Vol de maquettes BIM : le nouveau sinistre cyber des bureaux d'études
Une maquette BIM représente parfois 2 000 heures d'ingénierie. Quand elle est exfiltrée par un rançongiciel ou un sous-traitant indélicat, c'est l'avenir commercial du bureau d'études qui bascule. Analyse d'un risque cyber encore mal mesuré.
- Un bureau d'études moyen stocke entre 4 et 12 To de données projet, dont la valeur de remplacement dépasse souvent 500 000 euros.
- Trois vecteurs concentrent 80 % des sinistres : compromission d'un compte mail, ransomware via VPN obsolète, exfiltration par un sous-traitant.
- Le RGPD s'applique même sans données personnelles dès lors que des données client confidentielles fuitent — l'obligation de notification au client reste contractuelle.
- Une garantie cyber bureau d'études doit couvrir la reconstitution des fichiers, la perte d'exploitation et la responsabilité contractuelle vis-à-vis du maître d'ouvrage.
Pourquoi les bureaux d'études sont devenus une cible privilégiée
Pendant longtemps, les attaques cyber visaient prioritairement les entreprises gérant de la donnée bancaire ou de la donnée de santé. Depuis 2022, une nouvelle catégorie de victimes émerge dans les rapports de l'ANSSI et de la gendarmerie nationale : les structures techniques de conception (bureaux d'études, géomètres, économistes de la construction).
La raison est triple. D'abord, un bureau d'études concentre une masse rare de données uniques : maquettes BIM, notes de calcul, hypothèses commerciales, brevets en préparation. Ensuite, sa sécurité informatique reste souvent artisanale : un serveur NAS sous le bureau du dirigeant, un VPN configuré une fois en 2018, des sauvegardes manuelles sur disque externe. Enfin, le tissu d'échanges est dense : architectes, entreprises générales, fournisseurs, sous-traitants étrangers, ce qui multiplie les surfaces d'attaque.
Le résultat est mesurable. Sur l'année 2025, les sinistres cyber déclarés par les bureaux d'études ont représenté un montant moyen de 87 000 euros, contre 32 000 euros pour la moyenne TPE/PME tous secteurs confondus. Le différentiel s'explique par les coûts de reconstitution et la perte de marchés en cours.
Anatomie d'un sinistre type : la maquette BIM rançonnée
Le scénario revient régulièrement. Un bureau d'études fluides de 8 personnes travaille sur un projet hospitalier de 18 millions d'euros. La maquette BIM cumulée pèse 4,3 Go, fruit de 14 mois de travail. Un lundi matin, l'ensemble des fichiers du serveur est chiffré par un ransomware, et un message en anglais réclame 65 000 euros en cryptomonnaie sous 72 heures.
Les conséquences en cascade :
- Jour 1 : arrêt total de production, 8 ingénieurs au chômage technique. Coût : environ 3 200 euros par jour de masse salariale improductive.
- Jour 3 : le maître d'ouvrage est averti d'un retard d'au moins trois semaines. Pénalités contractuelles activées : 0,5 % du marché par semaine, soit 90 000 euros sur trois semaines.
- Jour 7 : la dernière sauvegarde exploitable date de quatre semaines. Reconstitution partielle de la maquette : 1 100 heures d'ingénieur estimées, soit environ 95 000 euros.
- Jour 12 : le concurrent référencé par le maître d'ouvrage reçoit un mail avec une copie partielle de la maquette. Suspicion d'exfiltration. Plainte déposée.
Sans rançon payée, le sinistre se chiffre déjà autour de 200 000 euros. Avec rançon (ce qui est déconseillé), il faudrait y ajouter 65 000 euros sans aucune garantie de récupération.
Le triple risque RGPD, secret des affaires et responsabilité contractuelle
Le réflexe « pas de données personnelles, pas de problème » est doublement faux dans un bureau d'études.
Le RGPD est rarement absent
Une maquette BIM contient souvent des données personnelles : noms des occupants d'un bâtiment, coordonnées des intervenants, photographies de chantier. Une exfiltration déclenche les obligations de l'article 33 du RGPD (notification à la CNIL sous 72 heures) et de l'article 34 (information des personnes concernées).
Le secret des affaires du maître d'ouvrage
Hôpitaux, data centers, sites industriels confidentiels, prisons : nombre de projets font l'objet de clauses de confidentialité renforcée avec pénalités forfaitaires en cas de fuite, indépendamment du préjudice réel. Lire ces clauses avant signature de mission est un réflexe vital.
La responsabilité contractuelle vis-à-vis du maître d'ouvrage
L'obligation de moyens renforcés sur la conservation des données projet se généralise dans les CCAP. Un défaut de sauvegarde caractérisé peut entraîner une mise en cause directe, indépendamment de toute faute pénale du cybercriminel.
Ce que doit couvrir une garantie cyber adaptée aux bureaux d'études
Une garantie cyber généraliste n'est pas suffisante. Les bureaux d'études ont besoin de quatre volets spécifiques :
- Reconstitution des données et des maquettes. La garantie doit couvrir le coût horaire de reconstruction par les équipes (et non le seul coût matériel des serveurs). Un plafond inférieur à 250 000 euros est insuffisant pour une équipe de plus de 5 ingénieurs.
- Pertes d'exploitation et pénalités de retard. Une franchise temporelle (carence) supérieure à 48 heures laisse à votre charge l'essentiel du choc initial.
- Responsabilité civile cyber. Couvre les réclamations du maître d'ouvrage et des cocontractants pour fuite de données, retard, violation de confidentialité.
- Assistance et gestion de crise. Une cellule de réponse à incident sous 4 heures, capable de prendre la main sur le SI, de négocier avec les attaquants si nécessaire et de gérer la communication.
Notre offre cyber Insurio pour bureaux d'études intègre ces quatre volets dès l'entrée de gamme, avec un audit cyber-prévention gratuit à la souscription. Tous les détails de la couverture sont accessibles depuis la page bureau d'études.
Cinq mesures de prévention qui font baisser la prime
Les assureurs cyber sérieux conditionnent désormais leurs tarifs à un niveau minimum de maturité. Cinq mesures, mesurables et auditées, font typiquement baisser la cotisation de 20 à 35 % :
- Sauvegarde 3-2-1 : 3 copies, sur 2 supports différents, dont 1 hors site. Les sauvegardes locales seules ne sont plus acceptées.
- Authentification multifacteur (MFA) sur tous les comptes mail, VPN et plateformes BIM (BIM 360, Trimble Connect, Bimsync).
- Cloisonnement des comptes admin : aucun ingénieur ne doit travailler en compte administrateur local.
- Suppression des partages SMB v1 et autres protocoles obsolètes, encore présents sur de nombreux NAS de bureaux d'études.
- Plan de continuité testé une fois par an avec restauration réelle d'une maquette à partir des sauvegardes.
L'investissement de mise à niveau cyber d'un bureau d'études de 10 personnes tourne autour de 4 000 à 8 000 euros la première année. C'est moins d'un sixième du sinistre type décrit plus haut.
Questions fréquentes
Le paiement est fortement déconseillé par l'ANSSI et la gendarmerie : il finance le crime organisé, ne garantit pas la restitution des données, et expose à de nouvelles attaques. La position de la plupart des assureurs cyber sérieux est de ne pas couvrir le paiement, mais de couvrir tout l'écosystème de récupération (reconstitution, perte d'exploitation, gestion de crise).
Oui, à double titre : par le droit d'auteur (œuvre de l'esprit originale) et par le secret des affaires si elle a fait l'objet de mesures de protection. La preuve du caractère original et des mesures de protection reste à la charge du bureau d'études en cas de litige.
Seulement si elle comporte un volet RC cyber spécifique. Les contrats généralistes couvrent souvent les frais propres de l'entreprise (reconstitution, perte d'exploitation) mais excluent les recours des tiers. Vérifiez la rubrique « responsabilité civile cyber » dans votre tableau de garanties.
Les plateformes BIM collaboratives non MFA, les VPN obsolètes, les logiciels de calcul installés en local sans mise à jour (versions Robot, AutoCAD, Revit antérieures à 2022) et les passerelles FTP de partage de fichiers avec les architectes sont les vecteurs les plus fréquents.
Uniquement si la fuite concerne des données à caractère personnel (article 33 RGPD). Pour les données purement techniques, la déclaration est contractuelle (auprès du maître d'ouvrage) et non réglementaire. En cas de doute, considérez que la déclaration CNIL s'impose dès qu'un nom apparaît dans les fichiers exfiltrés.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Bureau d'études — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Bureau d'études →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.