Cybersécurité : quand l'atelier devient une cible

C’est un fait : plus les ateliers se connectent, plus ils s’exposent aux cyberattaques. En 2025, le secteur du commerce et de la réparation d’automobiles et de motocycles représentait 8 % des violations de données notifiées à la CNIL, ce qui en fait le cinquième secteur le plus touché. Au total, l’autorité a enregistré 6 167 violations de données sur l’année, dont une sur deux relevait d’un piratage. Un chiffre qui ne reflète toutefois qu’une partie de la réalité, puisqu’il ne recense pas l’ensemble des cyberattaques subies par les entreprises…

L’atelier multiplie les portes d'entrée

L’après-vente automobile est directement exposée à cet essor de la cybermenace. La numérisation croissante des ateliers s’accompagne en effet d’une explosion du volume de données traitées au quotidien. "Aujourd’hui, un garage travaille avec de nombreux outils numériques : logiciels de gestion, facturation, et surtout un accès au système d’immatriculation des véhicules (SIV)", souligne Bruno Choix, vice-président de la FNA. Le risque ne vient plus seulement d’un logiciel isolé, mais de la multiplication des équipements et services connectés. Valise de diagnostic, outil de gestion en SaaS ou simple messagerie professionnelle : l’interconnexion de ces solutions élargit la surface d’attaque des entreprises. Les données qu’elles hébergent attisent aussi les convoitises et peuvent ensuite alimenter des circuits de revente frauduleux.

Au-delà des infrastructures informatiques, les accès détenus par les réparateurs constituent eux-mêmes une cible. "Ce qui intéresse les fraudeurs, ce sont d’abord les accès. Un garage possède des données clients, des coordonnées, des informations administratives, parfois des données bancaires", poursuit Bruno Choix. Plusieurs piratages récents illustrent cette tendance. En décembre 2024, 78 000 clients du service de location de Norauto avaient été touchés. Leurs noms, prénoms, adresses électroniques et numéros de téléphone avaient notamment été récupérés. Plus récemment, France Pare-Brise et France Casse ont également été victimes de fuites de données. Des milliers de dossiers comprenant des informations d’assurance, d’identité et de cartes grises ont été dérobés. "La seule cible des assaillants était les données clients. Probablement pour les revendre par la suite", indique Benoît Matagrin, directeur marketing de France Casse.

Les petits garages également dans le viseur

Ces attaques ne concernent plus uniquement les grandes structures. À la prolifération des outils connectés s’ajoute une autre évolution : l’essor de l’intelligence artificielle, qui abaisse les barrières techniques et permet d’industrialiser les offensives. "L’arrivée de l’IA entraîne la formation de véritables usines à attaques qui font de la pêche au gros, mais qui touchent tout autant les PME", constate Dorothée Depros, déléguée générale d’Hexatrust. Au cours des douze derniers mois, 16 % des TPE-PME ont ainsi déclaré avoir subi au moins un incident de nature cyber, selon les données de la FNA.

Moins armées financièrement et techniquement que les grands réseaux et groupements de distribution, ces entreprises constituent souvent des cibles vulnérables, alors même que le risque y demeure largement sous-estimé. "Dans un garage de quelques salariés, c’est souvent le chef d’entreprise lui-même qui gère l’informatique, en plus de l’activité commerciale et technique", rappelle Bruno Choix.

Du blocage d'activité...

Le cas du garage Désert, situé à Saint-Rémy-sur-Orne (14), illustre concrètement cette exposition. L’établissement a été victime d’une cyberattaque entre le 17 novembre et le 5 décembre 2025. Si l’enquête n’a révélé aucun vol de données clients, les conséquences sur sa trésorerie ont été immédiates.

Après un piégeage via un lien frauduleux, deux prélèvements d’un montant total de 226 000 euros ont été effectués, alors que l’établissement ne réalise qu’une dizaine de cartes grises par mois pour un montant habituel d’environ 640 euros. "Aujourd’hui, les 226 000 euros sont gelés et les relances ont été suspendues, mais nous ne savons toujours pas comment le dossier va se terminer. Si cette somme devait rester à notre charge, ce serait la mort de notre activité", s’inquiète Maryline Désert, codirigeante du garage.

Les répercussions économiques dépassent la seule trésorerie. L’établissement a dû annuler le recrutement d’un mécanicien et reporter plusieurs investissements. L’incident a également profondément modifié son rapport au SIV. "Après ce que nous avons vécu, nous ne voulons plus prendre le risque de reprendre une habilitation SIV. C’est devenu une énorme charge mentale", poursuit-elle.

...À la perte de confiance

Une cyberattaque peut aussi aller jusqu’à paralyser l’outil de travail. "Ça peut aller jusqu’à l’arrêt total de l’activité", souligne Julien Gourbere, chef de projet cybersécurité chez Mobilians. L’éditeur de logiciels Solware en avait fait l’expérience lors du piratage de sa plateforme SaaS en 2021. Privés d’accès à leur outil de gestion, des centaines d’ateliers s’étaient retrouvés du jour au lendemain dans l’impossibilité de commander des pièces, d’éditer des factures ou d’établir le moindre devis pendant plusieurs semaines.

À ces conséquences opérationnelles s’ajoute un autre risque : celui de voir la confiance des clients durablement altérée. Lorsqu’une violation de données personnelles présente un risque important, l’entreprise peut aussi devoir informer les personnes concernées que leurs informations ont été compromises. Une situation particulièrement délicate lorsque les données en question comprennent des cartes grises, des informations d’identité ou des coordonnées bancaires. "Au-delà de l’aspect financier, l’impact le plus significatif a été sur la confiance de nos clients : certains d’entre eux ont fait le choix de fermer leur compte à la suite de cet épisode", témoigne Benoît Matagrin. Victime d’une fuite ayant touché 3,3 millions de comptes, France Casse avait dû fermer l’ensemble de ses services pendant plusieurs heures pour contenir l’attaque.

Les attaques changent d'échelle

Cette multiplication des cyberattaques dans l’après-vente automobile s’explique aussi par l’évolution des techniques utilisées. "Avant, les attaques se faisaient de façon manuelle, ciblée. Aujourd’hui, elles sont généralisées et systémiques", résume Dorothée Depros. Au premier rang des menaces figure le ransomware. Selon le dernier rapport d’Upstream Security, les attaques par rançongiciel ont représenté 44 % des cyberattaques automobiles recensées en 2025, une proportion qui a doublé en un an.

Les principaux modes d’entrée restent néanmoins souvent les mêmes : hameçonnage via le SIV, liens malveillants ou ingénierie sociale. "Les cybercriminels ne recherchent pas nécessairement une faille informatique très sophistiquée. Un faux mail, un faux appel téléphonique ou une usurpation d’identité peuvent suffire à obtenir des identifiants", observe Bruno Choix.

L’IA change la donne

Surtout, avec l’essor de l’intelligence artificielle, ces pratiques gagnent en crédibilité. Là où les tentatives d’hameçonnage pouvaient autrefois être repérées grâce à une adresse suspecte, des fautes grossières ou un logo approximatif, l’IA permet aujourd’hui de générer en quelques minutes des courriels convaincants ou des répliques très proches de sites internet d’ateliers, d’assureurs ou de loueurs. "Désormais, il faut vraiment y regarder à deux fois avant de cliquer", met en garde Dorothée Depros. Il devient ainsi plus difficile pour les professionnels de distinguer une demande légitime d’une tentative de fraude. "L’essor des outils d’intelligence artificielle a considérablement abaissé la barrière technique pour mener ce type d’attaque, ce qui explique en partie la multiplication des tentatives observées sur de très nombreux sites ces derniers mois", souligne Benoît Matagrin.

Les cybercriminels disposent également de stratégies d’infiltration plus variées, notamment avec les attaques par rebond. L’objectif consiste alors à compromettre un fournisseur, un sous-traitant ou une filiale pour atteindre ensuite l’entreprise visée. "On a eu plusieurs cas de personnes qui se sont fait passer pour le comptable de l’entreprise, ou de messages piégés arrivant directement de la boîte mail d’un fournisseur", illustre Julien Gourbere.

Cette propagation d’un maillon à l’autre rappelle qu’aucune entreprise ne peut envisager sa cybersécurité de manière totalement isolée. Face à des attaques plus nombreuses et plus crédibles, la protection informatique ne peut donc plus se limiter à une réaction d’urgence après un incident. Elle devient progressivement une politique permanente, associant investissements, procédures et sensibilisation des équipes.

Se protéger devient un investissement permanent

Après son piratage du 20 juillet 2026, France Casse a ainsi profondément revu son dispositif de sécurité informatique. L’entreprise a lancé un audit, renforcé la surveillance de ses systèmes et sécurisé davantage ses accès. Elle a aussi modifié la manière dont ses outils sont développés.

Chaque nouvelle version fait à présent l’objet de revues de code et de tests automatisés destinés à détecter certaines failles avant sa mise en ligne. Les développeurs ont été sensibilisés en priorité, et France Casse prévoit d’étendre progressivement cette démarche à l’ensemble de ses salariés.

Le sujet reste piloté en interne par la direction technique, avec l’implication directe de Benoît Matagrin. L’entreprise n’a pas fait appel à un prestataire extérieur pour gérer sa sécurité au quotidien. Elle ne précise pas combien ces changements lui ont coûté, mais la cybersécurité figure désormais parmi les dépenses prévues chaque année. "La sécurité informatique est devenue un poste d’investissement récurrent et prioritaire pour France Casse, et non plus une dépense ponctuelle liée à un incident isolé", explique son directeur marketing.

Tous les professionnels ne disposent évidemment pas des mêmes moyens. "Un grand groupe a des verrous partout, des logiciels, un service de sécurité informatique qui peut appeler ou envoyer des mails d’alerte. Un petit garage, lui, n’a pas tout ça", rappelle Bruno Choix. Pour ces petites structures, la FNA recommande notamment, lorsque c’est possible, de réserver un ordinateur aux seules opérations liées au SIV et de retirer le certificat numérique après chaque carte grise. Elle oriente aussi les professionnels vers Cybermalveillance.gouv.fr, les prestataires labellisés ExpertCyber ou les dispositifs de l’ANSSI afin d’être accompagnés en cas d’incident et de mieux protéger leurs systèmes.

Obligation de corriger les habitudes

Depuis 2025, la fédération met aussi à disposition de ses adhérents une documentation détaillant la marche à suivre en cas de cyberattaque. Elle recense les alertes au phishing et indique être en contact régulier avec les services du ministère de l’Intérieur. Lorsqu’un adhérent est victime, ses services juridiques et métiers peuvent intervenir dès la constatation de la fraude et l’accompagner jusqu’aux éventuels recours.

Au garage Désert, les ordinateurs saisis pendant l’enquête ont été remplacés par de nouveaux postes dotés d’antivirus plus performants. Maryline Désert n’est pas en mesure de chiffrer le coût de cette remise à niveau. Après la fraude, la FNA a également épaulé l’établissement dans ses démarches. Bruno Choix s’est notamment déplacé auprès de la dirigeante quelques jours après la découverte de l’ampleur des sommes réclamées.

La multiplication des attaques contraint ainsi l’après-vente à revoir ses habitudes. Car si les grandes structures disposent de moyens conséquents pour se défendre, les structures plus modestes restent particulièrement exposées. Pour elles, la première protection repose souvent moins sur des systèmes sophistiqués que sur des procédures simples et la capacité des équipes à repérer une tentative de fraude avant qu’il soit trop tard.

------------------------------------

Mobilians et Hexatrust s'allient pour démocratiser la cybersécurité

Face à la numérisation croissante des ateliers et des véhicules, Mobilians et Hexatrust ont officialisé, le 27 janvier 2026, un partenariat destiné à mieux accompagner les professionnels de la mobilité face aux cybermenaces. Parmi les outils mis en avant figure HexaDiag, un portail d’autodiagnostic de cybersécurité développé par Hexatrust. Accessible gratuitement et fondé sur les référentiels de l’ANSSI, il permet aux chefs d’entreprise d’évaluer leur niveau de maturité numérique et d’identifier leurs principales vulnérabilités. Le dispositif comprend également HexaSearch, qui permet de rechercher des partenaires spécialisés à proximité. L’accord prévoit en parallèle des actions de sensibilisation et de formation adaptées aux TPE-PME du secteur. Un suivi annuel et la nomination de référents au sein des deux structures doivent assurer le pilotage du dispositif.

------------------------------------

Cyberattaque : CNIL, ANSSI... qui prévenir ?

Une violation de données personnelles ne doit pas systématiquement être notifiée à la CNIL. Cette obligation dépend du risque qu’elle fait peser sur les personnes concernées. Lorsque la fuite de noms, d’adresses, d’adresses électroniques ou de numéros de téléphone est susceptible d’entraîner une fraude, une usurpation d’identité ou une perte financière, l’entreprise doit effectuer une notification auprès de la CNIL dans un délai de 72 heures.

Lorsqu’un ordinateur est piraté, qu’un logiciel est bloqué ou qu’une entreprise est victime d’un ransomware, les TPE-PME peuvent également se tourner vers 17Cyber. Ce service aide les professionnels à identifier la nature de l’incident et leur indique les premières démarches à effectuer. Le CERT-FR, service de l’ANSSI, peut aussi recevoir les signalements d’incidents cyber. En cas de fraude, de vol d’identifiants ou d’usurpation liée au SIV, un dépôt de plainte auprès de la police ou de la gendarmerie peut également être nécessaire. Les courriels, captures d’écran, fichiers reçus ou messages envoyés par les pirates doivent alors être conservés afin de préserver les éléments utiles à l’enquête.

Par Lucas Autréau et Charlotte Morvan