Votre site e-commerce est une cible très attractive pour les cybercriminels. Il traite des données de paiement, conserve des informations personnelles sur des milliers de clients et doit rester disponible en permanence, puisque chaque minute d’interruption se traduit directement par une perte de chiffre d’affaires.
D’année en année, le niveau de cybermenace s’accroît. En 2024, le secteur de l’e-commerce concentrait 15 % de toutes les cyberattaques observées. En 2025, il représentait 31 % des attaques informatiques. Cette année encore, de nombreux sites marchands ont été touchés par des cyberattaques.
Dans ce contexte à risques, comment protéger votre site e-commerce des cybermenaces ?
Dans cet article, vous découvrirez :
- qui sont les acteurs qui s’attaquent aux sites marchands,
- l’ensemble des modes opératoires à connaître,
- les conséquences d’un incident cyber sur votre activité e-commerce,
- les bonnes pratiques à adopter pour réduire votre niveau d’exposition aux cybermenaces.
1. Qui attaque votre site e-commerce ?
Plusieurs types d’acteurs peuvent s’en prendre à votre site marchand, pour différentes raisons :
- Les cybercriminels, qui cherchent à obtenir un gain financier important, par exemple en revendant vos données à d’autres acteurs malveillants ou en exigeant une rançon en échange de leur restitution.
- Les fraudeurs, qui cherchent à obtenir des marchandises ou des remboursements sans contrepartie légitime. Ils ciblent particulièrement le processus de paiement et de vérification des transactions.
- Les scalpeurs, qui visent les stocks de produits limités ou très demandés dans le but de les revendre ailleurs avec une marge.
- Les scrapeurs, souvent liés à des concurrents ou à des plateformes tierces, qui souhaitent extraire le contenu de votre site pour le réutiliser à leur propre avantage commercial sans effort de création.
- Les hacktivistes, qui utilisent votre site comme un moyen d’apporter de la visibilité à la cause qu’ils défendent, ou qui l’attaquent pour des convictions politiques.
2. E-commerce : quelles sont les cybermenaces à anticiper ?
2.1 Le phishing
L’un des modes opératoires les plus utilisés par les attaquants est le phishing. Celui-ci prend souvent la forme d’emails ou de sms usurpant l’identité d’un tiers. Ces communications ont pour but de tromper vos collaborateurs pour obtenir leurs identifiants ou les coordonnées bancaires de votre entreprise. Ces informations sont ensuite exploitées par les cybercriminels pour s’introduire sur le back office de votre site e-commerce ou encore pour mener des fraudes bancaires.
2.2 Le credential stuffing
Le credential stuffing est une technique vieille comme le monde, qui consiste pour les attaquants à tenter un maximum de combinaisons identifiant / mot de passe pour obtenir l’accès à un compte client. Souvent, ils s’appuient sur des identifiants volés sur d’autres sites, dans l’espoir que vos clients les aient réutilisés sur votre site e-commerce.
2.3 L’usurpation de marque
Autre menace : l’usurpation de votre marque. Dans cette situation, des acteurs malveillants se font passer pour votre entreprise auprès de vos clients. Ils peuvent par exemple les contacter en prétendant être votre service client, ou encore créer un site cloné sur un nom de domaine presque identique au vôtre pour facturer vos clients ou récupérer leurs identifiants.
2.4 L’exploitation de vulnérabilités
L’exploitation de vulnérabilités constitue un vecteur d’attaque très courant. Un CMS ou une extension non mise à jour, ou encore une API mal configurée constituent une porte d’entrée pour les cybercriminels. Ceux-ci utilisent des scanners de vulnérabilités pour identifier automatiquement les failles des e-commerçants. Lorsqu’une faille est exploitée, les acteurs malveillants sont en mesure de voler vos données ou de déployer des programmes malveillants dans vos systèmes.
Par exemple, le skimming de paiement (parfois appelé formjacking ou magecart) consiste à injecter un code malveillant dans le tunnel de paiement de votre site e-commerce pour intercepter les numéros de carte bancaire au moment où le client les saisit. Le groupe cybercriminel « Keeper » a utilisé cette technique sur 570 sites e-commerce dans 55 pays en exploitant principalement des failles du CMS Magento.
2.5 Le rançongiciel
L’une des attaques les plus dévastatrices est le rançongiciel, un logiciel malveillant qui chiffre et rend inaccessibles les données qui assurent le fonctionnement de votre boutique en ligne. Le rançongiciel peut se trouver dans la pièce jointe infectée d’un email de phishing, mais aussi être directement déployé via une vulnérabilité. Les attaquants exigent alors une rançon en échange du déchiffrement de vos données… sans aucune garantie que cette promesse soit respectée si vous cédez au chantage. Pendant ce temps, votre site e-commerce peut se trouver hors d’usage pendant plusieurs semaines.
2.6 Les attaques par déni de service (DDoS)
Une attaque par déni de service sature volontairement votre site de requêtes jusqu’à le rendre inaccessible à vos clients. Le risque est particulièrement élevé lors des pics commerciaux comme les soldes ou le Black Friday, car ce sont les moments où votre infrastructure est déjà sous tension et où le manque à gagner est le plus important pour votre enseigne.
2.7 Le défacement
Le défacement est une modification de l’apparence de votre site par un tiers sans autorisation. Les défacements sont souvent motivés par un objectif militant ou politique plutôt que lucratif.
2.8 Le carding
Le carding consiste à utiliser des numéros de carte bancaire volés ailleurs pour passer commande sur votre site. Aucune intrusion technique n’a lieu sur votre boutique e-commerce. Les fraudeurs s’appuient sur des données déjà compromises. Ils effectuent le plus souvent des petits achats pour vérifier la validité des cartes avant de passer des commandes plus importantes.
2.9 La fraude par rétrofacturation
La fraude par rétrofacturation survient lorsqu’un client conteste un paiement effectué sur votre site directement auprès de sa banque, en invoquant un motif fictif comme un produit non reçu. Le remboursement est souvent accordé sans que vous ayez toujours la possibilité de prouver le contraire, ce qui vous fait perdre à la fois le produit et le paiement.
2.10 Les bots de scalping
Un bot de scalping rachète automatiquement, en quelques secondes, des stocks limités dès leur mise en ligne, ou bloque des paniers pour empêcher vos clients réels de finaliser leur achat. Les bots de scalping sont notamment utilisés sur les sites de billetterie en ligne.
2.11 Les bots de scraping
Un bot de scraping extrait le contenu de vos fiches produits, ainsi que vos prix et vos visuels pour les réutiliser au bénéfice d’un concurrent ou d’une plateforme tierce non autorisée. Il s’agit donc d’une forme de pillage de votre travail éditorial et commercial.
3. Quelles sont les conséquences pour votre activité e-commerce ?
Tout dépend de la nature de la menace qui affecte votre site e-commerce. Dans le cas d’un rançongiciel ou d’une attaque DDoS, votre site apparaîtra comme étant indisponible. La perte d’activité qui en résulte peut durer plusieurs heures, jours ou semaines en fonction de la gravité de l’attaque.
Le phishing, l’exploitation de vulnérabilité et la compromission de comptes peuvent engendrer un vol de données de vos clients. Ces données peuvent alors être revendues ou utilisées pour réaliser des fraudes.
Les bots malveillants qui extraient vos contenus et achètent vos produits nuisent à votre compétitivité et à votre expérience client. Si votre contenu est réutilisé sur un autre site, le référencement naturel de votre boutique en ligne peut s’en trouver pénalisé. Par ailleurs, les visites de ces bots faussent vos analyses de trafic et de conversion.
La majeure partie des cybermenaces évoquées engendrent des pertes financières importantes. Il peut s’agir de perte d’exploitation liées à l’indisponibilité de votre site, de remboursements liés à la fraude, ou encore de coûts de remédiation technique pour restaurer vos systèmes et sécuriser à nouveau votre site après l’incident.
Mais ce n’est pas tout : la confiance de vos clients et la réputation de votre marque peuvent être fortement impactées par l’incident cyber, notamment en cas d’usurpation de votre marque. Les clients associent souvent l’incident à l’enseigne, pas à l’attaquant.
Enfin, tout incident peut avoir des conséquences juridiques. Par exemple, toute violation de données personnelles doit être notifiée à la CNIL. En cas de négligence caractérisée aux réglementations en vigueur, votre entreprise peut être financièrement sanctionnée et la responsabilité du dirigeant mise en cause.
4. Quelles sont les bonnes pratiques pour protéger votre site e-commerce ?
Vous ne pouvez pas protéger ce que vous ne connaissez pas. Si votre site comporte des vulnérabilités, vous devez en avoir conscience pour être en mesure de les corriger. La première étape consiste donc à réaliser un audit de sécurité.
Certains outils comme Sekost permettent de réaliser des diagnostics de façon automatisée à partir de votre nom de domaine ou de votre adresse IP pour vous restituer un rapport compréhensible où les failles sont classées par ordre de criticité.
En parallèle, il convient de sécuriser les fondations techniques de votre site web. Il est d’abord important de prendre le réflexe d’installer les mises à jour proposées par votre CMS et les différentes applications que vous utilisez pour corriger les vulnérabilités identifiées par les éditeurs. Mettez en place le chiffrement HTTPS afin de garantir la confidentialité des données échangées entre le navigateur de vos clients et votre serveur, notamment lors du paiement. Activez l’authentification forte pour sécuriser les accès administrateurs au back-office de votre site e-commerce.
Afin de pouvoir rétablir rapidement votre site en cas d’attaque, pensez à mettre en place des sauvegardes régulières de votre base de données, de vos fichiers et de votre catalogue produit, stockées séparément de votre système principal.
Une autre bonne pratique consiste à contractualiser vos exigences de cybersécurité envers vos fournisseurs et vos prestataires, puisque leur propre niveau de sécurité rejaillit directement sur celui de la boutique.
La protection contre la fraude au paiement repose sur la mise en place du 3D Secure qui demande au client de confirmer son achat directement depuis son application bancaire. Cela empêche un fraudeur d’utiliser une carte volée même s’il en connaît le numéro. La vérification du CVV, le code à trois chiffres imprimé au dos de la carte, permet de s’assurer que la personne qui paie en ligne détient physiquement la carte, et pas seulement son numéro récupéré lors d’une fuite de données. Enfin, un suivi régulier de vos taux de rétrofacturation permet de repérer des schémas suspects, comme plusieurs contestations provenant d’une même adresse de livraison.
Enfin, pour lutter contre les bots, vous devez savoir distinguer un visiteur humain d’un programme automatisé. Il existe des solutions de gestion de bots qui analysent le comportement de navigation, la vitesse de clic ou la régularité des requêtes pour identifier les schémas typiques d’un bot et les bloquent en temps réel.
Ce qu’il faut retenir
Le nombre de sites e-commerce victimes de cyberattaque augmente chaque année, indépendamment de leur taille ou de leur chiffre d’affaires. L’usage de l’intelligence artificielle par les cybercriminels accélère encore davantage le phénomène. En tant qu’e-commerçant, vous devez protéger votre activité d’une grande variété de modes opératoires. La première étape est de lancer un diagnostic de sécurité pour identifier et corriger vos failles existantes.
Questions fréquentes
Un petit site e-commerce peut-il vraiment être ciblé par ces menaces ?
Oui. Une grande partie des attaques sont automatisées. Elles ne ciblent pas une entreprise en particulier, mais s’en prennent massivement à des milliers de sites, quelle que soit leur taille.
Que faire si vous pensez que votre site e-commerce a été piraté ?
Isolez rapidement le problème en contactant votre hébergeur et/ou votre prestataire technique, changez les mots de passe des comptes administrateurs. Évaluez l’étendue de la compromission et conservez les traces de l’incident pour le dépôt de plainte.
Mon agence web est-elle responsable si mon site est piraté ?
Cela dépend des engagements contractuels pris avec votre agence. Cela ne vous dispense pas de vos propres obligations : vous êtes juridiquement responsable des données de vos clients.
Dois-je informer mes clients en cas de vol de leurs données ?
Au-delà de la notification à la CNIL, vous devez informer directement les personnes concernées lorsque la violation est susceptible d’engendrer un risque élevé pour elles, par exemple en cas de vol de données bancaires. Cette communication, si elle est faite rapidement et clairement, limite aussi les dégâts sur la confiance de vos clients.
Comment savoir par où commencer sans compétence technique en interne ?
Un audit de sécurité automatisé évalue votre niveau d’exposition et permet d’identifier les priorités sans expertise technique préalable.
