Merck et Mondelez, ce que les juges ont lu

Une même attaque, NotPetya, deux victimes, deux polices dommages et deux exclusions de guerre de rédaction voisine : le marché aurait pu attendre de ces deux affaires une réponse nette à la question « une cyberattaque d'État est-elle un acte de guerre au sens d'une police ? ». Il n'a reçu qu'un jugement, et ce jugement ne portait pas sur la guerre. Celui de Merck porte sur le sens de quelques mots ; l'affaire Mondelez s'est arrêtée avant que le juge ne parle. Cette leçon lit ce que les juges ont effectivement lu, parce que c'est cela, et non le débat géopolitique, qui a dicté la rédaction des clauses LMA. La première leçon du cours plaçait les deux affaires dans la chronologie ; celle-ci entre dans les textes et dans les raisonnements.

L'exclusion opposée à Merck par une trentaine de ses assureurs dommages écartait les pertes causées par une « action hostile ou guerrière, en temps de paix ou de guerre », menée par un gouvernement ou une puissance souveraine, de droit ou de fait, par des forces militaires, navales ou aériennes, ou par un agent de ces autorités. Les assureurs en tiraient deux arguments. Les mots « en temps de paix » montraient que la clause ne supposait pas une guerre déclarée ; la mention de l'agent d'un gouvernement couvrait une unité de renseignement militaire agissant par logiciel. Merck réclamait environ 1,4 milliard de dollars. Le raisonnement des assureurs était cohérent avec la lettre de la clause prise mot par mot ; il lui manquait un appui dans le sens ordinaire de l'expression prise en entier.

En janvier 2022, le tribunal de première instance du comté d'Union donne raison à Merck sur ce point. Il relève que les assureurs connaissaient le risque d'attaque informatique depuis des années, que le marché avait commencé à écrire des exclusions cyber explicites, et qu'ils n'avaient pourtant pas modifié la rédaction de la leur. Un assuré pouvait donc raisonnablement comprendre que la clause visait les formes traditionnelles de la guerre. Ce raisonnement ne dit pas ce qu'est la guerre ; il dit qu'un rédacteur qui pouvait écrire plus clairement et ne l'a pas fait supporte l'incertitude qu'il a laissée. C'est la règle d'interprétation contre le rédacteur, appliquée à un texte que personne n'avait relu depuis l'apparition du risque qu'on lui demandait d'exclure.

Le 1er mai 2023, la division d'appel du New Jersey confirme, sur un motif plus étroit. Elle lit l'expression « action hostile ou guerrière » dans son contexte et selon son sens courant, et conclut qu'elle suppose l'implication d'une action militaire. NotPetya a frappé, par la mise à jour d'un logiciel comptable, une entreprise qui n'avait rien de militaire et dont l'activité était commerciale. La cour n'a pas eu à trancher l'attribution : même en tenant l'attaque pour l'œuvre d'un État, l'exclusion ne jouait pas, faute d'action militaire. Elle s'inscrit dans une jurisprudence américaine ancienne qui lit étroitement les exclusions de guerre, dont l'arrêt Pan American c. Aetna de 1974, rendu sur le détournement d'un avion de ligne. La transaction du 3 janvier 2024 a laissé cet arrêt comme dernier mot.

L'affaire Mondelez, introduite en octobre 2018 devant un tribunal de l'Illinois contre Zurich American, montre l'autre face du problème. Le groupe réclamait environ 100 millions de dollars ; son assignation décrivait 1 700 serveurs et 24 000 ordinateurs portables mis hors d'usage. L'exclusion de Zurich visait elle aussi les actions hostiles ou guerrières d'un gouvernement, d'une puissance souveraine ou de leurs agents. Le débat ne pouvait donc pas se limiter au sens des mots : il fallait prouver, devant un juge, que l'attaque était l'œuvre d'un service de l'État russe. L'attribution de février 2018 était une déclaration politique de deux gouvernements, appuyée sur des renseignements qu'ils ne versent pas aux débats. La transformer en preuve judiciaire supposait des experts, des pièces techniques et un adversaire libre de les contester. Les parties ont transigé en 2022, pendant le procès, à des conditions confidentielles : personne ne sait ce qu'un juge aurait tenu pour établi.

Le souscripteur retient de ces deux affaires trois constats, devenus trois dispositions des clauses de 2023. Le premier : un juge lit des mots et non une situation géopolitique, et une exclusion qui ne nomme pas l'opération cyber ne l'exclut pas ; d'où la définition de l'opération cyber, qui ne suppose aucune force militaire. Le deuxième : l'exclusion est une défense, dont l'assureur porte la preuve, et le doute profite à l'assuré ; d'où la phrase des versions A qui maintient expressément cette charge au lieu de feindre de la déplacer. Le troisième : l'attribution publique n'est une preuve que si le contrat en fait une ; d'où la clause d'attribution, qui désigne le gouvernement dont la parole compte. Le coût de l'ancien texte se mesure aussi en temps : six ans et demi entre l'attaque et la transaction de Merck, pendant lesquels personne ne savait ce que valait le contrat.

Sources : Merck & Co. c. ACE American Insurance Co., division d'appel de la Cour supérieure du New Jersey, 1er mai 2023, et décision du tribunal du comté d'Union de janvier 2022, recoupées par Insurance Journal et Simpson Thacher ; Mondelez International c. Zurich American Insurance Co., tribunal du comté de Cook, Illinois, assignation d'octobre 2018 et transaction de 2022, recoupées par The Record et Cybersecurity Dive ; Pan American World Airways c. Aetna Casualty & Surety Co., cour d'appel fédérale du deuxième circuit, 1974. Les fiches « Merck c. ACE American » et « Mondelez c. Zurich » du glossaire de l'observatoire reprennent les mêmes faits sous forme brève.