Quand un scan fait tomber la production : anatomie chiffrée d'un sinistre pentest
Un scan d'énumération un peu trop agressif, une API de paiement saturée, et c'est une boutique entière qui s'arrête. Reconstitution chiffrée d'un sinistre que tout pentester redoute.
- Un test d'intrusion mal cadencé peut saturer une API ou une base et provoquer un arrêt de service en pleine activité commerciale.
- Le préjudice principal n'est pas matériel mais immatériel : perte de chiffre d'affaires, frais de remise en service, pénalités contractuelles.
- Dans notre cas reconstitué, la facture dépasse 60 000 euros pour une indisponibilité de quelques heures.
- La RC Pro prend en charge les dommages immatériels et les frais de défense quand le test reste dans le périmètre autorisé.
Le scénario : un audit autorisé qui dérape en heures ouvrées
Reconstituons un sinistre représentatif, à partir de paramètres réalistes du métier. Un consultant intervient pour une PME de vente en ligne d'équipement sportif. Mission cadrée, mandat signé, périmètre clair : tests applicatifs sur la plateforme e-commerce, créneau convenu en journée car le client veut éviter les nuits.
Le consultant lance une phase d'énumération automatisée sur l'API de gestion du panier. L'outil envoie des milliers de requêtes par minute. L'API, conçue pour un trafic humain, n'absorbe pas la charge : la file d'attente sature, la base de données monte à 100 % de CPU, le service de paiement passe en timeout. En quelques minutes, l'ensemble du tunnel d'achat est hors service.
Le test était autorisé. Le périmètre était respecté. Mais l'intensité du scan, en pleine journée, a transformé un audit légitime en interruption d'exploitation. C'est l'illustration parfaite du risque de crash de production : pas une faute morale, une simple sous-estimation de la fragilité de la cible.
Décomposer le préjudice : ce qui se chiffre vraiment
Le réflexe est de penser « il n'y a rien de cassé matériellement ». C'est vrai, et c'est précisément le problème : le dommage est immatériel, et l'immatériel coûte souvent plus cher que le matériel. Décomposons.
| Poste de préjudice | Estimation |
|---|---|
| Perte de chiffre d'affaires (4 h d'arrêt, panier moyen) | 38 000 € |
| Frais d'intervention d'urgence de l'hébergeur | 4 500 € |
| Heures supplémentaires de l'équipe technique cliente | 3 200 € |
| Remboursements et gestes commerciaux clients lésés | 6 800 € |
| Frais d'expertise et de défense juridique | 9 500 € |
| Total réclamé | 62 000 € |
Pour un consultant facturant la mission quelques milliers d'euros, ce montant représente plusieurs années de marge. Sans assurance, il sort directement de la trésorerie de l'entreprise — voire du patrimoine personnel selon la structure juridique.
La question qui décide de tout : faute ou aléa ?
Le client va vouloir engager votre responsabilité. Sa thèse : vous êtes un professionnel, vous deviez connaître la fragilité d'une API et adapter la cadence. Votre thèse : le test était autorisé, dans le périmètre, et le client connaissait les risques inhérents à un pentest en production.
Cette zone grise est exactement celle où une assurance RC Pro joue son rôle. Elle finance d'abord la défense : un expert technique et un avocat pour démontrer que la cadence employée relevait d'une pratique courante et que le client avait accepté le créneau diurne. Elle indemnise ensuite les dommages immatériels reconnus, dans la limite des plafonds souscrits.
Le coût d'un sinistre n'est pas seulement l'indemnité : c'est aussi la facture de défense, qui peut atteindre cinq chiffres même si vous avez finalement raison.
Réduire la sinistralité : les réflexes qui évitent le crash
Un bon assureur récompense les pratiques prudentes, et surtout elles évitent le sinistre tout court. Les leviers concrets :
- Négocier une fenêtre de faible trafic pour les phases bruyantes (scans, fuzzing, force brute), même si le client préfère la journée par confort.
- Plafonner la cadence de vos outils et tester d'abord en préproduction quand un environnement miroir existe.
- Prévoir un canal d'arrêt d'urgence : un contact joignable côté client capable de couper en cas d'incident.
- Documenter l'acceptation du risque par le client dans le mandat, en particulier pour les tests en production.
- Surveiller en temps réel la santé de la cible pendant le test pour stopper avant la saturation.
Ces réflexes ne suppriment pas le risque : un système peut tomber pour une raison imprévisible. Ils déplacent simplement le curseur de l'imprudence vers la diligence professionnelle, ce qui pèse lourd le jour où la responsabilité est discutée.
Bien dimensionner ses plafonds pour ce type de sinistre
L'erreur classique consiste à souscrire des plafonds calés sur ses propres honoraires. Or le préjudice ne dépend pas de votre facture, mais de l'activité du client. Un crash chez un e-commerçant en période de pointe, chez une banque ou chez une ETI industrielle peut chiffrer en centaines de milliers d'euros.
Avant de souscrire, posez-vous trois questions : quel est le chiffre d'affaires horaire de mes clients ? Quelle est leur dépendance au système que je teste ? Quel arrêt maximal est plausible si mon test dérape ? Les réponses fixent le plafond de dommages immatériels dont vous avez réellement besoin.
Pour un consultant en sécurité, l'assurance dédiée aux tests d'intrusion part de 19,90 €/mois et s'ajuste précisément au profil de votre clientèle. Mieux vaut un plafond adapté à la cible la plus critique de votre portefeuille qu'une économie de quelques euros mensuels payée 62 000 € le jour du sinistre.
Questions fréquentes
Oui. La RC Pro prend en charge les dommages immatériels résultant d'un test d'intrusion réalisé dans le périmètre contractuel autorisé, ainsi que les frais de défense, dans la limite des plafonds souscrits.
Parce que le dommage est immatériel : il s'agit de la perte de chiffre d'affaires pendant l'arrêt, des frais de remise en service et des gestes commerciaux. L'immatériel n'a pas de plafond physique et peut largement dépasser la valeur d'un équipement endommagé.
Il peut tenter d'engager votre responsabilité en invoquant un défaut de diligence. C'est l'objet de la défense financée par votre assurance : démontrer que vos pratiques étaient conformes aux usages et que le client avait accepté les conditions du test.
Privilégiez les fenêtres de faible trafic pour les phases bruyantes, plafonnez la cadence de vos outils, testez en préproduction quand c'est possible, prévoyez un canal d'arrêt d'urgence et documentez l'acceptation du risque par le client.
Calez-le non sur vos honoraires mais sur la criticité de vos clients : chiffre d'affaires horaire, dépendance au système testé, durée d'arrêt plausible. Un client e-commerce en période de pointe ou une ETI peut générer un préjudice de plusieurs centaines de milliers d'euros.
Souscrivez votre assurance pro en 2 minutes
Toutes nos protections pour votre activité de Sécurité des systèmes d'information et tests d'intrusion — attestation immédiate, sans engagement.
* Tarifs indicatifs « à partir de », selon votre profil, votre activité et les garanties choisies. · Voir la fiche Sécurité des systèmes d'information et tests d'intrusion →
Article rédigé et vérifié par l'équipe Insurio — Tutassûr, courtier en assurance immatriculé à l'ORIAS sous le n° 22001730. Information à caractère général ne se substituant pas aux conditions de votre contrat.