Le 25 septembre 2026, la presse spécialisée française de la cybersécurité publie la même alerte à quelques heures d’intervalle. FrenchBreaches annonce que Réassurez-moi, courtier et comparateur en ligne d’assurance emprunteur établi à Paris, a été victime d’un incident de cybersécurité ayant entraîné l’exfiltration de données personnelles de certains de ses utilisateurs. Dans une communication adressée aux personnes concernées et consultée par l’observatoire, le courtier y indique qu’un accès non autorisé à l’un de ses outils a été détecté et que des données personnelles ont été exfiltrées le 13 septembre Le même jour à 18 h 45, Fuites Infos confirme la fuite après un accès non autorisé et précise qu’il s’agit d’un courtier et comparateur en ligne d’assurance emprunteur parisien, sans que le nombre de personnes touchées soit communiqué à ce stade. L’entreprise dit avoir interrompu l’accès litigieux, sécurisé ses systèmes et entrepris d’identifier précisément les informations compromises.

Ce qui donne à cette alerte sa portée professionnelle, c’est la nature des données visées. Selon la communication du courtier, les informations potentiellement concernées comprennent les adresses postales, les adresses électroniques et les numéros de téléphone, la situation familiale et la profession, les demandes de devis d’assurance, des informations sur des projets de financement, la banque ayant accordé un prêt, le montant du prêt et son taux d’intérêt, parfois le numéro d’un précédent contrat d’assurance emprunteur, ainsi que certaines données de connexion et de navigation. Autrement dit, le dossier de financement d’un emprunteur, avec l’identité de sa banque et les chiffres de son crédit, se retrouve entre des mains inconnues. Pour une entreprise qui a emprunté pour acheter ses murs, financer son outil de production ou porter une opération immobilière par une société civile immobilière, et dont le dirigeant s’est assuré à ce titre, l’exposition n’est pas abstraite : elle touche la relation bancaire, la preuve des garanties et la sécurité des ordres de paiement.

La réponse pour une entreprise de la chaîne tient en trois réflexes. D’abord, vérifier les garanties : retrouver ses attestations d’assurance emprunteur, contrôler que les contrats apportés par le courtier restent exécutés par les compagnies qui les portent, et s’assurer que la banque prêteuse ne pourra pas se prévaloir d’un défaut de couverture. Ensuite, traiter l’exposition : surveiller les usages frauduleux des données financières volées — sollicitations ciblant le dirigeant, la comptabilité ou la banque — et verrouiller les canaux d’ordres, car un dossier qui réunit l’identité, la banque, le montant et le taux d’un prêt rend les messages frauduleux très crédibles. Enfin, écrire avant de sanctionner : exiger du courtier le périmètre exact des données concernant l’entreprise, les mesures prises et un calendrier, puis mettre en demeure sur le fondement des contrats avant de suspendre, de résilier ou de réclamer, car chaque branche de sanction suppose ses formes. Trois réserves s’imposent d’emblée : le périmètre exact varie selon les personnes et le courtier n’a pas communiqué de nombre de victimes ; l’incident concerne l’un de ses outils et l’enquête sur son étendue était encore en cours au 25 septembre 2026, de sorte que la situation peut évoluer ; et aucune règle générale ne remplace la lecture du mandat de courtage, des conditions générales et des notices d’information applicables à chaque contrat. Pour transformer ces réflexes en dossier opposable et chiffrer les suites contractuelles sans rater une échéance, l’accompagnement en droit des affaires pour sécuriser vos contrats d’assurance emprunteur après le piratage d’un courtier permet de passer de l’alerte à la décision documentée.

I. La carte des conséquences : l’entreprise emprunteuse d’abord, les compagnies partenaires ensuite

A. L’entreprise emprunteuse : des garanties bancaires à vérifier, des données financières exposées, des ordres à verrouiller

La première onde frappe l’entreprise qui a souscrit ou fait souscrire, par l’intermédiaire du courtier, une assurance couvrant un emprunt professionnel. L’assurance emprunteur n’est pas un contrat d’agrément : dans la quasi-totalité des financements d’entreprise, la banque prêteuse subordonne le déblocage des fonds à une couverture décès, invalidité, parfois perte d’emploi du dirigeant ou des associés cautionnés, et l’attestation d’assurance figure au dossier de crédit. Quand le courtier qui a apporté le contrat annonce que ses outils ont été compromis, la première question de l’entreprise n’est donc pas informatique, elle est bancaire : mes garanties tiennent-elles, mes attestations restent-elles valables, et la banque peut-elle m’opposer quoi que ce soit ? La réponse de principe rassure sans dispenser de vérifier : le contrat d’assurance est porté par une compagnie, non par le courtier, et l’exfiltration de données ne résilie rien par elle-même. Mais la vérification s’impose parce que la chaîne des documents — mandat de courtage, proposition, conditions particulières, notice d’information, attestation — transite souvent par les systèmes du courtier, et parce que toute opération ultérieure sur le contrat, comme un changement de garantie ou une résiliation pour substituer un autre assureur, supposera des documents sains et des interlocuteurs joignables.

La deuxième question est celle des échéances en cours. Primes à payer, avenants à signer, déclarations d’aggravation du risque ou de changement de situation à adresser, sinistres à déclarer : la vie du contrat ne s’arrête pas parce qu’un outil du courtier a été fermé. L’entreprise qui règle ses primes par prélèvement ou par virement récurrent doit vérifier que les coordonnées de paiement qu’elle utilise sont toujours les bonnes et qu’aucune instruction de changement de relevé d’identité bancaire ne lui a été adressée depuis l’exposition. La prudence sur ce point n’est pas théorique : avec la banque, le montant et le taux du prêt, un fraudeur dispose de tout ce qu’il faut pour adresser au dirigeant ou au comptable un message plausible annonçant un changement de domiciliation des primes ou des échéances. Le réflexe consiste donc à figer les coordonnées de paiement connues, à n’accepter aucune modification transmise par message électronique sans contre-appel sur un numéro indépendant, et à confirmer par écrit auprès de la compagnie porteuse du risque l’état du contrat et des paiements. Si un sinistre survient dans la période — décès, invalidité, arrêt de travail du dirigeant assuré —, la déclaration doit partir dans les délais contractuels vers la compagnie, avec copie conservée, sans attendre que le courtier ait rétabli l’ensemble de ses outils.

La troisième question est celle des données des tiers que l’entreprise avait confiées. Une société qui a fait assurer l’emprunt finançant l’acquisition de ses locaux par une société civile immobilière du groupe a transmis les identités de ses associés, leurs situations familiales et professionnelles, leurs revenus, leurs encours. Un dirigeant qui a renégocié son crédit a communiqué ses relevés, son patrimoine, ses projets. Quand ces pièces sont exfiltrées, l’entreprise doit se demander non seulement ce qui a été pris sur elle, mais aussi ce qu’elle avait déposé pour autrui : associés, conjoint collaborateur, cautions personnelles. Pour les groupes dont plusieurs sociétés ont emprunté et se sont assurées par le même canal, la coordination de la réponse — inventaire des contrats, information des dirigeants concernés, revue des ordres de paiement — relève de l’expertise en droit des sociétés pour traiter l’incident à l’échelle du groupe, avant de solder chaque différend contrat par contrat. L’information interne, sobre et datée, protège autant qu’elle expose : elle permet à chacun de reconnaître une sollicitation frauduleuse et elle établit, si le litige survient, que l’entreprise s’est comportée en gestionnaire diligent dès la révélation.

La quatrième question, enfin, est celle du changement de courtier ou d’assureur. L’entreprise mécontente des réponses apportées peut vouloir confier ses contrats à un autre intermédiaire, voire résilier pour substituer une autre assurance emprunteur. Ce choix est légitime mais il obéit à ses propres règles : résiliation annuelle ou infra-annuelle selon le contrat, accord de la banque prêteuse qui avait accepté la garantie initiale au titre de l’équivalence des garanties, continuité de couverture sans jour de carence. Quitter le courtier compromis sans préparer la succession, c’est risquer de se retrouver sans interlocuteur pour les opérations courantes tout en restant tenu envers la compagnie et la banque. La décision se prépare donc comme un transfert de dossier, avec reprise de l’historique, des attestations et des échéances, et non comme une rupture improvisée.

B. Les compagnies partenaires et le courtier : mandats de courtage, devoir d’information et responsabilité de la chaîne

La deuxième onde frappe les compagnies d’assurance dont les contrats ont été apportés par le courtier, ainsi que le courtier lui-même. Le courtier n’est pas un simple site de comparaison : aux termes de l’article L. 511-1 du code des assurances, « La distribution d’assurances ou de réassurances est l’activité qui consiste à fournir des recommandations sur des contrats d’assurance ou de réassurance, à présenter, proposer ou aider à conclure ces contrats ou à réaliser d’autres travaux préparatoires à leur conclusion, ou à contribuer à leur gestion et à leur exécution, notamment en cas de sinistre. » Le texte vise donc aussi la gestion et l’exécution des contrats, y compris en cas de sinistre : le courtier qui encaisse les déclarations, transmet les pièces et suit les dossiers pour le compte de ses clients reste dans son rôle de distributeur, avec les obligations qui l’accompagnent. Pour la compagnie, le courtier est un apporteur dont la défaillance technique ne la libère pas envers les assurés : les garanties souscrites continuent, les sinistres doivent être instruits, et les assurés qui ne parviennent plus à joindre leur intermédiaire se tourneront vers elle.

Sur le courtier pèsent en effet des obligations propres, avant même tout piratage. Aux termes de l’article L. 521-1 du code des assurances, « Les distributeurs de produits d’assurance agissent de manière honnête, impartiale et professionnelle et ce, au mieux des intérêts du souscripteur ou de l’adhérent. » Et aux termes de l’article L. 521-2 du même code, « Avant la conclusion d’un contrat d’assurance, l’intermédiaire d’assurance fournit au souscripteur éventuel ou à l’adhérent éventuel des informations relatives à son identité, à son adresse, à son immatriculation, aux procédures de réclamation et au recours à un processus de médiation, ainsi que, le cas échéant, à l’existence de liens financiers avec une ou plusieurs entreprises d’assurance. » Après l’incident, ces textes éclairent l’obligation d’informer les assurés sur ce qui s’est passé, sur les contrats concernés et sur les démarches à accomplir : identité de l’interlocuteur de crise, voies de réclamation, médiation de l’assurance si le différend sur la gestion du contrat persiste. L’entreprise qui écrit au courtier pour exiger ces éléments ne fait qu’activer des droits que la loi lui reconnaît déjà.

La jurisprudence donne à ce devoir d’information et de conseil un contenu concret et sévère. Le 15 septembre 2022, la deuxième chambre civile de la Cour de cassation a cassé un arrêt qui avait mis hors de cause un courtier ayant conseillé un produit inadapté : constatant que le courtier avait admis que les risques à garantir ne se limitaient pas aux risques automobiles tout en soutenant à tort que le produit conseillé couvrait le risque survenu, la Cour a jugé « ce dont il résultait qu’il avait induit les assurés en erreur et qu’il avait ainsi manqué à son obligation de conseil en n’attirant pas spécialement leur attention sur la nécessité de souscrire une assurance facultative complémentaire » (Cass. 2e civ., 15 sept. 2022, n° 21-15.528, publié au Bulletin). Le visa de l’arrêt mentionnait l’article L. 520-1 du code des assurances dans sa rédaction alors applicable, aujourd’hui repris pour l’essentiel à l’article L. 521-2 précité. Transposée à notre crise, la leçon est directe : le courtier qui, après l’incident, laisserait ses clients professionnels croire que leurs garanties ou leurs démarches sont inchangées alors qu’un outil de gestion est à l’arrêt et que leurs données financières circulent, s’exposerait au même reproche — avoir induit l’assuré en erreur par son silence sur les précautions complémentaires à prendre. L’entreprise avisée lui demandera donc par écrit, outre le périmètre de l’exposition, quelles précautions complémentaires il recommande pour chaque contrat : vérification des garanties auprès de la compagnie, rappel des délais de déclaration, sécurisation des paiements.

Du côté des compagnies, la crise se gère comme un risque de réputation et de contentieux sériel. Chaque assuré apporté par le courtier est un contrat à honorer sans délai supplémentaire : la compagnie qui tarderait à instruire les sinistres ou à délivrer les attestations au motif que l’intermédiaire est indisponible commettrait sa propre inexécution. Elle doit aussi organiser la réception directe des déclarations et des paiements pendant l’interruption des outils du courtier, et informer les assurés concernés des canaux de substitution. Enfin, elle doit examiner le mandat qui la lie au courtier : délégation de gestion, encaissement des primes, habilitations informatiques, clauses de sécurité et d’audit. Si l’outil compromis traitait des données pour son compte, elle peut être elle-même concernée par les obligations de notification et de documentation de l’incident, en coordination avec le courtier et selon leurs rôles respectifs. La banque prêteuse, troisième acteur silencieux de la chaîne, attend pour sa part une seule chose : la continuité des garanties. L’entreprise qui lui transmet spontanément une attestation récente et l’état de ses démarches se met à l’abri du reproche de négligence si la question de la couverture est un jour soulevée.

Le volet pénal de la crise, enfin, concerne toute la chaîne. Aux termes de l’article 323-1 du code pénal, « Le fait d’accéder ou de se maintenir, frauduleusement, dans tout ou partie d’un système de traitement automatisé de données est puni de trois ans d’emprisonnement et de 100 000 € d’amende. » Le dépôt de plainte du courtier, s’il est confirmé, ouvre une enquête qui servira aussi les victimes : réquisitions, identification de l’auteur, caractérisation des accès. L’entreprise cliente qui a subi un préjudice propre — détournement de fonds après usurpation, par exemple — peut déposer sa propre plainte et se constituer partie civile, avec ses constats et son chiffrage. La compagnie qui constate des déclarations frauduleuses adossées aux données volées en fera autant. Chaque plainte s’appuie sur le même socle de constats, mais chacune protège des intérêts distincts, et c’est cette addition de plaintes documentées qui donne à l’enquête sa matière.

II. Les preuves puis les décisions : qui détient quoi, et que faire

A. Figer les preuves : le dossier de chacun, daté dès les premiers jours

Dans une crise de chaîne, la preuve se répartit et chacun ne détient qu’une partie du puzzle : c’est la loi de ce contentieux. L’entreprise emprunteuse détient son mandat de courtage, ses propositions et devis, ses conditions particulières, ses notices d’information, ses attestations d’assurance, ses relevés de primes et d’échéances, la notification reçue du courtier avec sa date, et les messages suspects reçus depuis la révélation avec leurs en-têtes. La compagnie détient les polices et avenants, l’historique des primes et des sinistres, les échanges avec le courtier sur la gestion déléguée, et la trace des canaux de substitution mis en place. Le courtier détient les journaux de son outil compromis, l’historique de l’exposition alléguée, ses contrats d’hébergement et de maintenance, et les mesures de remédiation qu’il dit avoir prises. Aucun de ces lots ne suffit seul : c’est leur confrontation datée qui permet d’établir ce qui a été exposé, quand, et avec quelles conséquences pour qui.

Le premier geste consiste donc à inventorier et à horodater. Exporter les échanges avec le courtier, capturer la notification et les pages d’information avec leur date, consigner par écrit l’état des contrats en cours et des échéances à venir, lister les personnes dont les données avaient été transmises et à quel titre, conserver les messages suspects reçus avec leurs en-têtes : ce socle se constitue dans les premiers jours et ne se reconstitue jamais aussi bien ensuite. Si l’entreprise soutient que ses propres systèmes ont été atteints — par exemple un collaborateur qui a ouvert une pièce jointe frauduleuse depuis un poste connecté au réseau interne —, elle doit faire constater sans délai par un prestataire indépendant : journaux de connexion, sauvegardes, état des postes. Ces éléments se périment vite et leur absence se paie cher : le juge ne présume ni l’intrusion ni son chemin. À l’inverse, un audit négatif daté vaut attestation défensive si l’entreprise entend démontrer qu’elle n’a subi aucune compromission interne.

La charge de la preuve, en procédure civile, pèse sur celui qui allègue. Aux termes de l’article 1353 du code civil : « Celui qui réclame l’exécution d’une obligation doit la prouver. Réciproquement, celui qui se prétend libéré doit justifier le paiement ou le fait qui a produit l’extinction de son obligation. » L’entreprise qui réclame au courtier prouve donc le mandat, l’inexécution — défaut d’information, interruption de la gestion, exposition des données — et son préjudice ; le courtier qui se prétend libéré — par le fait d’un tiers, l’auteur de l’intrusion, ou la force majeure — prouve le fait libératoire. Et l’écrit électronique, qui forme l’essentiel du dossier — notifications, attestations téléchargées, échanges —, fait foi à conditions égales : aux termes de l’article 1366 du code civil, « L’écrit électronique a la même force probante que l’écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu’il soit établi et conservé dans des conditions de nature à en garantir l’intégrité. » D’où l’importance de conserver les originaux numériques avec leurs métadonnées, et non de simples copiés-collés.

L’exigence de pièces n’est pas théorique : elle fait et défait les procès d’assurance. Le 21 janvier 2021, la deuxième chambre civile de la Cour de cassation a cassé un arrêt qui s’était contenté d’une attestation générale de flotte pour écarter la garantie : rappelant « si le contrat d’assurance, de même que sa modification, constituent un contrat consensuel, parfait dès la rencontre des volontés de l’assureur et de l’assuré, leur preuve est subordonnée à la rédaction d’un écrit » (Cass. 2e civ., 21 janv. 2021, n° 19-20.699, publié au Bulletin), elle a exigé un avenant signé ou un commencement de preuve par écrit. La leçon vaut pour chaque maillon de notre crise : alléguer sa couverture ne suffit pas, il faut verser la pièce qui la rattache à son dossier — police, avenant, attestation nominative en cours de validité. Et toute modification ultérieure du contrat devra respecter la même exigence : aux termes de l’article L. 112-3 du code des assurances, « Toute addition ou modification au contrat d’assurance primitif doit être constatée par un avenant signé des parties. » L’entreprise qui renégocie ses garanties dans la foulée de l’incident exigera donc l’avenant signé, et non un simple message de confirmation. L’entreprise qui écrit tôt au courtier et à la compagnie pour exiger le périmètre exact la concernant se constitue d’ailleurs une pièce maîtresse : la réponse, ou le silence, figurera au dossier.

B. Décider et chiffrer : sanctions contractuelles, mise en demeure et recours

Une fois les preuves figées, vient le temps des décisions, et d’abord de la mise en demeure. Le droit commun des contrats offre à la partie qui n’a pas été exécutée un éventail ordonné. Aux termes de l’article 1217 du code civil : « La partie envers laquelle l’engagement n’a pas été exécuté, ou l’a été imparfaitement, peut : – refuser d’exécuter ou suspendre l’exécution de sa propre obligation ; – poursuivre l’exécution forcée en nature de l’obligation ; – obtenir une réduction du prix ; – provoquer la résolution du contrat ; – demander réparation des conséquences de l’inexécution. » Chaque branche suppose ses formes : la suspension ou la résolution s’appuie sur une mise en demeure préalable restée sans effet suffisant, la réduction de prix sur une inexécution quantifiable, l’exécution forcée sur une prestation encore possible. L’entreprise cliente du courtier commencera donc par mettre en demeure par écrit : exiger la communication du périmètre exact, la remise des documents contractuels manquants, le rétablissement des services de gestion ou l’indication des canaux de substitution, et la confirmation des mesures de sécurité. Cette lettre, précise et datée, conditionne la suite : c’est elle qui transformera, en cas d’inaction, un mécontentement en inexécution caractérisée.

Le chiffrage, ensuite, distingue les postes. D’un côté, le préjudice patrimonial direct : frais de reconstitution du dossier contractuel, coût des constats et audits, surcoût d’un courtier ou d’un contrat de remplacement, temps interne de gestion de crise, assistance juridique. De l’autre, les postes propres à l’exposition des données : surveillance des comptes et des ordres, information des personnes concernées au sein de l’entreprise et du groupe, mesures de protection, et le cas échéant les détournements subis quand un fraudeur a exploité les données volées. Aux termes de l’article 1231-1 du code civil : « Le débiteur est condamné, s’il y a lieu, au paiement de dommages et intérêts soit à raison de l’inexécution de l’obligation, soit à raison du retard dans l’exécution, s’il ne justifie pas que l’exécution a été empêchée par la force majeure. » Chaque poste doit être justifié par une pièce et un lien causal : factures acquittées, relevés de temps, devis comparatifs, courriers échangés. Et lorsque le dommage provient aussi d’un tiers — l’hébergeur du courtier, l’auteur de l’intrusion —, la voie délictuelle complète la voie contractuelle, avec l’aide de l’expert-comptable pour les coûts internes et du conseil pour la qualification des postes.

La force majeure, justement, sera l’argument attendu du courtier : l’attaque viendrait d’un tiers, irrésistible et imprévisible. L’argument n’est pas irrecevable par principe, mais il se prouve dans des conditions strictes. Aux termes de l’article 1218 du code civil, « Il y a force majeure en matière contractuelle lorsqu’un événement échappant au contrôle du débiteur, qui ne pouvait être raisonnablement prévu lors de la conclusion du contrat et dont les effets ne peuvent être évités par des mesures appropriées, empêche l’exécution de son obligation par le débiteur. » Trois conditions cumulatives, donc : extériorité, imprévisibilité raisonnable au jour du contrat, effets inévitables malgré des mesures appropriées. Or les juridictions examinent ces conditions avec sévérité pour les professionnels de la donnée. Le 4 juin 2026, la cour d’appel de Douai a ainsi rejeté l’argument de force majeure d’un hébergeur confronté à l’incendie de son centre de données, retenant notamment que, pour un professionnel de l’hébergement, un tel risque faisait partie des plus probables de son exploitation et que des manquements à ses obligations de sécurité avaient contribué à la propagation, avant d’écarter aussi l’application de la force majeure aux manquements postérieurs — défaut d’information et reconstruction non autorisée — qui résultaient de la seule négligence du prestataire (CA Douai, ch. 2, sect. 2, 4 juin 2026, RG n° 24/00967). Transposée à notre crise : une cyberattaque ne devient force majeure que si le courtier démontre des mesures de sécurité appropriées avant l’intrusion et une information diligente après ; ses manquements propres — silence prolongé, absence de canaux de substitution, gestion approximative des suites — resteront à sa charge quoi qu’il arrive. L’entreprise qui a documenté les dates et les silences se donne les moyens de discuter utilement cet argument au lieu de le subir.

Le volet données personnelles de la crise appelle enfin des démarches propres, parallèles au contentieux contractuel. Le courtier, en tant que responsable du traitement des dossiers qu’il constitue, doit notifier l’incident à la Commission nationale de l’informatique et des libertés dans les meilleurs délais lorsque la violation présente un risque pour les droits des personnes, et informer directement les personnes concernées lorsque ce risque est élevé, en des termes clairs et simples décrivant la nature de la violation et les mesures à prendre (page de la CNIL sur la notification des violations de données personnelles). L’entreprise cliente, qui a elle-même transmis au courtier les données de ses dirigeants, associés ou salariés, doit examiner sa propre situation : si elle est responsable de traitement pour les données qu’elle a collectées avant de les confier, elle documente l’incident dans son registre, évalue le risque pour les personnes et notifie à son tour si les seuils sont atteints, en coordination avec le courtier selon leurs rôles respectifs. Cette discipline, menée dans les premiers jours, évite que l’entreprise ne cumule la qualité de victime de l’intrusion et celle de manquante à ses propres obligations.

En définitive, le piratage d’un courtier en assurance emprunteur ne se résume ni à un incident technique ni à une simple fuite d’adresses : c’est une crise de chaîne, où l’entreprise emprunteuse encaisse le premier choc à travers ses garanties bancaires et ses données financières, et où les compagnies partenaires reçoivent le second à travers les contrats apportés et les sinistres à instruire. L’entreprise qui fige ses preuves dans les premières heures, qui vérifie ses attestations et verrouille ses ordres, qui notifie dans ses délais et qui écrit au courtier avant de sanctionner, traverse cette crise en position de force relative : elle protège ses financements, elle discute avec sa banque sur pièces, et elle négocie ou plaide sur un préjudice chiffré. Celle qui attend le rapport final du prestataire pour agir subit deux fois : une fois l’exposition, une fois les délais manqués. Entre les deux, la différence ne tient ni au droit applicable, qui est connu, ni à la gravité de l’incident, qui ne se choisit pas, mais à la qualité du dossier constitué dès les premiers jours.