S’il est clair que l’idée même du caractère incitatif de la couverture des rançongiciels pour les criminels de passer à l'attaque est contraire à toute considération théorique et pratique, ces garanties sont à l’inverse plutôt génératrices de prévention et de sécurité.
Alors que les prévisions sur la croissance du numérique sont revues à la hausse par rapport à celles de 2021 (1), la France a dû faire face ces trois dernières années à l’explosion d’une forme de cybercriminalité plus prégnante : le rançongiciel. Selon la Direction générale du Trésor (2), 54 % des entreprises françaises auraient fait l’objet d’une cyberattaque en 2021. Les profits exorbitants pouvant être générés par une telle activité entraînent un engouement indéniable de la part des cybercriminels. Le rançongiciel (ou ransomware en anglais) est décrit par l’Agence nationale de la sécurité des systèmes d’information (ANSSI) comme « l’envoi à la victime d’un logiciel malveillant qui chiffre l’ensemble de ses données et lui demande une rançon » (3) sous la menace d’une indisponibilité permanente, ou d’une divulgation des fichiers otages (4).
Le groupe de travail de la Direction générale du Trésor, dédié au développement de l’assurance cyber, a publié un rapport très complet mais curieusement bref sur la couverture des demandes de rançongiciel. Il affirme simplement qu’« une telle garantie, qui prévoit le remboursement du paiement de la rançon, est susceptible d’encourager les cyberattaques par rançongiciel » (5). En d’autres termes, en couvrant les conséquences financières d’une attaque plutôt qu’en incitant à une meilleure sécurité, ces assurances auraient un caractère incitatif à la multiplication des infractions et à l’alimentation d’un écosystème criminel.
Ce n’est pourtant...
