Enchères en ligne, faux acheteurs et fonds détournés : le risque cyber du commissaire-priseur

Le marteau frappe encore, mais une grande partie des enchères tombe désormais derrière un écran. Ventes en live, plateformes d'enchères en ligne, ordres d'achat numériques, paiements par virement et par carte : la salle des ventes moderne est un système d'information à part entière. Cette numérisation a ouvert votre métier à une clientèle mondiale. Elle a aussi ouvert une porte aux fraudeurs.

Le risque cyber du commissaire-priseur n'est pas une vue de l'esprit : il se matérialise dans la gestion des fonds de la vente, dans la dépendance aux plateformes techniques, et dans la masse de données personnelles que vous collectez. Trois angles d'attaque, trois familles de sinistres.

C'est le scénario le plus redouté, car il frappe au cœur de votre activité réglementée : la gestion des fonds. Vous encaissez le prix des acheteurs, puis reversez le produit aux vendeurs après déduction de vos frais. Entre les deux, des sommes importantes transitent par vos comptes.

Le mode opératoire classique : un fraudeur usurpe l'identité d'un vendeur, ou pirate sa messagerie, et vous adresse un faux changement de coordonnées bancaires juste avant le reversement. Vous virez de bonne foi le produit de la vente sur un compte contrôlé par l'escroc.

Un seul reversement détourné sur une succession importante peut représenter des dizaines de milliers d'euros — et c'est à vous que le vendeur légitime réclamera son dû.

L'assurance cyber couvre ce type de fraude au faux ordre de virement (« fraude au président », usurpation de fournisseur), prend en charge l'analyse de l'incident, et accompagne les démarches de recouvrement. Côté prévention, un protocole de double validation de tout changement de RIB par un canal indépendant est votre meilleure barrière.

Une vente live mobilise des enchérisseurs du monde entier, connectés en temps réel. Que se passe-t-il si, en pleine vacation, votre plateforme d'enchères est victime d'un rançongiciel, d'une attaque par déni de service, ou d'une simple panne provoquée par une intrusion ?

• Des enchérisseurs ne peuvent plus porter d'ordres : la vente est faussée, voire interrompue.
• Des lots partent sous leur valeur faute de concurrence en ligne.
• Des litiges naissent sur la validité des adjudications passées.

Au-delà de la vacation gâchée, une intrusion dans vos systèmes peut chiffrer vos fichiers — catalogues, fiches de dépôt, comptabilité — et paralyser l'étude pendant des jours. La garantie cyber couvre la restauration des données et des systèmes, l'intervention d'experts en réponse à incident, et les pertes d'exploitation liées à l'interruption d'activité.

Pour chaque acheteur et chaque vendeur, vous détenez un dossier nourri : identité, pièce d'identité, coordonnées bancaires, historique d'achats, parfois la composition d'un patrimoine via les inventaires de succession. Ce sont des données personnelles sensibles au sens du RGPD, et leur compromission a deux conséquences.

1. L'obligation légale. En cas de violation de données, le RGPD impose de notifier la CNIL sous 72 heures, et parfois d'informer les personnes concernées. Le manquement expose à des sanctions.
2. L'atteinte à la réputation. Une étude dont on apprend que le fichier clients a fuité voit la confiance de ses déposants — par nature attachés à la discrétion — durement entamée.

La garantie cyber prend en charge les frais de notification, l'accompagnement juridique face à la CNIL, la gestion de crise et de communication, ainsi que la défense en cas de réclamation des personnes concernées. C'est précisément ce volet « gestion de crise » qui distingue une vraie couverture cyber d'une simple option informatique.

Le risque cyber ne se règle pas par un seul réflexe, mais par une combinaison de mesures et de garanties :

• Au plan technique : sauvegardes régulières hors ligne, mises à jour, authentification à plusieurs facteurs sur les accès sensibles, segmentation entre messagerie et comptabilité.
• Au plan procédural : double validation des virements, vérification systématique des changements de RIB, sensibilisation de l'équipe au phishing.
• Au plan assurantiel : une assurance cyber qui couvre la fraude financière, la restauration des systèmes, les pertes d'exploitation et la gestion d'une violation de données.

Ces trois plans se renforcent. Aucun assureur ne couvre durablement une étude qui néglige les bases techniques ; aucune mesure technique n'absorbe seule le coût d'un sinistre majeur. Pour un métier qui manie à la fois des fonds, des objets précieux et la confiance, articuler ces protections — y compris votre RC Professionnelle — n'est plus optionnel.