NousAssurons
alerte ici sur la zone grise entre assurance multirisque et cyber.
Le 8 octobre dernier, à
l'occasion du Cybermois, NousAssurons alertait les PME sur leur exposition au
risque cyber. Selon l'ANSSI, elles représentent désormais 48 % des victimes de
rançongiciel en France, et moins d'une sur quatre est assurée contre ce risque.
Moins d'une semaine plus tard, l'actualité a donné à cette alerte une
illustration spectaculaire. Dans la nuit du 11 au 12 octobre, des pirates ont
pris le contrôle des installations frigorifiques de plusieurs centaines de
supermarchés Intermarché, U et Leclerc, détruisant des tonnes de produits
frais.
Au-delà de son
caractère inédit, cette attaque pose une question très concrète : les magasins
touchés seront-ils indemnisés ? La réponse est loin d'être évidente. Elle
révèle une zone grise entre les contrats multirisques et les assurances cyber,
que beaucoup d'entreprises ignorent.
Une attaque inédite
dans ce secteur d’activité, qui détruit des biens bien réels
Dans la nuit du 11 au
12 octobre, des pirates ont pris le contrôle à distance des systèmes
frigorifiques de plusieurs centaines de supermarchés Intermarché, U et Leclerc,
en exploitant une faille sur des équipements dont le logiciel n’avait pas été
mis à jour. Les températures ont été poussées à 50 °C, ce qui a détruit des
stocks entiers de produits frais et surgelés, pour des pertes estimées à
plusieurs dizaines, voire centaines de milliers d’euros par magasin. Le parquet
de Paris a ouvert une enquête et signale également des départs de feu.
« Cette attaque marque
un tournant. Jusqu'ici, le grand public associait la cybercriminalité au vol de
données ou au blocage d'ordinateurs. Pour la première fois à cette échelle en
France, des pirates ont détruit des biens physiques en prenant la main sur des
équipements connectés. Le risque cyber n'est plus seulement un risque
informatique, c'est un risque d'exploitation à part entière », analyse Jérôme
Robin, fondateur de NousAssurons.
Derrière les enseignes
nationales, des commerçants indépendants dont beaucoup ne sont
pas assurés
Si de grandes enseignes
ont été touchées, la plupart de ces supermarchés sont exploités par des
commerçants indépendants, associés ou adhérents de leur groupement. Ce
sont donc des PME et des ETI, avec leur propre bilan et leurs propres contrats
d'assurance et leurs pertes.
D’ailleurs, ce scénario
n'a rien de spécifique à la grande distribution et pourrait se produire avec
les chambres froides d'un boucher ou d'un restaurateur, les vitrines
réfrigérées d'une boulangerie, les frigos d'une pharmacie, les lignes de
production d'une entreprise agroalimentaire, le chauffage et contrôle d'accès
d'un immeuble de bureaux : tous ces équipements sont aujourd'hui pilotés par
des logiciels et souvent accessibles à distance. Ils deviennent autant de
portes d'entrée pour un pirate.
« Le message que nous
adressions aux PME est plus que jamais d’actualité : toutes les
entreprises peuvent être touchées, quelle que soit leur taille et quel que soit
leur métier. Un commerce de proximité n'a pas besoin d'être une entreprise du
numérique pour être exposé. Il suffit d'une caisse enregistreuse, d'une alarme
ou d'une chambre froide connectée », souligne Jérôme Robin.
Multirisque ou cyber :
quel contrat paie la marchandise perdue ?
Lors d’une cyberattaque
détruisant des biens, deux familles de contrats peuvent intervenir, avec une
zone grise existante entre les deux :
·
la multirisque professionnelle. La plupart des
commerces alimentaires y ont souscrit une garantie
« perte de marchandises sous
température régulée ». Elle indemnise les denrées perdues en cas de panne du
système de froid ou de coupure d'électricité. Mais ces dernières années, les
assureurs ont largement revu leurs contrats de dommages pour en exclure
explicitement les sinistres d'origine cyber. Conséquence : une même marchandise
détruite par la même hausse de température peut être indemnisée si le frigo est
tombé en panne, et refusée si la panne a été provoquée par un pirate. Beaucoup
de clauses d'exclusion réintègrent toutefois les dommages d'incendie ou
d'explosion qui résultent d'une attaque. Les magasins qui ont subi un départ de
feu seront donc généralement mieux couverts pour ces dommages que pour leurs
denrées.
·
L'assurance cyber, quand l'entreprise en a une, à condition que
le contrat cyber ne couvrent pas seulement les conséquences immatérielles d'une
attaque. En effet, la plupart prennent en charge l'intervention d'experts en
réponse à incident, la remise en état des systèmes et la reconstitution des
données mais aussi la perte d'exploitation, les frais juridiques, la gestion de
crise et la responsabilité civile envers les tiers. Pour autant les dommages
matériels, et donc la marchandise détruite, en sont souvent exclus, sauf
extension spécifique.
« Une entreprise peut
se croire assurée deux fois et ne l'être, en pratique, sur aucun des deux
contrats. Sa multirisque exclut le sinistre parce qu'il est d'origine cyber, et
son assurance cyber l'exclut parce qu'il s'agit d'un dommage matériel. C'est exactement
le piège que révèle cette attaque. Une assurance cyber ne remplace pas une
multirisque, et une multirisque ne remplace pas une assurance cyber : les deux
contrats doivent être pensés ensemble, et leurs garanties doivent s'emboîter
sans laisser de trou », explique Julien Durand, responsable assurances IARD.
L’entretien des
équipements, un point de vigilance
L’attaque soulève aussi
la question des responsabilités. Les magasins ou leurs assureurs pourront
tenter un recours contre le fabricant ou contre le frigoriste chargé de la
maintenance. Il faudra alors établir à qui revenait la mise à jour du logiciel.
Ces procédures sont longues et leur issue est incertaine.
À l’inverse, un
assureur pourrait opposer à son assuré un défaut d’entretien de ses
équipements. De plus en plus de contrats, cyber comme multirisques,
conditionnent d’ailleurs la garantie à des mesures de sécurité minimales :
mises à jour régulières, sauvegardes, authentification renforcée, contrats de
maintenance à jour.
72 heures pour porter
plainte, quel que soit le contrat
Depuis la loi LOPMI du
24 janvier 2023, l'article L.12-10-1 du Code des assurances subordonne
l'indemnisation des pertes et dommages causés par une cyberattaque au dépôt
d'une plainte. Cette plainte doit être déposée au plus tard 72 heures après
que la victime a pris connaissance de l'attaque. La règle vaut pour tout
contrat qui indemnise ces pertes, assurance cyber comme multirisque. Une
simple pré-plainte en ligne ne suffit pas, et l'enquête ouverte par le parquet
ne dispense pas chaque entreprise victime d'effectuer sa propre démarche. Si
des données personnelles ont été touchées, la violation doit en outre être
notifiée à la CNIL dans le même délai de 72 heures.
« Le jour d'une
attaque, le chef d'entreprise beaucoup d’urgence à gérer : sauver ce qui peut
l'être, rassurer ses clients, faire redémarrer son activité. La plainte passe
souvent au second plan, alors qu'elle conditionne toute l'indemnisation. Un
commerçant qui a découvert ses frigos à 50 °C lundi matin doit avoir porté
plainte d'ici jeudi matin. C'est le genre de réflexe qu'un courtier doit
rappeler dès la souscription et déclencher avec son client dès la première
heure du sinistre »,
insiste Jérôme Robin.
Le conseil NousAssurons
: faire un audit croisé de ses contrats
NousAssurons recommande
à toutes les entreprises, et en particulier à celles qui exploitent des
équipements connectés, de faire relire ensemble leur multirisque et leur
assurance cyber par leur courtier.
Il s'agit de vérifier
plusieurs points.
- La
multirisque contient-elle une exclusion cyber, et dans quelles limites ?
- La garantie de
perte de marchandises joue-t-elle quelle que soit la cause de la panne ?
- Le contrat
cyber prévoit-il une extension pour les dommages matériels consécutifs à une
attaque ?
- Couvre-t-il
la perte d'exploitation, compris lorsque l'attaque passe par un prestataire
ou un fournisseur ?
- Il faut
enfin contrôler les plafonds, les franchises et les conditions de sécurité
exigées.
« Notre métier de courtier, c'est précisément de regarder les contrats côte à côte, de repérer les angles morts et de construire une couverture cohérente. Pour une PME, une assurance cyber coûte en moyenne quelques centaines à quelques milliers d'euros par an. Le prix à payer pour une zone grise découverte le jour du sinistre est sans commune mesure », conclut Jérôme Robin.