Devant l’ampleur des rançons payées, l’État travaille à clarifier les conditions d’indemnisation des victimes de ransomware par les assurances. Un projet de loi est à l’examen.
Selon NordLocker, un fournisseur de service cloud, la France serait le 4ème pays au monde le plus touché par les ransomware (entre 2020 et 2021). Ces tristement célèbres logiciels de rançon s’en sont déjà pris à plusieurs hôpitaux français, mais aussi des administrations, collectivités (comme à Guéret) et au total à près de 14% de nos entreprises (chiffres 2020). Cet « engouement » pour notre pays s’explique facilement : près des deux tiers des entreprises françaises paralysées par un ransomware ont payé la rançon.
Selon les cas, c’est soit la victime qui paye (quand elle le peut…) soit son assurance quand celle-ci a contracté une garantie contre les cyber-attaques. Une rançon qui au final est bien moins coûteuse pour l’assureur que de devoir couvrir la perte de données et la restauration de tout un réseau informatique…
Payer la rançon ou pas ? Le ransomware divise
Devant l’ampleur du fléau informatique n°1, la question du paiement de la rançon (et donc de l’indemnisation des victimes de ransomware) fait débat, notamment chez les assureurs eux-mêmes. Il y a les pour et les contre, les seconds accusant les premiers de contribuer directement à accroître le nombre des attaques de ransomware en acceptant de payer.
Pourtant la question est loin d’être aussi simple : faute de payer la rançon, indemniser le coût de reconstitution des données reviendrait à augmenter très sensiblement les primes d’assurance. Ce qui ne solutionnerait certainement pas le problème, surtout pour les petites entreprises. Et augmenterait considérablement le nombre de faillites et autres arrêts d’activité… Payer ou couler, tel est l’enjeu.
Au rang des opposés au paiement des ransomware, l’Etat pointait lui aussi aux avant-postes. Mais le vent tourne. Alors qu’on évoquait une loi pour interdire le paiement des rançons il y a encore à peine un an (!), c’est tout le contraire qui semble se profiler en ce début 2022.
Pour obtenir la clé de décryptage des données, le paiement des rançons des ransomware s’effectue en bitcoins.
Une loi sur l’indemnisation des victimes de ransomware à l’étude
C’est en tout cas le sujet d’une des mesures du projet de loi d’orientation et de programmation du ministère de l’Intérieur 2022-2027 (LOPMI). Celle-là propose d’encadrer « les clauses de remboursement des rançongiciels par les assurances (soit l’indemnisation des victimes de ransomware), en conditionnant ce remboursement au dépôt rapide d’une plainte par la victime, afin d’améliorer l’information des forces de sécurité et de l’autorité judiciaire et de « casser » le modèle de rentabilité des cyber-attaquants. » Le délai de dépôt de plainte serait de 48 heures après le paiement de la rançon.
On se doute que ce projet de loi ne fasse encore pas l’unanimité, mais il a le mérite de clarifier les choses et d’offrir des solutions concrètes aux victimes. De leur côté, les forces de Police estiment que l’ampleur du phénomène des ransomware est largement sous-estimée, toutes les victimes ne portant pas forcément plainte pour ne pas risquer de ternir leur image.
Conditionner le remboursement à un dépôt de plainte obligatoire permettrait ainsi d’obtenir davantage d’informations pour mieux lutter contre les pirates.
Les avocats estiment eux que fixer des conditions de remboursement contribuerait à « déculpabiliser » les payeurs et développer de fait l’assurance cyber en clarifiant les conditions d’indemnisation.
Une décision très attendue…
Pour l’heure, le projet de loi sur l’indemnisation des victimes de ransomware est encore en discussion entre les différentes parties. On imagine sans mal l’importance de l’enjeu : en 2020, le montant total des rançons versées aux pirates dans le monde représentait pas moins de 1000 milliards de dollars…
Sources : www.argusdelassurance.com, www.agefi.fr
Lire aussi :
Projet de loi d’orientation et de programmation du ministère de l’Intérieur 2022-2027 (LOPMI)
