Les réponses et les explications de chaque question s’affichent ici une fois le parcours terminé. Elles renvoient alors vers la fiche du glossaire correspondante, où la notion est traitée en entier avec son exemple chiffré.
1. Un assureur cyber veut tarifer à partir de sa sinistralité des trois dernières années, analysée par groupe d'attaquants. Qu'est-ce qui rend cet exercice trompeur ?
Les marques se dissolvent et se reforment sous d'autres noms après les opérations de police, si bien que la série ne suit pas une population stable
Le rançongiciel en tant que service est une division du travail calquée sur l'économie du logiciel : des opérateurs développent et maintiennent le rançongiciel, son infrastructure de paiement et son site de fuite, des affiliés se chargent de l'intrusion et du déploiement, et la rançon se partage selon une clé négociée, souvent 70 à 80 % pour l'affilié. La barrière technique tombe, puisqu'il n'est plus nécessaire de savoir coder pour mener une campagne. Pour l'assureur, ce modèle explique l'industrialisation des attaques et la corrélation croissante des sinistres quand une même souche frappe plusieurs assurés. Mais l'écosystème est volatil : après une opération de police, la marque disparaît et les mêmes acteurs reviennent sous un autre nom. LockBit a fonctionné des années ainsi, jusqu'au démantèlement partiel par l'opération Cronos en 2024. Une série indexée sur les marques mesure donc des étiquettes, pas des populations.
Fiche du glossaire →2. Un accès administrateur à une entreprise est mis en vente sur un forum clandestin, puis exploité par un affilié de rançongiciel plusieurs semaines plus tard. Quelle difficulté contractuelle cela crée-t-il ?
La datation du fait générateur, la compromission initiale précédant de plusieurs semaines le sinistre déclaré
Le courtier d'accès initial ne fait qu'une chose : obtenir un accès à des réseaux d'entreprise, puis le revendre sur des forums clandestins, notamment aux affiliés de rançongiciels. Ce qu'il vend prend la forme d'identifiants valides, d'un accès par bureau à distance, d'une vulnérabilité exploitable ou d'une session déjà ouverte. Intrusion et monétisation sont devenues deux métiers séparés. Pour la souscription, cela déplace une part de l'analyse vers l'hygiène d'authentification, l'exposition des services distants et la rapidité de correction. Et cela crée une difficulté que le contrat doit trancher : un accès peut être revendu des mois avant d'être exploité, si bien que la compromission et le sinistre déclaré tombent parfois de part et d'autre d'un changement d'assureur.
Fiche du glossaire →3. Depuis le durcissement du marché autour de 2021, l'absence d'authentification multifacteur sur les accès distants conduit fréquemment à un refus de garantie ou à des conditions dégradées. Qu'est-ce que l'assureur obtient avec cette exigence, en plus d'une réduction du risque ?
Un signal sur la maturité de sécurité de l'assuré, qui atténue l'anti-sélection
L'authentification multifacteur exige au moins deux preuves d'identité de natures différentes, de sorte qu'un mot de passe volé ne suffit plus à ouvrir le compte. C'est l'une des mesures les plus efficaces contre le vol d'identifiants, c'est-à-dire contre ce que vend précisément le marché de l'accès initial. Mais l'exigence fait un second travail : la déployer sur l'ensemble des accès sensibles, messagerie, accès distants, comptes d'administration, suppose une organisation qui connaît son propre parc. Elle trie donc les dossiers autant qu'elle réduit le risque, et c'est cette fonction de tri qui atténue l'anti-sélection. Un même dossier refusé sur ce point revient souvent accepté à des conditions nettement meilleures une fois le déploiement fait.
Fiche du glossaire →4. Les rançons du big game hunting sont calibrées sur l'analyse financière publique de la victime, souvent entre 0,5 et 3 % du chiffre d'affaires annuel. Quelle conséquence un assureur cyber en tire-t-il sur son portefeuille ?
Les sinistres les plus lourds se concentrent sur les assurés qui portent les couvertures les plus larges
Le big game hunting est le passage délibéré à un ciblage de grandes organisations capables de payer plusieurs millions, contre les campagnes de masse qui visaient des centaines de milliers de cibles modestes pour quelques centaines ou milliers de dollars. Il a été rendu possible par la maturation du modèle en tant que service, par les courtiers d'accès qui fournissent des cibles qualifiées, et par la professionnalisation des unités de négociation. Pour l'assureur, cette bifurcation crée une corrélation adverse : les sinistres les plus coûteux tombent sur les assurés qui, précisément, portent les couvertures les plus larges. L'écart croissant entre paiement moyen et paiement médian est la signature statistique de cette concentration, et c'est pourquoi une moyenne seule ne dit rien d'utile sur un portefeuille.
Fiche du glossaire →5. WannaCry s'est propagé à partir du 12 mai 2017 en exploitant une vulnérabilité pour laquelle Microsoft avait publié le correctif MS17-010 en mars 2017. Que retient un souscripteur de ce décalage de deux mois ?
Que la variable qui sépare les assurés touchés des autres est le délai d'application des correctifs, et qu'elle s'observe avant le sinistre
WannaCry est un rançongiciel de type ver : contrairement à un rançongiciel classique qui suppose une action humaine, il se propageait de machine en machine sans intervention, sur les réseaux qui n'avaient pas appliqué le correctif publié deux mois plus tôt. En quelques heures, plus de 200 000 systèmes dans 150 pays ont été touchés, dont le NHS britannique, des télécommunications espagnoles et des usines automobiles en France et en Roumanie, pour un dommage économique mondial estimé au-delà de quatre milliards de dollars. Pour les modèles, c'est l'exemple canonique d'une attaque à propagation automatique : la corrélation des sinistres est quasi parfaite sur les réseaux vulnérables, ce qui rend la mutualisation inopérante, et le scénario reste une référence des modèles de sinistre maximal probable cyber. Ce qui a séparé les touchés des autres n'était pas la chance, c'était une cadence de correction, et elle se mesure en souscription.
Fiche du glossaire →6. En février 2024, la compromission de Change Healthcare a perturbé environ 94 % des prestataires de soins américains et affecté quelque 192,7 millions de personnes. Un assureur cyber avait pourtant sélectionné ses hôpitaux assurés un par un. Qu'est-ce que cet évènement met en défaut ?
La diversification, un maillon partagé qu'aucun assuré ne contrôle produisant une perte corrélée
Change Healthcare est une plateforme de traitement des paiements de santé utilisée par la quasi-totalité des établissements américains. Sa compromission en février 2024 a été la plus grande cyberattaque de l'histoire de la médecine américaine : environ 192,7 millions de personnes affectées, plus de la moitié de la population, et quelque 94 % des prestataires de soins perturbés. C'est le cas emblématique de l'accumulation par le fournisseur : une seule compromission en amont frappe simultanément des milliers d'assurés qui reposent sur la même infrastructure. La sélection soignée de chaque hôpital n'y change rien, parce que la dépendance souscrite n'apparaissait dans aucun dossier individuel. Ce n'est donc pas un défaut de souscription, c'est une limite de la diversification, et les deux ne se corrigent pas de la même façon.
Fiche du glossaire →7. Une panne de nuage dure entre quinze et seize heures, contre une franchise temporelle de huit à douze heures selon les contrats. Les estimations de perte assurée pour ce seul évènement vont de 38 à 581 millions de dollars. Qu'est-ce que ce facteur quinze mesure ?
La sensibilité de la perte au seuil de franchise, la densité des durées de panne se concentrant précisément autour de lui
Une franchise temporelle est une franchise exprimée en durée, en deçà de laquelle une interruption ne donne lieu à aucune indemnité. Elle est le plus souvent fixée entre huit et douze heures par convention de marché, sans étude actuarielle de la distribution des durées de panne. Or cette distribution est dense entre quelques heures et une journée, c'est-à-dire exactement là où se trouve le seuil : le déplacer de quatre heures ne change pas la perte de 20 %, il la change d'un ordre de grandeur. La perte assurée d'une panne d'hyperscaleur n'est donc pas fixée par l'évènement, elle est fixée par cette clause. La conséquence pratique est nette : une exposition cyber catastrophique se lit dans les rédactions avant de se lire dans les modèles.
Fiche du glossaire →8. Un maliciel affiche une demande de rançon alors que les données sont déjà détruites de façon irrécupérable. Comment nomme-t-on cet outil, et qu'est-ce que le déguisement change pour l'assureur ?
Un logiciel d'effacement, dont le déguisement brouille l'attribution et donc l'application de l'exclusion de guerre
Un logiciel d'effacement vise la destruction et non le gain : il corrompt les fichiers et parfois les systèmes de façon irréversible, sans perspective de récupération. Sa logique est celle du sabotage, souvent associée à des motivations géopolitiques, et certains se déguisent en rançongiciels précisément pour brouiller l'attribution. NotPetya, en 2017, en est le cas emblématique : sous l'apparence d'un rançongiciel, il a effacé les données d'innombrables entreprises pour des milliards de dollars de dommages. Pour l'assurance, trois difficultés se cumulent : l'ampleur catastrophique, l'impossibilité de récupération qui aggrave la perte d'exploitation, et surtout la question de l'attribution étatique, qui peut faire jouer l'exclusion de guerre et qui a nourri tout le débat sur le cyber silencieux.
Fiche du glossaire →9. Une police cyber porte une clause LMA en version B, dépourvue de clause d'attribution, et l'assureur invoque l'exclusion d'opération cyber étatique. Aucune attribution officielle n'a été publiée. Qui doit établir quoi ?
L'assureur, qui supporte la charge de prouver l'attribution selon le droit applicable au contrat
L'attribution est à la fois technique, juridique et politique, et elle conditionne l'application des exclusions d'opération cyber étatique. Les clauses en version A (5564A, 5565A, 5566A, 5567A) portent une clause d'attribution explicite : assuré et assureur tiennent compte des éléments de preuve objectivement raisonnables disponibles, y compris une attribution formelle ou officielle par le gouvernement de l'État où se trouve le système affecté. Cette rédaction ne déplace pas la charge de la preuve, qui reste à l'assureur, elle oriente la méthode d'appréciation. Les versions B en sont dépourvues, et l'attribution doit alors être prouvée selon le droit du contrat. La variante Hamilton ajoute un arbitre indépendant en cas de désaccord persistant. Enfin, l'absence d'attribution officielle ne signifie pas qu'aucun État n'est responsable : Colonial Pipeline en 2021, imputé au groupe DarkSide sans attribution étatique, a été traité comme un acte cybercriminel ordinaire, là où WannaCry a été officiellement attribué à la Corée du Nord par les États-Unis et le Royaume-Uni.
Fiche du glossaire →