ANALYSES
BridgePay, paiements arrêtés pendant des jours : la dépendance que les petites entreprises ne voient pas
Le 6 février 2026, un ransomware a arrêté pendant au moins quatre jours la plateforme de paiement américaine BridgePay : commerçants contraints aux espèces, municipalités et services d'eau sans encaissement en ligne. L'analyse : le fournisseur caché, délais de carence et franchises, cumul sur les paiements et questions pour les renouvellements.
Archives : reconstitution rédigée en novembre 2026
Thème du mois de février 2026 · par cybercoverinsurance
Le 6 février 2026, vers 3 h 30 heure de la côte Est, la plateforme de paiement américaine BridgePay a cessé de fonctionner. Dans la soirée, la société a confirmé une attaque par ransomware. Passerelle, terminaux virtuels, pages de paiement et portails des partenaires sont restés éteints pendant plusieurs jours. Certains commerçants n'ont accepté que les espèces, et des villes et des services d'eau n'ont pas pu encaisser les factures en ligne.
Pour qui porte le risque cyber, le cas est un exemple de carence de fournisseur pour les petites entreprises : des commerçants dans tout le pays qui pouvaient ignorer qu'ils dépendaient de BridgePay, car la plateforme fonctionnait derrière le logiciel de caisse ou de facturation qu'ils utilisaient. C'est aussi un exemple de cumul sur les paiements.
Ce que l'on sait
L'attaque. Le 6 février, BridgePay a signalé une dégradation de ses systèmes à 3 h 29, a identifié un incident de cybersécurité à 6 h 34 et a confirmé le ransomware dans la soirée. Le FBI, le Secret Service et des spécialistes externes sont intervenus. Le groupe responsable n'a pas été désigné (Cyber Security News).
Les services à l'arrêt. L'interface de la passerelle de paiement, le service cloud pour les terminaux, le terminal virtuel avec les rapports, les pages de paiement hébergées et les portails des partenaires étaient hors service. Selon les premières constatations forensiques, les données de cartes n'ont pas été compromises et les fichiers étaient seulement chiffrés, sans preuve d'exposition de données exploitables (BleepingComputer).
Les effets. Certains commerçants n'ont pu accepter que les espèces, dont un restaurant cité par la presse. La ville de Palm Bay, en Floride, a demandé aux habitants de payer en personne. Frisco, au Texas, et les plateformes Lightspeed Commerce et ThriftTrac ont également signalé des problèmes (BleepingComputer). Le 9 février, tous les services étaient encore éteints et BridgePay ne donnait aucune date de rétablissement (Payment Expert).
Les services d'eau. WaterISAC a signalé le 12 février que plusieurs services d'eau municipaux, surtout au Texas mais aussi au Kansas, au Michigan, au Wisconsin et en Floride, ne pouvaient pas encaisser les factures. Wichita a rétabli les paiements en ligne grâce à une solution de son fournisseur qui contournait BridgePay, alors que la plateforme était toujours éteinte (WaterISAC).
Ce que l'on ne sait pas. Le nombre de commerçants touchés, la date du rétablissement complet, le point d'entrée, le groupe responsable et le paiement éventuel d'une rançon n'ont pas été rendus publics.
La dépendance que personne ne connaît
Le fournisseur caché. La technologie de BridgePay fonctionne souvent derrière des plateformes logicielles tierces (Payment Expert). Un restaurant choisit un logiciel de caisse, pas une passerelle de paiement. Quand la passerelle s'arrête, le commerçant découvre une dépendance qu'il n'avait jamais déclarée.
Le questionnaire ne la voit pas. Les questions sur les fournisseurs critiques recueillent les noms que l'assuré connaît : le cloud, le logiciel de gestion, le logiciel de caisse. Le fournisseur du fournisseur reste en dehors. Pour une garantie de carence limitée aux fournisseurs désignés, BridgePay n'en aurait pas fait partie.
Les espèces comme plan de continuité. Pour un petit commerçant, n'accepter que les espèces signifie perdre une part importante des recettes. Le sinistre est une perte de chiffre d'affaires répartie sur de nombreuses petites entreprises, chacune souvent proche de la franchise ou en dessous.
Le délai de carence et la durée
Des jours, pas des heures. L'arrêt a duré au moins quatre jours (Payment Expert). Avec des délais de carence qui se mesurent en général en heures, de nombreux commerçants auraient dépassé le seuil temporel. Leur problème est le montant : quelques jours de recettes par carte perdues peuvent rester sous la franchise.
La solution de contournement réduit le sinistre. Wichita a rétabli les paiements grâce à un fournisseur qui a contourné BridgePay (WaterISAC). Les assurés disposant d'un second canal de paiement, ou d'un fournisseur capable d'en changer rapidement, limitent la durée du sinistre.
Les collectivités encaissent moins, mais ne perdent pas. Pour les villes et les services d'eau, le sinistre consiste surtout en des encaissements retardés et des coûts de traitement manuel. Le dommage assurable est moindre, mais la pression sur le service aux habitants est forte.
Le cumul sur les paiements
Un événement, de nombreux petits assurés. Un arrêt de la plateforme a touché des commerçants de plusieurs secteurs, des municipalités et des services d'eau dans plusieurs États. Pour un portefeuille de petites entreprises, les paiements sont un point de cumul comme le cloud.
La chaîne est longue. Commerçant, logiciel de caisse, passerelle, processeur, réseau de cartes. Chaque maillon peut s'arrêter. Le cumul ne dépend pas du nom du fournisseur que l'assuré connaît, mais de celui qui se trouve plus bas dans la chaîne.
Le prestataire de paiement comme assuré. Pour qui assure BridgePay ou des plateformes similaires, le risque principal est la responsabilité envers les partenaires et les commerçants pour les recettes perdues. Les contrats limitent en général cette responsabilité, mais le nombre de contreparties est très élevé.
Ce qu'il faut apporter aux renouvellements
Impact pour les assureursMoyen
Un ransomware a arrêté pendant au moins quatre jours une plateforme de paiement américaine, obligeant des commerçants à fonctionner uniquement en espèces et empêchant des municipalités et des services d'eau d'encaisser en ligne.
Côté portefeuille, le cas BridgePay invite à cartographier la chaîne de paiement des petites entreprises assurées, au moins pour les principales passerelles et les principaux processeurs de chaque marché. Un scénario d'arrêt d'une semaine d'une passerelle répandue, avec de petites pertes chez des milliers d'assurés, est un test utile pour le cumul et pour les franchises des garanties de carence.