Consultant logistique, gardien des données clients : le risque cyber oublié

On imagine le risque cyber réservé aux DSI et aux éditeurs de logiciels. C'est une erreur d'optique. Le consultant en logistique est, par nature, un acteur hyper-connecté aux systèmes d'information de ses clients. Pour mener ses missions, il accumule des accès et des données qui font de lui une cible de choix :

• Accès directs au WMS et au TMS du client pour analyser les flux et paramétrer les outils.
• Extractions ERP volumineuses : historiques de commandes, référentiels articles, données fournisseurs et transporteurs.
• Fichiers de flux et de stocks contenant souvent des données commerciales stratégiques.
• Accès VPN ou comptes nominatifs sur les environnements de plusieurs clients simultanément.

Cette position fait du consultant un maillon faible recherché par les attaquants. Compromettre le poste d'un prestataire qui détient des accès à cinq entrepôts différents est bien plus rentable que d'attaquer une seule entreprise. Le consultant devient, malgré lui, un vecteur de propagation. Et contrairement à un grand groupe, l'indépendant n'a souvent aucune équipe sécurité pour détecter et endiguer une intrusion.

Ce phénomène porte un nom dans le monde de la cybersécurité : l'attaque par la chaîne d'approvisionnement (supply chain attack), au sens informatique cette fois. Plutôt que de forcer la porte blindée d'un grand donneur d'ordre, l'attaquant cible ses prestataires, fournisseurs et consultants, dont les défenses sont généralement plus faibles. Pour un consultant en logistique, l'ironie est cruelle : le métier consiste à sécuriser et fluidifier la supply chain physique de ses clients, tout en représentant potentiellement une faille dans leur supply chain numérique. Les grands donneurs d'ordre l'ont bien compris et imposent désormais, de plus en plus souvent, des clauses de sécurité et des audits à leurs prestataires. Ne pas pouvoir y répondre, c'est risquer de perdre des appels d'offres.

Le risque n'est pas théorique. Trois scénarios reviennent régulièrement et illustrent à quel point un incident peut être destructeur pour une activité de conseil :

1. Le rançongiciel : un fichier piégé chiffre votre poste et vos sauvegardes. Vous perdez l'accès à tous vos livrables, vos analyses en cours et vos données clients. Sans sauvegarde saine, vous êtes paralysé pendant des jours, voire contraint de payer une rançon.
2. La fraude au virement (FOVI) : un attaquant, ayant compromis votre messagerie, intercepte une facture et modifie le RIB. Votre client paie un fraudeur en croyant vous régler. Le litige sur « qui supporte la perte » est immédiat et envenime la relation.
3. La fuite de données client : votre poste compromis sert à exfiltrer les fichiers de flux d'un client. S'y trouvent des données commerciales sensibles, parfois des données personnelles de salariés ou de destinataires : vous voilà exposé à une réclamation et à des obligations RGPD.

Pour un indépendant, un seul de ces incidents peut représenter plusieurs semaines d'activité perdues et une réclamation client qui dépasse une année de chiffre d'affaires.

À ces trois scénarios s'ajoute une dimension souvent négligée : le volet réglementaire. Dès lors qu'une fuite touche des données personnelles — coordonnées de destinataires, informations sur des salariés du client, fichiers clients — le RGPD impose des obligations strictes. La violation doit être notifiée à la CNIL dans un délai de 72 heures, et les personnes concernées doivent parfois être informées individuellement. Pour un consultant seul, gérer cette mécanique en pleine crise, sans accompagnement juridique, est tout simplement irréaliste. C'est l'une des raisons pour lesquelles l'assurance cyber inclut généralement une cellule de gestion de crise : vous n'êtes pas censé affronter seul à la fois la reconstruction technique et la conformité réglementaire.

Beaucoup de consultants pensent être protégés par leur seule RC Pro. C'est vrai pour une partie du risque, mais l'angle mort est large. La distinction est essentielle :

La logique est simple : la RC Pro indemnise le dommage que vous causez à autrui, tandis que l'assurance cyber prend en charge vos propres pertes et l'accompagnement en gestion de crise. Quand votre poste est chiffré et que vous ne pouvez plus travailler, c'est la cyber qui finance la reconstruction, pas la RC Pro. Les deux sont complémentaires, pas substituables.

L'assurance intervient après l'incident. Pour réduire la probabilité qu'il survienne, quelques réflexes simples mais déterminants, spécifiquement adaptés à votre activité :

• Cloisonner les accès clients : utiliser des mots de passe uniques et un gestionnaire de mots de passe pour chaque environnement WMS/ERP. Ne jamais réutiliser un même identifiant entre clients.
• Activer l'authentification à deux facteurs partout où c'est possible, en particulier sur la messagerie, premier vecteur de fraude au virement.
• Chiffrer le disque de votre poste : un ordinateur volé ne doit pas révéler les données de vos clients.
• Sauvegarder en 3-2-1 : trois copies, deux supports, une hors ligne. C'est la seule parade efficace contre le rançongiciel.
• Purger les extractions : ne pas conserver indéfiniment des fichiers de flux clients qui ne servent plus. Moins de données stockées, moins de risque en cas de fuite.
• Vérifier tout changement de RIB par téléphone avant tout virement, et demander à vos clients d'en faire autant pour vos factures.
• Restituer les accès en fin de mission : demander la désactivation de vos comptes chez le client une fois le projet terminé, car un accès orphelin oublié reste une porte ouverte sur ses systèmes.

Aucune de ces mesures n'est coûteuse ni technique. Elles relèvent de la discipline plus que de l'investissement, et elles ont un double effet : réduire le risque réel, et démontrer votre sérieux aux donneurs d'ordre qui vous auditent.

La bonne approche consiste à raisonner par couches. Votre exposition cyber dépend directement du volume et de la sensibilité des données que vous manipulez, ainsi que du nombre de clients dont vous détenez les accès :

• Consultant débutant, missions ponctuelles : hygiène numérique rigoureuse, sauvegardes saines, et une couverture cyber d'entrée de gamme pour le rançongiciel et la fraude.
• Consultant établi, accès multiples : assurance cyber complète incluant perte d'exploitation, gestion de crise et volet RGPD, couplée à la RC Pro pour les dommages causés aux clients.
• Cabinet avec parc informatique et collaborateurs : ajouter une couverture du matériel informatique pour les postes et serveurs, et envisager une multirisque professionnelle si vous disposez de locaux.

Le risque cyber n'est pas une fatalité réservée aux grandes entreprises. Pour un consultant logistique dont le métier consiste précisément à entrer dans les systèmes de ses clients, c'est au contraire un risque structurel. Le bon dispositif combine des réflexes d'hygiène quotidiens et une assurance dimensionnée sur la réalité de votre exposition. Pour faire le point sur votre situation, consultez notre page dédiée à l'assurance du conseil en logistique.