Le 12 août 2026, un pirate se faisant appeler ZeroBytes revendique sur un forum du dark web l’extraction de plus de 678 000 lignes de données fiscales depuis un outil interne de la Direction générale des Finances publiques (DGFiP), l’administration qui gère impots.gouv.fr.
L’intrusion, remontant à fin juin, est confirmée par l’administration le 14 août : noms, dates de naissance, adresses, revenus déclarés, taux de prélèvement à la source de 392 867 particuliers et 285 570 professionnels. Un précédent incident, entre janvier et février 2026, avait déjà exposé 1,2 million de comptes bancaires via le fichier FICOBA. Deux fuites confirmées, en moins de six mois, dans un système que l’on imaginait parmi les mieux protégés du pays.
Ce dernier épisode, largement repris dans la presse, a au moins un mérite : il rend visible un risque que l’on associe trop souvent aux seuls grands groupes. Face à ce même risque, une société peut disposer d’un outil, le contrat de cyber assurance, avec son accompagnement structuré en cas de crise. C’est ce que montre, à une tout autre échelle, le cas d’une PME alsacienne touchée quelques jours plus tard.
Le même risque, côté PME
Le 15 août 2026, Jone Précision, entreprise familiale installée à Haguenau et spécialiste de l’usinage pour l’aéronautique, l’automobile, l’énergie et le médical, apparaît à son tour sur le site du groupe de ransomware Qilin.
Les cybercriminels revendiquent l’exfiltration de 18 Go de données, 12 578 fichiers et potentiellement des documents techniques, commerciaux et des échanges avec des partenaires industriels. Le mode opératoire, la double extorsion, est désormais dominant : voler les données avant de menacer de les publier, pour maximiser la pression sur la victime. À ce stade, l’entreprise n’a pas communiqué publiquement sur l’ampleur réelle de la compromission, un silence fréquent chez les PME, qui n’ont ni service de presse ni obligation de communication immédiate, mais qui doivent malgré tout gérer la crise en coulisses.
Contrairement à un incendie ou une inondation, ce type de sinistre ne se voit pas. Pas de bâtiment détruit, pas d’image spectaculaire pour les médias et les réseaux sociaux, mais un risque tout aussi réel pour la survie de l’entreprise, ses clients et ses salariés. C’est précisément ce caractère invisible qui rend nécessaire de rappeler, très concrètement, l’utilité de l’assurance cyber face à ce type de menace.
Un risque qui ne touche plus seulement les grands groupes
Le cas de Jone Précision illustre un point de bascule documenté par l’ANSSI : 831 intrusions avérées ont été traitées par l’agence en 2025, contre 594 en 2024, et 54% des cyberattaques ciblent désormais les PME et les collectivités locales, des structures rarement dotées d’équipes de sécurité dédiées.
Le coût moyen d’une attaque par ransomware pour une PME française se situe entre 130 000 et 250 000 euros, interruption d’activité comprise, selon les estimations sectorielles ; l’assureur Hiscox l’évalue à 220 000 euros. Plus préoccupant encore : 60% des PME victimes d’une attaque sérieuse ferment dans les six mois qui suivent, faute de plan de continuité d’activité.
Pourquoi le mot « utilité » s’impose
Le mot ne renvoie pas qu’à une indemnisation après coup, mais à un accompagnement de bout en bout, avant, pendant et après l’incident. C’est ce qui distingue certains contrats de cyberassurance : Ils ne se contentent pas de réparer, mais structure la réponse à un événement pour lequel la plupart des PME n’ont ni les compétences ni les ressources internes.
Dans un scénario comme celui de Jone Précision, un contrat de cyberassurance peut mobiliser 3 leviers en simultané : une cellule de crise avec des experts en investigation numérique pour comprendre l’ampleur de l’attaque, un accompagnement juridique pour respecter les obligations de notification dans des délais requis, et une prise en charge financière de l’interruption d’activité, du coût de restauration des systèmes et, selon les contrats, des frais de négociation en cas de rançon. C’est cette combinaison technique, juridique et financière, qui fait toute l’utilité du contrat au moment où l’entreprise est le moins en mesure d’essayer d’improviser.
Rappels :
- L’obligation de notification sous 72 heures, un cadre qui pousse à l’anticipation. Depuis la loi LOPMI, les entreprises victimes d’une cyberattaque doivent déposer plainte dans les 72 heures suivant la connaissance de l’incident pour pouvoir être indemnisées par leur assurance dommages au titre du risque cyber. Ce délai serré transforme la préparation en amont, savoir qui contacter, quelles preuves conserver, quelle procédure suivre, en un facteur déterminant de l’indemnisation elle-même.
- NIS2, un nouveau standard qui redessine le marché de la cyberassurance. La directive européenne NIS2, en cours de transposition, élargit le périmètre des entités soumises à des obligations de cybersécurité renforcées, y compris via un effet de chaîne d’approvisionnement : une PME sous-traitante d’un grand donneur d’ordre peut se retrouver concernée sans le savoir. Les assureurs intègrent progressivement ces exigences dans leurs grilles tarifaires et leurs conditions de souscription, ce qui pousse indirectement les entreprises à renforcer leur hygiène numérique pour rester assurables.
- Le rôle des courtiers spécialisés, relais indispensable pour les PME peu équipées. Face à la technicité du risque cyber, les courtiers jouent un rôle d’intermédiaire déterminant : évaluation du niveau de maturité numérique de l’entreprise, orientation vers des dispositifs de prévention (EDR, sauvegardes déconnectées, tests d’intrusion) souvent proposés en partenariat avec l’assureur, et vulgarisation d’un langage contractuel technique. Pour une PME industrielle comme Jone Précision, ce relais peut faire la différence entre une couverture adaptée et une police souscrite sans réelle compréhension de ses limites.
Une tension qui reste entière
L’utilité de l’assurance cyber se heurte à une réalité : une large part des PME françaises reste non couverte, soit par méconnaissance du risque, soit par choix budgétaire, soit parce que le marché de l’assurance cyber lui-même est encore jeune et ses garanties parfois complexes.
La DGFiP et Jone Précision, deux organisations que tout oppose en taille et en moyens, touchées à quelques jours d’intervalle, rappellent une chose simple : la question n’est plus de savoir si une organisation sera un jour la cible d’une attaque, mais quand et avec quel niveau de préparation.
C’est là oû se loge l’utilité réelle de l’assurance cyber : non pas effacer le risque, ce qu’aucun contrat ne promet, mais essayer réduire le risque en amont (prévention) et transformer un événement potentiellement fatal en épreuve traversable (indemnisation et accompagnement).