Une entreprise découvre que ses fichiers sont chiffrés. Les logiciels ne fonctionnent plus. Un message apparaît sur les écrans : pour récupérer les données, une rançon doit être payée en cryptomonnaie.
Face à un tel scénario, une question revient souvent : une assurance cyber a-t-elle légalement le droit de rembourser une rançon en France ?
La réponse est oui, sous certaines conditions. Depuis 2023, le Code des assurances encadre le versement d’une indemnisation prévue par un contrat d’assurance à la suite d’une cyberattaque. Le dépôt d’une plainte dans un délai de 72 heures est notamment obligatoire pour pouvoir bénéficier de cette indemnisation.
Mais le cadre légal ne signifie pas que l’assureur recommande de payer. Au contraire, les autorités françaises déconseillent le paiement des rançons.
Qu’est-ce qu’un cyber-rançonnage ?
Le cyber-rançonnage, souvent associé aux attaques par rançongiciel, consiste à bloquer l’accès aux données ou aux systèmes informatiques d’une entreprise afin d’exiger une somme d’argent en échange de leur restitution.
Le scénario peut aller plus loin. Les cybercriminels peuvent également voler des données avant de les chiffrer et menacer de les publier si la victime ne paie pas.
L’objectif est alors de créer une pression financière et opérationnelle sur l’entreprise.
Une attaque peut avoir des conséquences importantes :
- interruption de l’activité ;
- indisponibilité des fichiers et applications ;
- coûts de restauration des systèmes ;
- perte de chiffre d’affaires ;
- frais d’expertise et de gestion de crise ;
- risque de divulgation de données.
Le paiement de la rançon ne garantit toutefois pas que les données seront récupérées ou qu’elles ne seront pas diffusées.
Une assurance cyber peut-elle rembourser une rançon ?
Oui, une assurance peut prévoir contractuellement la prise en charge d’une rançon.
C’est un point important : la loi française n’a pas instauré une interdiction générale du remboursement des rançons par les assureurs.
En revanche, la loi n° 2023-22 du 24 janvier 2023, dite loi LOPMI, a créé l’article L12-10-1 du Code des assurances. Celui-ci prévoit que le versement d’une somme prévu par un contrat d’assurance pour indemniser les pertes et dommages causés par une atteinte à un système informatique est subordonné au dépôt d’une plainte auprès des autorités compétentes dans les 72 heures suivant la connaissance de l’atteinte. Cette règle concerne les personnes morales et les personnes physiques dans le cadre de leur activité professionnelle.
Autrement dit, le remboursement d’une cyber-rançon n’est pas interdit, mais il est légalement encadré.
Que signifient réellement les 72 heures ?
Le délai de 72 heures est souvent mal compris.
Il ne s’agit ni d’un délai pour décider de payer la rançon, ni d’un délai pour négocier avec les cybercriminels.
Il s’agit d’un délai légal concernant le dépôt de plainte.
Le Code des assurances prévoit que la victime doit déposer plainte auprès des autorités compétentes au plus tard 72 heures après avoir connaissance de l’atteinte à son système informatique si elle souhaite bénéficier du versement prévu par le contrat d’assurance.
Le point de départ est donc la connaissance de l’atteinte, et non :
- la réception de la demande de rançon ;
- la décision de payer ou non ;
- le paiement de la rançon ;
- la fin de l’attaque ;
- la reprise de l’activité.
Exemple concret
Une entreprise découvre lundi à 10 h que son système informatique a été compromis par un rançongiciel.
Le délai commence à courir à partir du moment où elle a connaissance de cette atteinte.
Elle doit donc effectuer son dépôt de plainte au plus tard jeudi à 10 h pour respecter le délai légal.
Elle n’a pas besoin d’avoir décidé à ce moment-là si elle paiera ou non la rançon.
Les 72 heures concernent donc la plainte, pas le paiement de la rançon.
L’assurance est-elle obligée de payer la rançon ?
Non. Le fait que le paiement d’une rançon puisse être légalement couvert ne signifie pas que l’assureur doit automatiquement la rembourser.
Tout dépend du contrat souscrit.
Certaines assurances cyber peuvent prévoir une garantie couvrant les frais liés à une extorsion ou à une négociation avec les cybercriminels. D’autres peuvent exclure le paiement de la rançon ou prévoir des conditions spécifiques.
Il faut donc vérifier précisément :
- si le paiement d’une rançon est couvert ;
- le montant maximal pris en charge ;
- les éventuelles franchises ;
- les exclusions ;
- les conditions d’intervention de l’assureur ;
- les obligations de l’entreprise avant tout paiement.
L’assuré ne doit donc pas considérer le remboursement comme acquis simplement parce qu’il dispose d’une assurance cyber.
Pourquoi l’ANSSI déconseille-t-elle de payer une rançon ?
Le fait que le remboursement puisse être légalement prévu par une assurance ne signifie pas que le paiement soit recommandé.
L’ANSSI déconseille le paiement des rançons. Elle rappelle notamment qu’un paiement ne garantit pas la récupération des données et contribue au financement de l’écosystème criminel.
Un cybercriminel peut fournir une clé de déchiffrement qui ne fonctionne pas correctement. Il peut également conserver une copie des données volées et les publier malgré le paiement.
Le paiement peut donc résoudre une partie du problème sans faire disparaître toutes les conséquences de l’attaque.
C’est pourquoi la décision ne doit pas être prise dans la précipitation.
Que couvre l’assurance cyber au-delà de la rançon ?
La rançon n’est qu’une des conséquences possibles d’un rançongiciel.
Une assurance cyber peut surtout permettre à l’entreprise de financer les opérations nécessaires pour gérer la crise et reprendre son activité, selon les garanties souscrites.
Elle peut notamment prévoir la prise en charge de certains frais liés :
- à l’intervention d’experts en cybersécurité ;
- à l’analyse et à la sécurisation des systèmes ;
- à la restauration des données ;
- à la gestion de crise ;
- aux frais juridiques ;
- à la communication de crise ;
- à l’interruption d’activité.
Ces garanties peuvent être particulièrement importantes lorsque l’entreprise choisit de ne pas payer la rançon.
L’objectif est alors de restaurer les systèmes, comprendre l’origine de l’attaque et reprendre progressivement l’activité.
Que doit faire une entreprise victime d’un rançongiciel ?
Les premières heures sont déterminantes.
L’entreprise doit d’abord éviter d’aggraver la situation. Les systèmes compromis peuvent notamment être isolés afin de limiter la propagation de l’attaque.
Elle doit ensuite prévenir rapidement les interlocuteurs compétents : direction, responsable informatique, prestataire spécialisé et assureur si une assurance cyber a été souscrite.
Le dépôt de plainte fait partie des démarches prioritaires lorsque l’entreprise souhaite bénéficier de l’indemnisation prévue par son contrat. Elle doit également conserver les preuves : messages des cybercriminels, fichiers concernés, captures d’écran, journaux techniques et autres éléments permettant de documenter l’attaque.
Peut-on négocier une rançon avec les cybercriminels ?
Une entreprise victime d’un rançongiciel ne devrait pas décider seule de négocier ou de payer.
Si le contrat prévoit une assistance cyber, l’assureur peut mettre en relation l’entreprise avec des spécialistes de la gestion de crise et, selon les garanties, des experts capables d’évaluer la situation.
La priorité reste de déterminer si les données peuvent être restaurées autrement et d’évaluer les conséquences de l’attaque.
Le paiement d’une rançon ne garantit pas la récupération des données. Il ne garantit pas non plus que les données volées ne seront pas utilisées ou diffusées.
Comment éviter de dépendre du paiement d’une rançon ?
La meilleure protection reste la prévention.
Une entreprise peut notamment réduire son exposition en mettant en place :
- des sauvegardes régulières et déconnectées du réseau ;
- des mises à jour régulières des logiciels ;
- une authentification renforcée ;
- des droits d’accès limités ;
- une sensibilisation des salariés aux techniques de phishing ;
- un plan de réponse aux incidents ;
- des exercices réguliers de gestion de crise.
Les sauvegardes sont particulièrement importantes. Elles permettent de disposer d’une solution de restauration alternative lorsque les systèmes sont chiffrés.
Une assurance cyber complète ces mesures. Elle ne doit pas les remplacer.
INIXIA vous accompagne face au risque cyber
Une attaque par rançongiciel peut mettre en difficulté une entreprise en quelques heures. Les conséquences peuvent dépasser largement le montant demandé par les cybercriminels.
En France, une assurance peut légalement prévoir la prise en charge d’une rançon. Mais cette possibilité est encadrée par la loi : le dépôt préalable d’une plainte dans le délai légal constitue une condition du versement prévu par le contrat pour les professionnels concernés.
Le contrat doit également prévoir la garantie correspondante. L’assureur n’est pas automatiquement tenu de rembourser une rançon simplement parce que l’entreprise possède une assurance cyber.
INIXIA accompagne les professionnels dans l’identification de leurs risques et la recherche de solutions d’assurance adaptées à leur activité. L’objectif est de vérifier les garanties, les plafonds, les exclusions et les conditions d’intervention avant qu’une cyberattaque ne survienne.