Six jours pour inhumer, zéro jour pour attendre : quand un rançongiciel paralyse un grossiste funéraire
Délais d'obsèques incompressibles, commandes à flux tendu : scénario d'un rançongiciel chez un grossiste funéraire, et la parade.
- Les obsèques doivent avoir lieu dans les six jours ouvrables : chaque commande d'un grossiste funéraire est urgente par nature.
- Scénario reconstitué : 9 jours de paralysie de l'ERP et du portail B2B, environ 92 000 € de pertes, sans compter les clients perdus.
- Les fichiers de livraison contiennent souvent des noms de défunts et des adresses de cérémonie : leur fuite déclenche des obligations CNIL.
- Une procédure dégradée papier testée à l'avance vaut autant que n'importe quel logiciel de sécurité.
Un maillon invisible, mais à flux tendu
Le grossiste funéraire travaille dans l'ombre des pompes funèbres, mais son rythme est dicté par le Code général des collectivités territoriales : inhumation ou crémation doivent intervenir dans les six jours ouvrables suivant le décès, sauf dérogation préfectorale. Résultat : ses clients commandent à flux tendu, souvent le jour même de la signature du devis avec la famille. Cercueil, capiton, emblème, plaque gravée — tout doit partir sous 24 à 48 heures.
Cette urgence structurelle a une conséquence directe : le système d'information du grossiste est devenu son outil de production. Portail de commande B2B, ERP de gestion des stocks, interfaces avec les transporteurs, gravure pilotée par fichier : quand l'informatique s'arrête, l'activité s'arrête. Et contrairement à un négoce classique, aucun client ne peut « attendre la semaine prochaine ».
Scénario : 4 h du matin, l'ERP est chiffré
Reconstitution d'un cas plausible, inspiré des attaques observées dans le négoce B2B. Un lundi à 4 h du matin, un rançongiciel déployé via un accès de télémaintenance compromis chiffre l'ERP, le portail de commande et le serveur de fichiers d'un grossiste réalisant 4,2 M€ de chiffre d'affaires. La demande de rançon s'affiche : 45 000 € en cryptomonnaie. À 8 h, les premières pompes funèbres appellent : 380 commandes sont en cours, dont 60 à livrer dans les 48 heures pour des cérémonies déjà programmées.
On peut expliquer un retard de livraison à un magasin de bricolage. Pas à une famille qui enterre un proche jeudi matin.
L'entreprise bascule en mode manuel : prises de commande par téléphone, bons de préparation papier, inventaire physique des racks. Un tiers des références est localisé de mémoire par les magasiniers. La reprise complète du système, après reconstruction depuis des sauvegardes partiellement exploitables, prend 9 jours. La rançon n'est pas payée.
L'addition : 92 000 € et des données plus sensibles qu'il n'y paraît
Le chiffrage du sinistre s'établit ainsi : reconstruction et sécurisation du système d'information (28 000 €), investigation forensique et accompagnement de crise (14 000 €), marge perdue sur 9 jours et commandes détournées vers la concurrence (31 000 €), gestes commerciaux consentis aux clients livrés en retard (11 000 €), notification et gestion des obligations liées aux données (8 000 €). Total : environ 92 000 €, hors perte définitive de deux comptes clients significatifs.
Un point mérite l'attention : les données. Un grossiste funéraire se croit souvent « purement B2B ». En réalité, ses fichiers de livraison et de gravure contiennent fréquemment des noms de défunts, dates de décès, adresses de cérémonies ou de domiciles. En cas d'exfiltration, ce sont des données personnelles dont la violation doit être notifiée à la CNIL sous 72 heures, avec un risque réputationnel évident dans un secteur où la discrétion est une exigence morale autant que commerciale.
Ce que couvre l'assurance cyber, et les cinq réflexes qui comptent
Sur un scénario de ce type, une assurance cyber correctement dimensionnée intervient sur quatre plans : les frais de reconstruction du système et d'investigation, la perte d'exploitation consécutive à l'interruption informatique, la gestion de crise (assistance juridique, notification CNIL, communication), et la responsabilité civile si des données de clients ou de familles ont fuité. Dans notre reconstitution, environ 78 000 € sur 92 000 € auraient été pris en charge, franchise déduite.
Mais l'assurance ne remplace pas la préparation. Cinq réflexes adaptés à la taille d'un grossiste funéraire :
- Sauvegardes déconnectées (hors ligne ou immuables), testées par une restauration réelle au moins deux fois par an ;
- Double authentification sur la messagerie, le VPN et les accès de télémaintenance des prestataires ;
- Procédure dégradée papier : bons de commande vierges, liste imprimée des clients et transporteurs, inventaire hebdomadaire imprimé ;
- Cloisonnement du poste de gravure et des automates vis-à-vis du réseau bureautique ;
- Numéro d'urgence de l'assisteur cyber affiché physiquement — pas seulement enregistré dans un serveur qui sera chiffré.
Dans un métier où le délai est réglementaire et le client en deuil, la question n'est pas de savoir si une panne informatique coûterait cher. C'est de savoir combien d'heures vous pouvez tenir sans écran.
Questions fréquentes
Oui, précisément parce que son activité ne supporte aucun retard. Les attaquants ciblent les entreprises dont l'interruption est intenable : la pression du délai d'obsèques rend un grossiste funéraire théoriquement plus enclin à payer vite. Les PME du négoce B2B, souvent moins protégées que les grands groupes, sont une cible privilégiée.
En grande partie, oui. Au-delà des contacts professionnels, les fichiers de livraison et de gravure contiennent souvent des noms de défunts, des dates et des adresses liées à des familles. En cas de violation, la notification à la CNIL sous 72 heures s'impose, et l'information des personnes concernées peut être requise.
Le paiement est fortement déconseillé : il ne garantit ni la restitution des données ni l'absence de fuite, et finance la récidive. La bonne réponse est en amont : sauvegardes restaurables rapidement et procédure manuelle permettant d'honorer les commandes urgentes pendant la reconstruction du système.
Non, ses modalités varient beaucoup : franchise exprimée en heures d'interruption, période d'indemnisation, prise en compte ou non des commandes détournées vers la concurrence. Pour un métier à flux tendu comme le négoce funéraire, une franchise de 12 heures plutôt que 48 change radicalement l'indemnisation.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Commerce de gros d'articles funéraires — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Commerce de gros d'articles funéraires →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.