Cybersécurité de la vente au détail en 2025 : tendances, risques et solutions

Le secteur de la vente au détail figure parmi les cinq industries les plus vulnérables aux cyberattaques, selon les données de Statista (en anglais), et les enjeux n'ont jamais été aussi élevés. Les cybercriminels d'aujourd'hui ne se contentent pas de voler des numéros de carte de crédit, ils ciblent des données personnelles sensibles et les flux de trésorerie massifs qui circulent dans les entreprises d’e-commerce.

Les conséquences peuvent être désastreuses. Des données clients compromises aux comptes bancaires vidés, en passant par des amendes réglementaires lourdes et des dommages à la réputation durables, une seule attaque peut mettre à genoux votre entreprise d'e-commerce. Votre meilleure défense est une protection solide.

Dans cet article, découvrez les dernières statistiques sur la cybersécurité dans le secteur de la vente au détail, les menaces courantes, les défis en matière de cybersécurité et comment y faire face, ainsi que les meilleures solutions pour protéger votre entreprise contre les cyberattaques.

Tendances et statistiques sur l'état de la cybersécurité de la vente au détail

La cybercriminalité a coûté au monde 9,5 trillions de dollars en 2024, d’après le rapport 2023 d’eSentire (en anglais). Ce chiffre dépasse les économies nationales de tous les pays, à l'exception des États-Unis et de la Chine.

IBM annonce que le coût moyen d'une violation de données s'élève à 4,88 millions de dollars (données en anglais). Les détaillants sont des cibles privilégiées, avec environ un quart des cybercrimes visant cette industrie (données Fortinet – en anglais).

Près de la moitié de tout le trafic sur les sites de vente au détail n'est même pas humain. Entre 2021 et 2022, environ 40 % du trafic sur les sites de vente au détail provenait de bots, des programmes automatisés capables de collecter des données clients, de tester des identifiants volés ou même de faire planter un site.

Ce ne sont pas seulement les grandes entreprises qui sont à risque. Accenture recense que 43 % de toutes les cyberattaques ciblent les petites entreprises, dont plus de 60 % sont contraintes de fermer dans les six mois suivant une violation (données en anglais).

Les propriétaires de magasins risquent de perdre des données, leur réputation, de l'argent, voire leur entreprise à cause des cyberattaques dans la vente au détail.

Quelles sont les menaces de cybersécurité les plus courantes dans la vente au détail aujourd'hui ?

Attaques de phishing par usurpation d'identité

Le phishing est une forme d'ingénierie sociale qui exploite l'erreur humaine plutôt que les faiblesses du réseau.

Les criminels utilisent de faux e-mails, messages ou appels pour se faire passer pour des personnes ou des marques de confiance, trompant les victimes pour qu'elles partagent des données, cliquent sur des liens ou téléchargent des logiciels malveillants.

Avec les données volées, les criminels commettent des vols d'identité, des fraudes par carte de crédit ou des prises de contrôle de comptes.

Le phishing est la plus grande préoccupation en matière de cybersécurité pour les détaillants en ligne. Selon le Rapport mondial sur les paiements et la fraude en commerce électronique 2023 de Cybersource (en anglais), le phishing représentait 43 % de toutes les attaques en 2023, contre 35 % en 2022.

Infiltration de logiciels malveillants et vol de données

Les logiciels malveillants (ou malwares), tels que les chevaux de Troie et les virus, sont utilisés pour accéder ou voler des données sensibles des clients. Ils infiltrent les systèmes de vente au détail via des téléchargements de logiciels tiers, des e-mails de phishing contenant des liens ou des pièces jointes compromises, ou des vulnérabilités de la chaîne d'approvisionnement.

Une fois dans un réseau, les malwares peuvent voler des informations clients telles que les détails de carte de crédit, les identifiants de connexion et les données financières. Les systèmes de point de vente (PDV) sont particulièrement vulnérables.

En 2013, des malwares ont infiltré le système PDV de Target et volé plus de 40 millions de numéros de cartes de débit et de crédit. L'entreprise a dû payer 18,5 millions de dollars (article de Red River – en anglais).

Chiffrement par ransomware et demandes de rançon

Les ransomwares sont utilisés par les criminels pour chiffrer les données de l'entreprise et exiger un paiement de rançon pour le déchiffrement.

De nombreuses entreprises acceptent de payer plutôt que de perturber leurs opérations trop longtemps. C'est une menace majeure dans 92 % des secteurs, avec une perte moyenne de 46 000 dollars pour celles qui paient, selon le rapport de Verizon Business (en anglais).

Sophos News rapporte qu’en 2023, 69 % des entreprises de vente au détail ont été confrontées à des attaques par ransomware, avec 71 % des attaquants réussissant à chiffrer les données (article en anglais). Seules 26 % des entreprises ont pu stopper les attaques avant le chiffrement.

Attaques DDoS pour perturber le service

Les attaques par déni de service distribué (DDoS) se produisent lorsque des attaquants inondent des sites web de trafic en utilisant des botnets (réseaux de machines infectées), créant des temps d'arrêt et des pertes de revenus.

Près de la moitié du trafic des sites de vente au détail provient de bots et d'automatisation malveillante, selon les données d’Internet Retailing (en anglais). Pendant les attaques DDoS, les acheteurs ne peuvent pas accéder à un site, entraînant une perte d'affaires et des dommages à la réputation.

Dans l’e-commerce, le célèbre Grinch bot est connu pour accaparer les stocks pendant la période des fêtes, rendant difficile pour les clients d'acheter des articles populaires en ligne.

Vulnérabilités des applications web pour le vol de données

Les hackers exploitent les faiblesses des plateformes d’e-commerce pour voler des informations clients par injection de code malveillant, manipulation de requêtes de base de données ou falsification de cookies.

Les cyberattaquants vendent généralement 65 % de ces identifiants volés à des forums criminels dans les 24 heures suivant leur collecte (Rapport de Verizon Business – en anglais). Les informations des clients et des employés sont constamment à risque, et une attaque réussie peut gravement nuire à la réputation d'une entreprise.

Manipulation par ingénierie sociale

L'ingénierie sociale utilise des tactiques telles que le spear phishing (attaques de phishing ciblées) et le whaling (phishing visant des cadres supérieurs) pour tromper quelqu'un dans une entreprise afin qu'il révèle des informations sensibles ou accorde un accès au réseau.

Pour donner une idée de combien cela peut coûter, le compromis de courrier professionnel (BEC) peut entraîner une perte médiane d'environ 50 000 dollars (Rapport de Verizon Business – en anglais).

Vulnérabilités des logiciels de la chaîne d'approvisionnement

Les attaques de la chaîne d'approvisionnement sont dangereuses, car elles peuvent cibler plusieurs détaillants via un seul fournisseur en exploitant des vulnérabilités dans des logiciels tiers. Ainsi, si un fournisseur n'a pas de sécurité solide en place, le réseau d'une entreprise est vulnérable face aux attaques.

La dépendance des entreprises d’e-commerce aux services tiers pour le traitement des paiements, la gestion de la chaîne d'approvisionnement et le support client crée des points faibles potentiels. Ces attaques ont augmenté de 742 % entre 2019 et 2022, d’après les données du Cyber Resilience Centre for the East Midlands (en anglais).

Les défis de la cybersécurité dans la vente au détail et comment les surmonter

Fuites de données

Les fuites de données se produisent lorsque des informations sensibles sont exposées à des parties non autorisées, souvent en raison de lacunes de sécurité ou d'erreurs humaines. Cela peut être des données clients, des dossiers financiers ou des informations commerciales confidentielles.

Le secteur de la vente au détail est particulièrement vulnérable, se classant au troisième rang en termes de susceptibilité aux fuites de données (données Retail Insight Network – en anglais). Plus inquiétant encore, le rapport de Wifi Talents (en anglais) indique que 82 % des acheteurs déclarent qu'ils cesseront d'interagir en ligne avec des marques après une violation de données.

Des pratiques de cybersécurité faibles, des identifiants mal sécurisés, des erreurs humaines et des vulnérabilités tierces sont des causes courantes de violations de données dans le commerce de détail. Le Rapport sur les enquêtes de violations de données 2024 de Verizon (en anglais) révèle que 68 % des violations impliquaient un élément humain, tandis que 32 % impliquaient des ransomwares ou de l'extorsion.

Mesures à prendre :

• Chiffrer les données sensibles pour empêcher les cybercriminels d'utiliser les informations divulguées.
• Évaluer régulièrement les fournisseurs tiers pour vérifier leur conformité aux normes de cybersécurité.
• Maintenir la conformité avec des réglementations telles que le PCI-DSS et le RGPD.
• Utiliser des logiciels de prévention des pertes de données (DLP) pour surveiller et contrôler les transferts de données.
• Former les employés à la prévention des violations de données et à la cybersécurité dans le secteur de la vente au détail.

Écart de compétences en cybersécurité

La main-d'œuvre mondiale en cybersécurité manque d'environ quatre millions de professionnels, d’après We Forum (en anglais), et cet écart devrait se creuser à mesure que la demande de compétences en cybersécurité continue de dépasser l'offre.

Le secteur de l’e-commerce souffre également de cet écart de compétences, ce qui rend difficile la protection des données des acheteurs et le maintien de la sécurité des opérations.

Verizon indique que 68 % des violations de données sont dues à des erreurs humaines, ce qui signifie que la formation des employés doit figurer en tête de votre liste (rapport en anglais).

Mesures à prendre :

• Investir dans de bons programmes de perfectionnement pour votre personnel informatique.
• Utiliser des outils de sécurité alimentés par l'IA pour compléter les capacités humaines.
• Soutenir les employés dans l'obtention de certifications liées à la cybersécurité dans la vente au détail.
• Offrir une rémunération compétitive aux recrues en cybersécurité et encourager la diversité dans le recrutement.
• Créer des équipes interfonctionnelles pour sensibiliser à la cybersécurité au sein de l'organisation.
• Investir dans la préparation après une violation de données (75 % de l'augmentation des coûts liés à une violation de données proviennent de la perte d'affaires et des activités de réponse après violation).

Attaques d'applications web

Les attaques d'applications web exploitent les faiblesses des sites d’e-commerce, des systèmes de gestion de contenu et des portails clients. Environ 34 % des attaques d'applications web et d'API ciblent le commerce, notamment le secteur de la vente au détail (données Akamai – en anglais).

Plus de 70 % des vulnérabilités proviennent de défauts dans le codage des applications web. D'autres vulnérabilités incluent des systèmes hérités obsolètes, des JavaScript tiers non sécurisés et un accès réseau trop permissif.

Mesures à prendre :

• Utiliser des pratiques de codage sécurisé et effectuer des revues de code régulières.
• Maintenir tous les logiciels, en particulier les systèmes hérités, à jour et corrigés.
• Limiter et examiner soigneusement l'utilisation de JavaScript tiers.
• Utiliser des pare-feu d'application web (WAF) pour détecter et bloquer le trafic malveillant.
• Mettre en œuvre des mesures d'authentification robustes, notamment l’identification à deux facteurs.

Menaces internes

Les menaces internes sont des risques posés par des personnes au sein d'une organisation (des employés, des contractuels ou des partenaires). Ces menaces peuvent être malveillantes (dommages intentionnels pour un gain personnel) ou négligentes (dommages non intentionnels dus à l'imprudence ou au manque de sensibilisation).

Par exemple, un employé mécontent peut accéder aux informations de carte de crédit des clients et les vendre sur le Dark Web, ou un collègue négligent peut se connecter aux systèmes de l'entreprise via des réseaux Wi-Fi publics non sécurisés.

Détecter les menaces internes est difficile, car ces personnes ont un accès légal aux systèmes et aux données de l'entreprise. Ainsi, les outils de sécurité traditionnels comme les pare-feu sont souvent inefficaces contre ces menaces.

Proof Point montre qu’en 2022, le coût moyen pour faire face aux menaces internes a augmenté de 62 % d'une année sur l'autre, atteignant 16,56 millions de dollars (article en anglais).

Mesures à prendre :

• Effectuer des évaluations régulières des droits d'accès des employés.
• Mettre en place des contrôles d'accès stricts pour s'assurer que les personnes n'ont que l'accès minimum nécessaire.
• Utiliser un modèle de sécurité zero trust, qui considère chaque utilisateur et appareil comme potentiellement non fiable jusqu'à ce qu'ils aient été vérifiés.
• Appliquer des analyses avancées et de l'apprentissage automatique pour suivre le comportement des utilisateurs et repérer des modèles suspects.

Appareils IoT

Une cyberattaque sur un appareil de l'Internet des objets (IoT) se produit lorsque les faiblesses des dispositifs de vente au détail connectés sont exploitées. Ces attaques ciblent des dispositifs intelligents tels que les systèmes de point de vente (PDV), les traceurs d'inventaire, les caméras de sécurité, les panneaux d'affichage numériques, les étagères intelligentes et les étiquettes RFID.

Les cybercriminels peuvent compromettre ces dispositifs pour accéder de manière non autorisée à des données sensibles, perturber les opérations ou les utiliser comme points d'entrée dans votre réseau plus large.

Environ 57% des appareils IoT sont sujets à des attaques de gravité modérée ou élevée, ce qui montre pourquoi il est crucial de prendre d’importantes mesures de sécurité (données de Syndell – en anglais).

Mesures à prendre :

• S'assurer que les dispositifs IoT reçoivent des mises à jour régulières de logiciels et de firmware pour corriger les vulnérabilités et se protéger contre les menaces connues.
• Utiliser des méthodes d'authentification robustes et des contrôles d'accès.
• Séparer les dispositifs IoT des systèmes critiques de l'entreprise par le biais de la segmentation du réseau, afin que les intrus potentiels ne puissent pas accéder à l'ensemble du réseau.

Fraude en ligne

En 2023, la fraude en ligne a entraîné environ 48 millards de dollars de pertes annuelles, selon les données de Juniper Reseach (en anglais), les entreprises se voyant perdre 2,9 % de leurs revenus en conséquence, comme l’indique le rapport de Cybersource (en anglais).

Voici quelques types courants de fraude en ligne qui peuvent affecter une entreprise :

• Prise de contrôle de compte (ATO) : Les attaquants utilisent des identifiants volés pour pirater des comptes clients, effectuer des achats non autorisés ou voler des informations personnelles.
• Fraude par rétrofacturation (fraude amicale) : Les clients contestent des frais légitimes pour obtenir des remboursements, souvent après avoir reçu le produit. Plus d’un tiers des détaillants subissent des fraudes amicales (Rapport de Cybersource – en anglais). Pour chaque 100 € de fraude amicale, les organisations de vente au détail dépensent en frais de contestation.
• Fraude de paiement : Paiements non autorisés effectués avec des cartes de crédit volées. Exploding Topics recense qu’environ 43 % des consommateurs ont été victimes de fraude de paiement (article en anglais).
• Fraude d'interception : Les fraudeurs commandent des colis avec une carte volée et l'adresse de facturation et de livraison correspond à celle de la carte. Ils interceptent ensuite les colis avant qu'ils n'atteignent l'acheteur, souvent en changeant l'adresse de livraison en appelant le service client ou la société de livraison.

Mesures à prendre :

• Éduquer les clients sur les tactiques courantes de fraudes dans l’e-commerce.
• Effectuer des vérifications de vérification de carte et d'identité.
• Analyser l'historique des commandes des clients pour détecter des modèles de transactions suspects. Utiliser des systèmes de détection de fraude alimentés par l'IA, qui utilisent des algorithmes d'apprentissage automatique pour examiner les modèles de transactions en temps réel.
• Appliquer l'identification à deux facteurs, l'authentification 3D Secure (3DS) et la tokenisation des paiements pour ajouter des couches supplémentaires de sécurité aux transactions.
• Investir dans des solutions de plateforme e-commerce intégrées comme Shopify Protect et Shopify Payments, qui disposent d'analyses de fraude intégrées et de protections contre les rétrofacturations.
• Collaborer avec des fournisseurs, des banques et des processeurs de paiement pour lutter ensemble contre la fraude.

Récents incidents de violation de données dans la vente au détail

Forever 21

Le détaillant de vêtements et d'accessoires Forever 21 a subi une violation de données (article en anglais) entre janvier et mars 2023, touchant plus d'un demi-million d’employés, anciens et actuels.

Un tiers non autorisé a eu accès à des informations sensibles (des noms, des dates de naissance, des numéros de Sécurité sociale, des numéros de compte bancaire et des détails sur le plan de santé de Forever 21).

L'entreprise a assuré aux personnes concernées que les données volées avaient été effacées après la violation, qui serait le résultat d'une attaque par ransomware.

Forever 21 a offert aux victimes une année de protection gratuite contre la fraude et le vol d'identité.

Neiman Marcus

Le grand magasin de luxe Neiman Marcus a signalé une violation de données (article en anglais) en mai 2024. La violation, partie d'un incident plus large impliquant la société de stockage cloud Snowflake, a exposé les noms des clients, leurs coordonnées, leurs dates de naissance et les numéros de cartes-cadeaux. Les codes PIN des cartes de paiement n'ont apparemment pas été compromis.

Un hacker nommé Sp1d3r aurait exigé une rançon du détaillant, que ce dernier a refusée. Le hacker aurait vendu la base de données pour 150 000 dollars (article en anglais), affirmant qu'elle contenait des informations supplémentaires telles que des numéros de Sécurité sociale partiels.

Le fondateur de Have I Been Pwned, Troy Hunt, a analysé les données, révélant que plus de 31 millions d’adresses e-mail de clients avaient été compromises lors de ce piratage.

Neiman Marcus a subi plusieurs violations de données au cours de la dernière décennie, notamment en 2013, 2015 et 2020.

Les meilleures solutions de cybersécurité de la vente au détail

Shopify PDV

Shopify PDV offre plusieurs fonctionnalités pour aider les détaillants à prévenir les accès non autorisés et à garantir la conformité lors du traitement des ventes en personne. Celles-ci incluent :

• Permissions du personnel : Définissez des permissions spécifiques pour les membres du personnel afin de contrôler leur accès à Shopify PDV. Le personnel doit disposer des permissions nécessaires pour se connecter et utiliser l'application PDV.
• PIN du personnel : Chaque membre du personnel utilise un PIN unique de 4 à 6 chiffres pour accéder à l'application Shopify PDV. Chaque transaction est liée à l'employé qui l'a traitée, ce qui rend chacun responsable.
• Réentrée du PIN pour la sécurité : Lors d'une transaction, si une erreur se produit ou si le paiement est annulé, le membre du personnel doit réintroduire son PIN. Cela empêche tout accès non autorisé pendant le processus de paiement.

Vous pouvez créer des rôles PDV personnalisés définissant les actions des membres du personnel au sein de l'application PDV. Par exemple, vous pourriez créer un rôle de « Vendeur Junior » qui peut traiter des ventes standard et vérifier l'inventaire, mais qui nécessite l'approbation d'un responsable pour des remboursements supérieurs à 50 € ou pour appliquer des remises supérieures à 10 %.

En revanche, un rôle de « Superviseur » aurait la permission de traiter tous les remboursements jusqu'à 200 €, de modifier les quantités d'inventaire et d'approuver les remises pour le personnel.

💡Remarque : Le personnel ayant des permissions limitées ne peut pas accéder au PDV à moins qu'un membre du personnel disposant des permissions appropriées ne se connecte d'abord, ce qui ajoute une couche de sécurité supplémentaire.

Shopify Protect

Shopify Protect fonctionne en collaboration avec Shop Pay (l'option de paiement accéléré de Shopify) pour offrir une protection complète contre la fraude et les rétrofacturations pour les entreprises d’e-commerce. Ce duo puissant offre un processus de paiement qui convertit 1,72 fois plus que les méthodes de paiement standard.

Sur sa plateforme, Shopify fournit des mesures de sécurité robustes, dont le chiffrement SSL, la protection contre les attaques DDoS et le respect strict de la norme PCI DSS.

Lacework

Lacework propose une solution de sécurité cloud unifiée qui protège les applications web tout au long de leur cycle de vie. Grâce à un apprentissage automatique avancé, elle détecte avec précision des activités inhabituelles et regroupe les alertes connexes, réduisant ainsi la surcharge de notifications et permettant aux équipes de cybersécurité de se concentrer sur les problèmes critiques.

Lacework s'intègre avec les principales plateformes cloud telles qu'AWS, Azure et Google Cloud, soutenant les entreprises dans l'utilisation sécurisée de la technologie cloud.

Arctic Wolf

Arctic Wolf propose des opérations de sécurité cloud natives qui soutiennent les entreprises de toutes tailles, avec plus d’un million d'utilisateurs licenciés selon Lightspeed (en anglais) et 4 000 clients dans le monde (données de Cyber Defense Magazine – en anglais).

Sa visibilité complète à travers les points de terminaison, les réseaux et les clouds élimine les angles morts, garantissant qu'aucune menace potentielle ne passe inaperçue. Le Cloud des opérations de sécurité d'Arctic Wolf analyse des milliards d'événements de sécurité chaque semaine, soutenant une détection rapide des menaces et une réponse efficace.

CyberArk

Fidèle à plus de la moitié des entreprises du Fortune 500, CyberArk est un leader en matière de sécurité de l’identité. Il offre un équilibre entre des mesures de sécurité strictes et des solutions conviviales pour les entreprises et les particuliers.

CyberArk excelle dans la protection des comptes personnels et automatisés. Cela aide les utilisateurs à accéder aux ressources et aux environnements de travail en toute sécurité depuis n'importe quel endroit et appareil.

Protégez votre commerce de détail contre les menaces de cybersécurité

Une seule attaque de cybersécurité dans le commerce de détail peut ruiner votre réputation, poussant potentiellement 4 acheteurs sur 5 (données de Wifi Talents – en anglais) à partir et votre entreprise à faire face à un avenir incertain.

Investir dans une cybersécurité robuste de la vente au détail vous offre des avantages immédiats et à long terme, tels que la réduction des pertes de revenus, l'amélioration de la réputation de la marque et le renforcement de la fidélité des clients.