Fraude au RIB et vol de fichier clients : la nouvelle cible des cybercriminels

Pendant longtemps, les cybercriminels ciblaient prioritairement les cabinets comptables, les notaires et les avocats. Depuis 2023, les agences immobilières ont rejoint la liste des cibles prioritaires en France et le constat est partagé par l'ANSSI, par Cybermalveillance.gouv.fr et par les principaux assureurs cyber du marché.

Quatre raisons à ce basculement :

1. Volume des flux financiers : une agence de taille moyenne fait transiter 200 000 à 800 000 € par mois en dépôts de garantie, acomptes, loyers et honoraires.
2. Densité du fichier clients : noms, adresses, RIB, pièces d'identité, parfois revenus et situations professionnelles. Une mine d'or pour le marché noir et l'usurpation d'identité.
3. Maturité cyber souvent faible : peu d'agences disposent d'un responsable sécurité, beaucoup utilisent des messageries grand public et des outils SaaS hétérogènes.
4. Pression temporelle : les transactions immobilières se font dans l'urgence, avec des virements de gros montants à valider en quelques heures. Terrain idéal pour la fraude au président version immobilier.

Trois scénarios qui reviennent chaque semaine

Voici les trois schémas que les courtiers Insurio observent en récurrence sur les dossiers déclarés en 2025 et 2026 :

• Le faux RIB du notaire : un attaquant compromet la messagerie de l'agence ou du notaire, intercepte l'échange et renvoie une fausse lettre de demande de fonds avec un IBAN modifié.
• Le rançongiciel sur l'arborescence métier : chiffrement de l'intégralité des mandats, états des lieux, dossiers de location, avec demande de rançon entre 15 000 et 80 000 €.
• L'exfiltration silencieuse : copie discrète du fichier clients revendu sur des forums spécialisés, déclenchant des fraudes à l'identité chez les acquéreurs plusieurs mois après.

Voici la chronologie d'un sinistre traité en mars 2026. Une agence parisienne de 8 collaborateurs gère une vente à 685 000 €. Le compromis est signé. Quinze jours avant l'acte authentique, l'acquéreur reçoit par email un document à en-tête de l'agence lui demandant de virer le dépôt de garantie complémentaire de 47 000 € sur un IBAN différent de celui mentionné dans le compromis. Le texte de l'email est parfait, le ton naturel.

L'acquéreur vire. Le lendemain, le notaire appelle l'agence pour s'étonner de ne pas avoir reçu les fonds. L'agence découvre la fraude.

L'enquête révèle

• L'attaquant s'est introduit dans la messagerie d'une négociatrice via un email de phishing imitant Microsoft 365, six semaines plus tôt.
• Il a observé les échanges, créé une règle de filtrage automatique pour cacher ses propres envois et générer une fausse facture parfaite.
• Le RIB frauduleux pointait vers une banque en ligne européenne, l'argent a été retiré en cryptomonnaie en moins de 6 heures.

L'addition

La cyber-assurance Insurio a couvert l'intégralité hors franchise de 2 500 €.

Au-delà de la fraude financière, une agence victime d'un vol de fichier clients tombe immédiatement sous le coup du RGPD. L'article 33 impose une notification à la CNIL dans un délai de 72 heures suivant la prise de connaissance de la violation. L'article 34 impose une notification individuelle aux personnes concernées si le risque est élevé.

« Le responsable du traitement notifie la violation de données à caractère personnel à l'autorité de contrôle compétente, dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance. » (RGPD, article 33)

Le piège : la CNIL et les juridictions considèrent que la responsabilité du courtier ne se limite pas à payer la rançon ou rembourser la fraude. La sanction RGPD vise les défauts de sécurité techniques et organisationnels. Une agence qui n'avait pas activé le double facteur sur sa messagerie Microsoft 365 sera difficile à défendre devant la CNIL.

Les amendes constatées

Les sanctions CNIL prononcées en 2024 et 2025 contre des agences immobilières montrent une fourchette typique :

• 3 000 à 20 000 € pour défaut de sécurité élémentaire (pas de double authentification, pas de chiffrement).
• 20 000 à 80 000 € pour absence de tenue de registre des traitements ou défaut de notification.
• Plus de 100 000 € dans les cas de récidive ou de mauvaise foi (dissimulation).

S'y ajoutent les actions individuelles des personnes dont les données ont été divulguées : dommages-intérêts moraux, frais d'opposition Banque de France, surveillance Equifax. Les jugements 2025 retiennent en moyenne 800 à 1 500 € par personne concernée.

Une cyber-assurance bien dimensionnée ne dispense pas de l'hygiène numérique. Au contraire : la plupart des contrats exigent un socle minimum, et l'absence de ces mesures peut entraîner une réduction d'indemnité au moment du sinistre. Les sept réflexes prioritaires :

1. Double authentification obligatoire sur toutes les messageries professionnelles et tous les outils SaaS métier (logiciel de transaction, gestion locative, signature électronique).
2. Sauvegarde quotidienne externalisée et déconnectée du réseau principal, testée en restauration au moins une fois par trimestre.
3. Vérification téléphonique systématique de tout changement d'IBAN, quel que soit l'émetteur et l'urgence présumée.
4. Sensibilisation au phishing de tous les collaborateurs, avec des tests internes au moins deux fois par an.
5. Chiffrement des pièces d'identité et des dossiers locataires dans l'arborescence métier.
6. Registre des traitements RGPD à jour, signé et accessible immédiatement en cas de contrôle CNIL.
7. Procédure incident documentée avec contacts d'urgence (CIL, hébergeur, avocat, assureur cyber) affichée physiquement dans l'agence.

Ce que couvre la cyber-assurance Insurio

Une fois ce socle posé, la cyber-assurance prend le relais. La police Insurio dédiée aux agences immobilières inclut :

• Cellule de crise activable 24/7.
• Investigation forensique et nettoyage des systèmes.
• Remboursement de la fraude au faux RIB et au faux président, plafonds adaptés au volume d'activité.
• Prise en charge de la notification CNIL et de l'information des personnes concernées.
• Garantie amende RGPD (dans les conditions légales d'assurabilité).
• Perte d'exploitation jusqu'à 30 ou 60 jours selon la formule.
• Rançongiciel : prise en charge négociée avec un cabinet spécialisé.

Pour découvrir la formule complète, rendez-vous sur la page dédiée aux agences immobilières.

L'erreur classique en agence immobilière est de penser que la RC Pro Loi Hoguet suffit à couvrir un sinistre cyber. C'est inexact. La RC Pro indemnise les fautes professionnelles commises par l'agence ou ses collaborateurs (manquement au devoir de conseil, erreur sur un diagnostic). Elle ne couvre ni la fraude bancaire externe, ni la rançon, ni l'amende RGPD.

À l'inverse, la cyber-assurance ne couvre pas les manquements de conseil ou les erreurs professionnelles classiques. Les deux contrats sont complémentaires, et c'est leur combinaison qui protège réellement une agence.

Le bon dimensionnement

Quelques repères chiffrés pour calibrer une cyber-assurance d'agence immobilière :

Le tarif reste modeste rapporté au risque réel : à partir de quelques dizaines d'euros par mois, là où un sinistre moyen avoisine 80 000 €. Le rapport coût-bénéfice ne se discute plus.