Billetterie en ligne piratée : quand le fichier de vos abonnés devient une bombe à retardement

Un théâtre se vit comme un lieu de culture, pas comme une entreprise numérique. Pourtant, derrière le rideau, il fait tourner un système d'information qui en fait une cible parfaitement crédible pour la cybercriminalité : une billetterie en ligne reliée à un système de paiement, un fichier d'abonnés contenant noms, adresses, e-mails, parfois coordonnées bancaires, et un site web ouvert en permanence sur Internet.

Les attaquants ne ciblent pas une « renommée » : ils ciblent une faille et une donnée monnayable. Un fichier de plusieurs milliers d'abonnés fidèles, avec historique d'achat, vaut de l'argent sur les marchés clandestins. Une billetterie qui génère le chiffre d'affaires de la saison est un point de pression idéal pour un rançongiciel : la bloquer la veille d'une première, c'est garantir une panique propice au paiement.

Les petites structures sont particulièrement exposées, précisément parce qu'elles se croient hors radar. Pas de service informatique dédié, des mots de passe partagés, un logiciel de billetterie rarement mis à jour, une boîte mail commune ouverte par toute l'équipe : autant de portes laissées entrouvertes.

La plupart des attaques ne relèvent pas d'un piratage spectaculaire mais d'un enchaînement banal. Voici un déroulé typique :

1. L'hameçonnage. Un e-mail piégé — fausse facture de prestataire, faux message d'une plateforme de billetterie — est ouvert par un membre de l'équipe. Une pièce jointe ou un lien installe discrètement un logiciel malveillant.
2. La latence. Pendant des jours, parfois des semaines, l'attaquant explore le réseau, repère le serveur de billetterie, le fichier d'abonnés, les sauvegardes.
3. L'exfiltration. Le fichier des spectateurs est copié et envoyé vers l'extérieur. C'est la fuite de données, souvent invisible à ce stade.
4. Le chiffrement. Au moment choisi — fréquemment un week-end ou une veille de représentation — les fichiers sont verrouillés. La billetterie devient inaccessible.
5. La demande de rançon. Un message exige un paiement en cryptomonnaie pour débloquer les données, avec menace de publier le fichier d'abonnés en cas de refus.

Le théâtre se retrouve alors face à un double chantage : payer pour récupérer son outil de vente, et payer pour éviter la diffusion des données de ses spectateurs. Or payer ne garantit rien, et expose à de nouvelles sollicitations. C'est précisément dans ce moment de sidération qu'une assurance cyber apporte une cellule de crise opérationnelle plutôt qu'un face-à-face seul avec les attaquants.

Beaucoup de responsables pensent qu'une cyberattaque est « juste » un problème technique à régler en interne. C'est une grave sous-estimation. Dès lors que le fichier d'abonnés contient des données personnelles — et c'est toujours le cas — la fuite déclenche des obligations légales au titre du RGPD.

Concrètement, en tant que responsable de traitement, le théâtre doit :

• notifier la violation à la CNIL dans un délai de 72 heures après en avoir pris connaissance, lorsque la fuite présente un risque pour les personnes ;
• informer les personnes concernées — vos abonnés — lorsque le risque est élevé, par exemple en cas de fuite de coordonnées bancaires ;
• documenter l'incident et les mesures prises, la CNIL pouvant exiger des justificatifs.

Le manquement à ces obligations expose à des sanctions financières qui, pour les manquements les plus graves, peuvent être très lourdes. Au-delà de la sanction, l'absence de réaction maîtrisée détruit la confiance du public : un abonné fidèle qui apprend par hasard que ses données ont fuité ne pardonne pas le silence.

La règle à retenir : une cyberattaque n'est pas seulement un incident informatique, c'est un événement juridique. Le délai de 72 heures court vite quand on découvre l'incident un dimanche soir.

Focaliser sur le montant de la rançon, c'est passer à côté de l'essentiel. Le coût réel d'une attaque sur une billetterie additionne des postes très concrets :

Pour une structure dont la billetterie représente une part majeure des recettes, quelques jours d'indisponibilité au mauvais moment peuvent compromettre l'équilibre d'une saison entière. Et la facture de remise en état s'ajoute à la perte d'exploitation.

C'est là que l'assurance cyber change la donne. Elle ne se limite pas à rembourser une rançon — ce qui n'est d'ailleurs pas son objet principal. Elle finance la cellule de crise (experts techniques, juristes RGPD, communication), prend en charge les frais de notification et de gestion de la fuite, couvre la remise en état des systèmes et la perte d'exploitation, et assume la responsabilité civile si un abonné se retourne contre vous après la divulgation de ses données.

L'assurance absorbe le choc, mais la première défense reste l'hygiène numérique. Quelques mesures simples réduisent drastiquement la probabilité et la gravité d'une attaque :

• Sauvegardes régulières et déconnectées. Une sauvegarde hors ligne, testée, permet de restaurer la billetterie sans céder au chantage.
• Mises à jour systématiques. Logiciel de billetterie, site web, postes de travail : les failles exploitées sont presque toujours connues et corrigées par une mise à jour.
• Mots de passe robustes et double authentification sur la billetterie, la messagerie et l'accès au site.
• Sensibilisation de l'équipe. La majorité des attaques commence par un e-mail. Apprendre à reconnaître un message d'hameçonnage est la mesure la plus rentable qui soit.
• Cloisonnement des accès. Tout le monde n'a pas besoin d'accéder au fichier complet des abonnés.

Ces réflexes ne suppriment pas le risque, mais ils le rendent moins probable et moins coûteux. Combinés à une couverture cyber, ils permettent d'aborder la billetterie en ligne comme un atout, et non comme une vulnérabilité permanente. Pour situer ce risque parmi l'ensemble des protections utiles à votre structure, la fiche métier théâtre récapitule les garanties à envisager.