En 2024, le paiement par carte a franchi un cap symbolique : il devance désormais les espèces dans les commerces de proximité, selon une étude de la Banque centrale européenne. Paiement sans contact, mobile, terminal connecté à internet, logiciel de caisse relié à votre banque en ligne : votre activité commerciale n'a jamais été aussi digitale. Mais cette transformation a un revers. Les fraudeurs qui ciblaient hier votre terminal de paiement (TPE) avec des méthodes artisanales déploient aujourd'hui de véritables techniques de cyberattaque : phishing téléphonique, usurpation d'identité, manipulation à distance de vos équipements connectés. Comprendre que l'arnaque au terminal de paiement est devenue un sujet de cybersécurité à part entière est la première étape pour protéger durablement votre entreprise.
Pourquoi les arnaques aux terminaux de paiement sont devenues un enjeu de cybersécurité
Un terminal de paiement n'est plus une simple machine isolée. Connecté à internet, relié à un logiciel de caisse, parfois piloté à distance par un mainteneur, il fait désormais partie intégrante du système d'information de votre entreprise, au même titre qu'un ordinateur ou une messagerie professionnelle. Or, selon le rapport d'activité 2025 de Cybermalveillance.gouv.fr, 43 % des TPE-PME françaises ont été victimes d'une tentative d'hameçonnage (phishing) en 2025, contre 24 % un an plus tôt : une progression de près du double en douze mois. Les demandes d'assistance émanant d'entreprises ont bondi de 73 % sur la même période.
Du côté des paiements, l'Observatoire de la sécurité des moyens de paiement de la Banque de France confirme cette bascule : le taux de fraude à la carte bancaire atteint un niveau historiquement bas au premier semestre 2025 (0,048 %), mais la part de la « fraude par manipulation », c'est-à-dire l'ingénierie sociale et la tromperie, grimpe à environ 40 % de la valeur totale de la fraude, contre 32 % en 2023 et 2024. En clair : les fraudeurs contournent de plus en plus les protections techniques pour s'attaquer directement à la vigilance humaine, par téléphone ou par mail. C'est exactement le mécanisme à l'œuvre derrière les arnaques aux terminaux de paiement.
Quelles sont les arnaques les plus fréquentes visant votre terminal de paiement ?
Le vol ou l'échange de votre TPE
Profitant d'un moment d'inattention, un fraudeur peut subtiliser votre terminal de paiement et le remplacer par un appareil similaire. Les transactions encaissées ne créditent alors plus votre compte professionnel, mais celui de l'escroc. Cette technique reste redoutable car elle est difficile à détecter immédiatement : le commerçant continue d'utiliser un TPE en apparence identique au sien.
Le phishing par téléphone : le faux support technique, une cyberattaque comme une autre
Un fraudeur vous contacte en usurpant l'identité du support technique de votre terminal. En prétextant un incident, il vous demande de procéder à des manipulations à distance, de communiquer des codes d'accès ou vous propose un remplacement d'appareil. Ce scénario est, techniquement, un cas d'hameçonnage vocal (« vishing ») : la même méthode que celle utilisée pour piéger les particuliers sur leurs comptes bancaires en ligne, transposée au commerce. Elle illustre à quel point la cybersécurité de votre entreprise ne se limite plus à vos ordinateurs.
La carte bancaire volée et la fraude par manipulation
Un fraudeur effectue un achat avec une carte bancaire dérobée dont il connaît le code, puis profite du délai légal de rétractation pour demander un remboursement sur sa propre carte ou une carte prépayée. Cette fraude s'inscrit dans la même dynamique que celle mesurée par la Banque de France : elle repose moins sur le piratage technique de la carte que sur la manipulation du commerçant et des procédures de remboursement.
Les logiciels de caisse et TPE connectés, une nouvelle porte d'entrée numérique
Moins visible mais tout aussi préoccupante, la menace du rançongiciel touche particulièrement les petites structures : les TPE, PME et ETI représentent 48 % des victimes de rançongiciels traités par l'ANSSI, loin devant les collectivités et les établissements de santé. Un logiciel de caisse ou un TPE connecté mal sécurisé, avec un mot de passe par défaut ou un accès distant non contrôlé, peut devenir le point d'entrée d'une attaque bien plus large sur votre système d'information. Pourtant, 68 % des TPE-PME consacrent encore moins de 2 000 € par an à leur sécurité informatique, selon le même rapport.
Comment déjouer ces arnaques au quotidien ?
Certains réflexes simples permettent de réduire considérablement les risques, qu'ils soient physiques ou numériques :
- Apposez un signe distinctif sur votre TPE (autocollant, étiquette, marque au feutre) pour repérer immédiatement un échange d'appareil, et rangez-le ainsi que sa carte de domiciliation dans un lieu sûr en dehors des heures d'ouverture.
- Présentez toujours le terminal au client sans le lâcher, pour éviter toute substitution pendant la transaction.
- Vérifiez chaque jour le ticket commerçant (enseigne, code banque) et la cohérence entre votre relevé de compte et la télécollecte.
- Ne donnez jamais suite à un appel spontané se présentant comme le support technique de votre TPE : raccrochez et rappelez vous-même le numéro habituel, généralement inscrit sur l'appareil.
- En cas d'intervention d'un mainteneur non planifiée, vérifiez le rendez-vous auprès de votre prestataire, restez présent pendant toute l'intervention et contrôlez le ticket commerçant après son passage (Siret, numéro de contrat).
- Sécurisez l'accès numérique à votre logiciel de caisse et à votre back-office : mots de passe uniques et robustes, mises à jour appliquées uniquement via les canaux officiels, réseau Wi-Fi professionnel séparé du réseau visiteur.
- Soyez attentif au comportement des clients (achats répétés, montants élevés, multiplication de cartes) et vérifiez l'identité du porteur en cas de doute.
Pourquoi la cyberprotection doit compléter votre vigilance de commerçant
La vigilance individuelle reste indispensable, mais elle ne suffit plus face à des attaques de plus en plus élaborées. Une cyberattaque peut coûter entre 50 000 € et 200 000 € à une PME et immobiliser son activité pendant plusieurs semaines, un choc financier que beaucoup de petites structures ne peuvent absorber. C'est pourquoi le choix d'un terminal de paiement adapté à votre activité et sécurisé dès l'origine constitue une première ligne de défense, tout comme l'utilisation d'une carte bancaire professionnelle dont les plafonds et alertes sont adaptés à votre activité.
Les usages eux-mêmes évoluent : le paiement sans contact déplafonné facilite l'expérience client, mais chaque nouvelle fonctionnalité digitale élargit aussi la surface d'attaque potentielle. Se protéger suppose donc de raisonner à la fois sur les procédures internes (vigilance, formation des équipes, vérification des interventions) et sur une couverture assurantielle dédiée. Un contrat comme l'Assurance Cyber Protection est conçu pour couvrir les conséquences financières d'une atteinte à votre système d'information ou à l'intégrité de vos données, en complément des assurances qui protègent l'ensemble de votre activité.
En croisant bonnes pratiques du quotidien et protection assurantielle, vous transformez une vigilance ponctuelle en véritable stratégie de résilience numérique pour votre commerce.
