vôtres.
Cinq réflexes à adopter dès aujourd'hui
- Vérifiez par téléphone, à un numéro déjà connu, tout changement de coordonnées bancaires d'un fournisseur.
- Activez la double authentification sur la messagerie et les plateformes de réservation.
- Faites des sauvegardes régulières, dont une copie déconnectée de votre réseau.
- Ne conservez pas les copies de passeports plus longtemps que nécessaire, et jamais dans une boîte mail.
- Formez votre équipe à reconnaître un e-mail frauduleux : c'est la première ligne de défense.
Votre agence est-elle couverte contre le risque cyber ?
Nous analysons vos contrats actuels et vous proposons une assurance cyber adaptée à votre activité et à votre taille.
Demander un devis cyberQuestions fréquentes
Une petite agence est-elle vraiment concernée ?
Oui. Les attaques comme l'hameçonnage ou la fraude au faux RIB sont largement automatisées et visent en priorité les petites structures, souvent moins protégées que les grands groupes.
Mon assurance cyber paie-t-elle la rançon ?
Payer une rançon est déconseillé par les autorités et ne garantit pas la récupération des données. Les contrats se concentrent sur la gestion de crise, la restauration des systèmes et les pertes. La prise en charge éventuelle d'une rançon dépend du contrat et suppose dans tous les cas un dépôt de plainte dans les 72 heures.
Que faire dans la première heure d'une attaque ?
Isolez les postes touchés du réseau sans les éteindre, appelez l'assistance de votre assurance cyber, prévenez votre banque en cas de virement frauduleux, et conservez toutes les preuves. Puis déposez plainte.
Ressources : cybermalveillance.gouv.fr (assistance et prévention pour les entreprises) · CNIL : notifier une violation de données. Garanties, plafonds et exclusions varient selon les contrats : seules les conditions générales et particulières font foi.