Le wifi partagé de votre coworking : un cheval de Troie pour 30 entreprises

Quand vous équipez votre espace de coworking d'un accès wifi, vous ne vendez pas seulement de la connectivité : vous mettez en relation, sur une même infrastructure, des dizaines d'entreprises qui ne se connaissent pas. Un cabinet comptable, une agence de communication, un développeur freelance, une filiale d'un grand groupe : tous transitent par le même routeur, parfois sur le même réseau local.

C'est là que se niche un risque que la plupart des gestionnaires sous-estiment. Sur un réseau mal conçu, l'ordinateur infecté d'un occupant — un poste contaminé par un rançongiciel reçu par e-mail — peut scanner le réseau et atteindre les machines des autres coworkers. La contamination croisée transforme une infection individuelle en incident collectif. Et c'est votre infrastructure qui aura servi de vecteur.

Le wifi de coworking est donc bien plus qu'un confort : c'est une responsabilité technique et juridique que vous endossez dès lors que vous fournissez l'accès. Vos occupants, eux, partent du principe que le réseau est sûr — c'est même un argument commercial implicite de votre offre. Cette confiance crée à votre égard une attente de sécurité que le droit ne néglige pas.

Pour comprendre l'enjeu, suivons le chemin d'une attaque sur un réseau mal segmenté :

1. Un occupant ouvre une pièce jointe piégée. Son poste est infecté par un logiciel malveillant.
2. Le malware sonde le réseau local à la recherche d'autres appareils vulnérables — imprimantes partagées, NAS, postes mal protégés.
3. Faute de cloisonnement entre occupants, il se propage de machine en machine.
4. Plusieurs entreprises voient leurs fichiers chiffrés ou leurs données exfiltrées. L'imprimante mutualisée et le serveur de stockage partagé tombent.
5. Les occupants découvrent que tous étaient sur le même segment réseau, sans isolation.

Les conséquences sont immédiates : interruption d'activité pour plusieurs entreprises, fuite potentielle de données clients, et une question qui se pose aussitôt — qui est responsable de l'absence de cloisonnement ? Le gestionnaire qui a fourni un réseau plat, sans isolation entre occupants, se trouve en première ligne.

Sur un réseau correctement segmenté, chaque occupant est isolé des autres — l'infection reste cantonnée à une seule machine. C'est la différence entre un incident et une catastrophe.

La parade technique existe : isolation des clients (client isolation), réseaux virtuels séparés (VLAN), réseau invité distinct du réseau de gestion, pare-feu à jour. Encore faut-il l'avoir mise en place.

Fournir un accès internet à des tiers n'est jamais neutre juridiquement. Trois obligations encadrent votre activité de fournisseur d'accès au sein de l'espace.

L'obligation de sécurisation. En tant que prestataire fournissant un service de connexion, vous êtes tenu à une obligation de moyens : mettre en œuvre des mesures de sécurité raisonnables et conformes à l'état de l'art. Un réseau plat, sans aucune segmentation, sans mot de passe robuste, sans mise à jour des équipements, peut être qualifié de négligence si un incident survient.

La conservation des données de connexion. Lorsque vous mettez un accès internet à disposition de tiers, vous pouvez être assimilé à un opérateur soumis à l'obligation de conserver certaines données de connexion (qui s'est connecté, quand). En cas d'usage illicite du réseau par un occupant — téléchargement illégal, cyberattaque émise depuis votre wifi — les autorités peuvent vous solliciter pour identifier la source.

Le RGPD. Dès lors que vous traitez des données personnelles (logs de connexion, comptes occupants, vidéosurveillance), vous êtes responsable de traitement : information des personnes, base légale, durée de conservation proportionnée, sécurité des données. Une fuite de données via votre réseau peut engager votre responsabilité au titre du RGPD, avec à la clé une obligation de notification à la CNIL sous 72 heures et un risque de sanction administrative.

Ces trois obligations se combinent et s'alimentent : un défaut de sécurisation du réseau facilite la fuite de données, laquelle déclenche les obligations RGPD, tandis que l'absence de logs vous empêche de démontrer votre diligence ou d'identifier l'origine de l'incident. Le gestionnaire qui néglige l'une fragilise les autres. À l'inverse, une infrastructure pensée dès l'origine pour la sécurité et la traçabilité vous met en position de prouver votre bonne foi en cas de litige — un atout décisif devant un juge comme devant la CNIL.

Beaucoup de gestionnaires pensent que leur RC Pro et leur multirisque couvrent tout. C'est inexact dès qu'on entre dans le domaine numérique.

La RC Pro couvre les dommages matériels et immatériels causés aux tiers dans le cadre de votre exploitation — un accident, une faute de prestation. Mais les conséquences propres d'une cyberattaque — frais de notification aux occupants victimes, expertise informatique, restauration des systèmes, gestion de crise, pertes d'exploitation liées à la panne réseau, sanctions et réclamations RGPD — relèvent d'une couverture spécialisée.

C'est le rôle de l'assurance cyber. Adaptée à un gestionnaire de coworking, elle prend en charge :

• les frais de gestion d'incident : intervention d'experts en sécurité, identification de la faille, remédiation ;
• les dommages aux tiers : indemnisation des occupants dont les données ou les systèmes ont été affectés via votre réseau ;
• l'interruption de service : compensation de la perte de revenus si votre infrastructure est paralysée et que les occupants ne peuvent plus travailler ;
• l'accompagnement RGPD : assistance dans la notification à la CNIL et aux personnes concernées en cas de violation de données.

Prenons un ordre de grandeur concret. Une attaque par rançongiciel se propageant sur un réseau non segmenté de 30 occupants peut générer : 8 000 à 15 000 € de frais d'expertise et de remédiation, plusieurs jours d'interruption pendant lesquels les occupants ne peuvent pas travailler (et réclament des avoirs sur leur abonnement), des réclamations de la part des entreprises dont les données ont fuité, et le coût de la notification CNIL. Sans couverture cyber, ces montants pèsent intégralement sur votre trésorerie, au moment précis où votre activité est paralysée.

Sur un risque où une seule attaque touche potentiellement des dizaines d'entreprises clientes, l'assurance cyber n'est pas un luxe : c'est le pendant logique du service réseau que vous vendez. Elle complète la multirisque professionnelle qui, elle, protège vos équipements physiques mais reste muette sur les dommages immatériels d'une cyberattaque.

La couverture cyber répond à l'incident ; la sécurisation technique le rend improbable. Voici les mesures attendues d'un gestionnaire diligent :

1. Isolez les occupants entre eux. Activez l'isolation des clients sur le wifi ou créez des VLAN distincts : chaque occupant ne doit pas voir les machines des autres.
2. Séparez réseau invité et réseau de gestion. Vos équipements internes (caméras, contrôle d'accès, serveur) ne doivent jamais cohabiter avec le wifi des coworkers.
3. Maintenez les équipements à jour. Routeurs, points d'accès et pare-feu doivent recevoir les correctifs de sécurité régulièrement.
4. Encadrez l'usage par un contrat. Une charte d'utilisation du réseau précise les responsabilités de chacun et rappelle que les occupants protègent leurs propres postes.
5. Conservez les logs conformément à la loi et au RGPD : durée proportionnée, accès restreint, information des occupants.
6. Sauvegardez les services mutualisés (NAS, imprimantes connectées) et segmentez-les.

Un réseau bien conçu protège vos occupants, votre responsabilité et la réputation de votre espace. Découvrez les garanties cyber et multirisque adaptées à votre activité sur notre page dédiée aux assurances pour espaces de coworking.