Encore beaucoup de bruits pour rien ! La question était de savoir si les assureurs pouvaient continuer d’assurer le paiement des rançons payées aux pirates du web. La réponse était déjà positive, cette fois-ci, c’est Bercy qui incite les assureurs à proposer des assurances adéquates.
mercredi 7 septembre 2022, par Denis Lapalus
Être assuré contre les rançons ? N’est-ce pas un risque supplémentaire de se faire racketter ?
Certains évoquant qu’être pleinement assuré contre le paiement des rançons serait une mauvaise idée. Cela pourrait favoriser les cyberattaques, augmentant ainsi le risque pour les entreprises. Un amalgame avec les risques d’incendie ? Les primes d’assurance cyber ont seulement atteint 219 millions d’euros en France en 2021. L’assurance des rançons est légale en France, mais nombre d’assureurs attendaient un feu vert officiel des autorités afin de proposer de nouvelles offres aux entreprises. C’est désormais chose faite, Bercy valide l’indemnisation des rançons payées aux cyber truands.
Bercy valide l’indemnisation des demandes de rançons
D’après les informations exclusives publiées par Les Echos, le ministère de l’Economie donne son feu vert pour les indemnisations des rançons en cas d’attaque cyber, à condition que l’entreprise victime porte plainte. Il n’y aura donc pas d’exception française sur les cyber-rançons. Le ministère de l’Economie acte à son tour le principe d’indemnisation des rançons payées par les entreprises et autres entités visées par les pirates du Net. A condition que la victime porte plainte, stipule le très attendu rapport de Bercy pour « Le développement de l’assurance cyber ».
« Ce projet de loi, qui s’appuie sur les travaux de notre groupe de travail, constitue un point d’équilibre entre la volonté de ne pas financer l’écosystème des cyberattaquants et la volonté d’éviter la mort de PME et TPE touchées par une attaque », explique Bercy. En France, la rançon moyenne réclamée atteignait environ 6.400 euros en 2021, en hausse de 50 % par an depuis 2016, mais certaines demandes se chiffrent en millions d’euros
Dès le début d’année, le Haut Comité juridique de la place financière de Paris, saisi par Bercy, avait pris position en faveur de l’indemnisation des rançongiciels par les assureurs . A l’inverse, l’Agence nationale de la sécurité des systèmes d’information (ANSSI) prône de son côté une interdiction , tout comme un rapport parlementaire publié fin 2021, ou bien « un encadrement strict ».
Qui s’assure contre le paiement des rançons ?
Les grandes entreprises sont les principales utilisatrices de contrats vendus par une poignée d’acteurs : AXA et les anglo-saxons Chubb, AIG et Beazley. L’an dernier, une dizaine de groupes français y ont toutefois renoncé , jugeant les garanties trop limitées ou trop chères, selon l’Association des managers de risques (Amrae).
Les cyberattaques ne visent pas que les plus faibles
Après Nvidia et Samsung, le groupe de pirates Lapsus$ aurait fait une nouvelle victime, Microsoft. Lapsus$ a publié une capture d’écran de l’outil interne utilisé par les développeurs de l’éditeur, sans rien revendiquer pour le moment. Le groupe de pirates Lapsus$ avait déjà attaqué Samsung et Nvidia en faisant notamment du chantage au fabricant de cartes graphiques pour qu’il retire sa limitation sur le minage de cryptomonnaies. Nvidia n’ayant pas cédé, le groupe a commencé à publier les informations qu’il avait dérobées.
Ce dimanche, une capture d’écran a été publiée sur la chaîne Telegram de Lapsus$. Cette capture y fait figurer la plateforme Azure DevOps, l’outil interne de Microsoft. On peut y apercevoir notamment les dossiers de travail de Bing ou encore de Cortana. La capture d’écran a été rapidement retirée de Telegram en promettant de la republier plus tard avec probablement des revendications. De son côté, Microsoft a réagi en confirmant avoir ouvert une enquête interne pour trouver l’origine de cette intrusion.