Cyberattaques et musées: Vivaticket expose l’angle mort de la sécurité des grands sites français

Une panne qui n’a rien d’un simple bug a frappé le monde culturel début mars: une cyberattaque visant Vivaticket, opérateur majeur de billetterie, a bloqué l’accès à des services en ligne utilisés par de nombreux sites français. Résultat immédiat, des réservations impossibles, des files qui se reconstituent au guichet, et une question qui remonte d’un coup, qui protège vraiment la chaîne numérique des musées?

Le contraste est frappant avec la sécurité visible. Le cambriolage du Louvre en octobre 2025 a déjà mis en lumière des failles matérielles, sur fond de critiques institutionnelles et de plan de sécurisation annoncé à 80 millions d’euros. Mais l’attaque informatique rappelle un angle mort: sans billetterie, sans bases de données, sans outils internes, un musée peut se retrouver paralysé, même si ses portes et ses alarmes tiennent bon.

Vivaticket paralysé, les billetteries de musées françaises prises en otage

Le scénario est désormais classique: un attaquant s’introduit dans le système, chiffre ou bloque des serveurs, puis exige une rançon pour fournir la clé de déchiffrement. Dans le cas Vivaticket, l’effet domino a touché des institutions majeures, du musée du Louvre au musée d’Orsay, du quai Branly à des musées de la ville de Lyon, sans oublier des sites touristiques comme la tour Eiffel ou l’Arc de triomphe. Quand l’outil central tombe, tout le monde tombe.

Sur le terrain, la casse n’est pas seulement technique. La billetterie en ligne est devenue un outil de gestion des flux, avec des créneaux et de l’horodatage, pour éviter la saturation et sécuriser les parcours. Sans elle, il faut improviser, et vite. Au Louvre-Lens, la billetterie en ligne était encore annoncée indisponible, et des solutions temporaires étaient étudiées via des plateformes touristiques partenaires. Tu vois l’ironie: pour reprendre la main, il faut parfois passer par d’autres intermédiaires.

Le risque dépasse la perte de confort pour le visiteur. Une attaque de ce type fait planer un danger de fuite de données personnelles et de dégradation de l’image, deux sujets sensibles pour des établissements qui accueillent des publics internationaux. Gilles Duffau-Epsztejn, spécialiste du sujet, insiste sur le fait que la billetterie n’est pas qu’un canal de vente, c’est une brique reliée au reste du système d’information, et la défaillance peut contaminer d’autres fonctions si les cloisonnements sont insuffisants.

Du cambriolage du Louvre au numérique, une sécurité encore pensée « physique »

Le choc du cambriolage du Louvre en 2025 a remis la sûreté sur la table, avec des débats sur des équipements jugés inadaptés et l’idée, un temps, d’un commissariat intra-muros, finalement refusée. La Cour des comptes avait aussi pointé un retard préoccupant, avec des zones non couvertes par la vidéosurveillance. Tout cela pousse à investir dans le visible, caméras, alarmes, contrôle d’accès, ce qui est logique, mais pas suffisant.

Parce qu’un musée moderne, c’est aussi des bases de données, des outils de gestion des collections, des systèmes d’accueil, des prestataires, des flux de paiements. Et là, la culture du risque est moins homogène. Un responsable sécurité rencontré au salon professionnel SITEM résume, on sait compter les angles morts d’une caméra, on compte moins bien ceux d’un prestataire numérique. La formule est rude, mais elle colle à la réalité d’un secteur où l’externalisation est fréquente.

Il y a aussi un biais budgétaire. Les rançons espérées, selon plusieurs observateurs, ne sont pas forcément énormes dans la culture, mais l’impact opérationnel peut être massif. C’est le paradoxe: l’attaque peut coûter bien plus cher que ce que les attaquants demandent, en recettes perdues, en coûts de remise en service, en communication de crise, et en perte de confiance. Et là, nuance importante, tout n’est pas noir, certains acteurs notent un changement de posture et une volonté de mieux faire depuis que les incidents se multiplient.

Prévention, continuité, souveraineté: ce que la cybersécurité change pour les musées

Les lignes directrices du Conseil international des musées rappellent trois piliers, prévention, protection, préservation. La cybersécurité s’insère dans les trois. Prévenir, c’est cartographier les dépendances, billetterie, CRM, outils internes, prestataires. Protéger, c’est segmenter, limiter les droits, surveiller. Préserver, c’est préparer la continuité, modes dégradés, sauvegardes, procédures pour rouvrir vite sans bricoler.

Le cas Vivaticket montre un point concret: la continuité d’activité doit être pensée à l’échelle d’un écosystème, pas d’un seul bâtiment. Quand des dizaines de billetteries reposent sur le même opérateur, la mutualisation crée une fragilité commune. Et ce n’est pas qu’une affaire de tourisme. Les chercheurs qui analysent la sûreté muséale notent que les menaces sont globales, du vol d’uvres au marché noir jusqu’aux cyberattaques sur des bases patrimoniales, avec aussi, dans une moindre mesure, des actions d’activisme climatique ciblant des symboles culturels.

Dernier enjeu, plus politique: la souveraineté et la circulation de l’information. La sécurité ne peut plus rester verticale, confiée à quelques spécialistes, elle doit devenir plus horizontale, avec des équipes formées, des réflexes partagés, et des arbitrages clairs entre ouverture au public et maîtrise des risques. Sinon, on continuera à renforcer les portes tout en laissant, sans le vouloir, une fenêtre numérique entrouverte, et les attaquants, eux, n’attendent pas la prochaine exposition pour tenter leur chance.