Cybersécurité – Ransomwares : les assureurs interdits de prendre en charge les rançons réclamées par les hackers ? En France, des députés ont tout récemment pris l’initiative de déposer un nouveau projet de loi interdisant aux assureurs « de garantir, couvrir ou d’indemniser la rançon ».
Pour ces élus, l’interdiction de paiement de rançons permettrait de dissuader les pirates de cibler des entreprises, françaises surtout, en les privant de recettes. En effet, selon eux, ce sont ces mêmes rançons qui alimenteraient la cybercriminalité et contribueraient donc à son développement. Voilà pourquoi il serait urgent d’interdire les assureurs de proposer des polices de cyber-assurance.
Ransomwares : les assureurs interdits de prendre en charge les rançons réclamées par les hackers ? Ce sera bien le cas, si jamais le rapport parlementaire y afférant proposé par la députée Valéria Faure-Muntian venait à être votée.
Sommaires
Un rapport parlementaire propose d’interdire aux assurances de payer les rançons
À titre d’information, le Ransomware, dont les cibles privilégiées sont les entreprises, est un type de logiciel malveillant qui crypte les fichiers de ses victimes. En échange de la clé permettant le décryptage des fichiers pris en otage, le cybercriminel demande une rançon à ses victimes pour restaurer l’accès aux données lors du paiement. Dans la majorité des cas, les victimes se soumettent aux exigences de ses assaillants.
Le 13 octobre dernier, la députée LREM Valéria Faure-Muntian et accessoirement présidente du groupe d’études Assurances de l’Assemblée Nationale a présenté un rapport parlementaire proposant d’interdire aux assureurs « de garantir, couvrir ou d’indemniser la rançon » en cas d’attaque par rançongiciel ou « ransomware ».
Selon elle, « le paiement des rançons alimente la cybercriminalité ». Elle ajoute aussi dans son rapport que « le paiement de rançon ne garantit même pas que l’entreprise retrouvera sa situation initiale comme s’il n’y a jamais eu d’attaque. Il se trouve en effet que même si les données prises en otage sont rendues et leur intégrité toujours intacte, souvent le simple fait d’avoir été victime d’une cyberattaque suffit à porter atteinte à la réputation d’une entreprise.
Dans son rapport, Valéria Faure-Muntian déclare également que le paiement, au lieu de régler le problème, a au contraire pour effet d’inciter les cybercriminels à récidiver, pire encore à donner à d’autres personnes en quête d’argent facile des idées de mettre en place des cyberattaques.
Cyber assurance – Ransomwares – la cause de l’explosion des ransomwares.
Selon le site Jdsupra, de nombreuses études faîtes aux États-Unis fourniraient des preuves solides sur le lien étroit qui existe entre la fréquence des cyberattaques et l’augmentation du nombre des victimes qui acceptent des payer des rançons. Les études en question confirmeraient le fait que la couverture d’assurance pour les paiements d’extorsion exacerbe les problèmes des rançongiciels, pas seulement aux Etats-Unis, mais partout dans le monde.
Une étude faite par NetDiligence (société privée américaine de services d’évaluation des cyber-risques et de violation de données) avance qu’au cours de ces dernières années, la demande moyenne de rançon s’est décuplée. Sur la même période, les attaques par Ransomware ont, eux aussi, fortement augmenté. Voici les chiffres :
- Au cours du premier semestre 2020 aux Etats-Unis, les cyberattaques impliquant des rançongiciels ont augmenté de 260 % par rapport au premier semestre 2019. Les demandes de rançon, quant à eux, avait augmenter de 47 %.
- En 2020, les victimes d’attaque par rançongiciel ont dû payer 350 millions USD de rançon, soit une augmentation de 311% par rapport à l’année précédente.
D’ailleurs, toujours selon le site d’information Jdsupra, les autorités américaines sont totalement contre le paiement de rançons. Le FBI aurait même déclaré dans un document officiel qui traite de la cybercriminalité que : « payer une rançon peut encourager des adversaires à cibler d’autres organisations, encourager d’autres acteurs criminels à se lancer dans la distribution de rançongiciels et/ou financer des activités illicites ».
Les entreprises pourraient être sanctionnées en cas de paiement de rançon
En plus d’interdire aux assureurs de proposer des offres d’assurance cyber, le rapport établi par la députée LREM Valéria Faure-Muntian demande également des sanctions à l’encontre des « entreprises, administrations ou collectivités » qui paieraient des rançons.
Du côté des entreprises, qui à titre d’information sont les cibles privilégiées des cyberattaques, ces propositions sont sévèrement critiquées, mais qui font aussi peur. Elles pourraient surtout mettre les petites entreprises, ceux qui sont plus vulnérables aux cyberattaques, dans une situation invivable vu qu’elles n’auront plus la possibilité de dialoguer ou marchander si elles étaient victimes d’une attaque par ransomware.
Pour Marc-Henri Boydron, fondateur de Cyber Cover, ne pas offrir à une entreprise le seul moyen pour elle de récupérer ses données en cas d’attaque serait tout simplement la tuer. À la place d’une stricte interdiction du paiement, au nom des entreprises, il souhaite de la part des autorités un encadrement du paiement des rançons.
AXA qui a déjà suspendu son offre assurance cyber risque depuis mai 2021
Depuis mai 2021, l’assureur AXA aurait déjà suspendu la couverture d’assurance en France pour les paiements d’extorsion de ransomware. Selon plusieurs sites d’information français, il aurait pris cette décision en réponse à une discussion sur la cybersécurité faite par les autorités françaises au Sénat en mars 2021. En effet, à l’époque, le bruit d’un futur projet de loi interdisant les assureurs de prendre en charge des rançons réclamées par les hackers courait déjà. Et les assureurs ont été les premiers à en avoir pris connaissance.
La solution proposée pour lutter contre les attaques par Ransomwares
Pour lutter efficacement contre les attaques par ransomwares, le rapport parlementaire déposé par la députée LREM Valéria Faure-Muntian met l’accent sur la prévention et l’éducation au risque cyber.
Cela sous-entend qu’au lieu de souscrire à une police d’assurance cyber risques, les entreprises devraient plutôt concentrer les moyens humains et financiers qu’ils ont à disposition pour la mise en place d’une stratégie proactive dans le but minimiser le risque d’une attaque réussie.
Il est nécessaire de faire les (mise à jour régulière des systèmes avec les correctifs, filtrage du contenu Web, utilisation de système de monitoring, utilisation de l’authentification multi facteur sur tous les comptes…), la conception d’un plan de réponse aux incidents bien rodé ou encore la mise en place d’un système de sauvegarde robuste pour protéger les données en cas d’incident.
Enfin, nous ne saurions finir cet article, sans attirer l’attention du lecteur, sur les nécessités de formation de son personnel, et sur les évidentes précautions qu’il convient de prendre, face à la réception de ransomwares, souvent par messagerie.
Autres articles
