La question de payer ou de ne pas payer une rançon est posée à l'assuré, jamais à l'assureur, et c'est le premier malentendu à lever. Une police d'extorsion ne décide rien : elle rembourse, sous conditions, une décision que l'entreprise prend seule et dont elle porte la responsabilité. Cette répartition n'est pas une prudence de rédaction, elle est la seule tenable : personne d'autre que le dirigeant ne peut arbitrer entre la survie de son activité et ce que le paiement finance. Ce que l'assurance apporte est de rendre cette décision moins mauvaise en la documentant, en la chiffrant, et en la bordant juridiquement.
L'arbitrage se pose d'abord en termes de temps et il se chiffre. Payer et obtenir une clé de déchiffrement peut rétablir l'activité en quelques jours ; reconstruire depuis les sauvegardes peut prendre des semaines. L'écart entre les deux se convertit directement en perte d'exploitation, et cette conversion est ce qui rend la comparaison possible : six semaines de reconstruction sur une marge donnée représentent un montant que l'on peut mettre en regard de la rançon demandée. C'est un calcul froid et il ne suffit pas, mais il faut l'avoir fait, parce qu'une décision prise sans lui se prend sur la peur.
Il faut ensuite savoir que payer n'éteint pas le sinistre, et c'est le second malentendu. Une clé de déchiffrement fonctionne rarement bien : elle est lente, elle échoue sur une partie des fichiers, et la restauration reste un chantier de plusieurs semaines. Surtout, la pratique dominante associe le chiffrement à une exfiltration préalable : les données sont déjà sorties, et le paiement n'achète qu'une promesse de ne pas les publier, promesse qu'aucun mécanisme ne garantit. Un assuré qui paie pour éviter une fuite achète donc quelque chose qui n'existe pas, tandis que celui qui paie pour raccourcir une interruption achète quelque chose de réel mais d'imparfait.
Vient la contrainte qui ne se négocie pas et qui rejoint ce que cette certification a vu ailleurs : les sanctions. Un paiement au bénéfice d'une entité désignée est interdit, quelle que soit la couverture, et la police ne peut pas rembourser ce que la loi interdit de payer. Il en résulte une situation exactement parallèle au sinistre couvert et impayable : la garantie joue, la dépense est légitime, et le versement est prohibé. C'est pourquoi la vérification du destinataire est un préalable et non une formalité, qu'elle est conduite par des spécialistes, et qu'elle prend un temps que l'urgence supporte mal.
L'accord préalable de l'assureur est la deuxième condition et il faut comprendre ce qu'il protège. Un paiement effectué sans le prévenir sera discuté, non par mauvaise volonté mais parce que l'assureur ne peut pas vérifier après coup ce qu'il aurait vérifié avant : le caractère raisonnable du montant, la réalité de la menace, la conformité du destinataire. La plupart des polices prévoient un numéro à appeler et une décision rapide, en heures. Un assuré qui paie d'abord et déclare ensuite transforme une garantie en réclamation contentieuse, sur une dépense qu'il ne peut plus annuler. Pour un assuré français, la loi ajoute une troisième condition, qui ne dépend pas du contrat : depuis la loi LOPMI, l'article L. 12-10-1 du code des assurances subordonne toute indemnisation des pertes causées par une atteinte à un système de traitement automatisé de données au dépôt d'une plainte au plus tard soixante-douze heures après que la victime en a eu connaissance. Elle vaut pour les personnes morales et pour les personnes physiques dans leur activité professionnelle.
Un mot sur les négociateurs, parce que leur rôle est mal compris. Ce ne sont pas des intermédiaires qui obtiennent un rabais : ils établissent un canal, vérifient que l'interlocuteur détient réellement la clé, testent le déchiffrement sur un échantillon, et ralentissent une conversation que l'attaquant veut rapide. Ce ralentissement a une valeur en soi, parce qu'il laisse le temps à la restauration d'avancer et donc au calcul de changer. Ils font partie des prestataires de la liste de l'assureur, et c'est l'une des rares situations où passer par la liste est un avantage évident.
La discipline tient en quatre gestes à préparer à froid. Savoir qui, dans l'entreprise, a le pouvoir de décider un paiement, parce que cette question posée pendant la crise perd des heures. Savoir que la conformité du destinataire se vérifie avant tout versement et que cela prend du temps. Savoir qu'il faut appeler l'assureur avant de payer, sur un numéro connu et noté hors du réseau. Et avoir chiffré à l'avance ce que coûterait une reconstruction complète, parce que c'est ce chiffre, et non la peur, qui doit se trouver en face de la somme demandée.
Une entreprise de logistique, 60 millions d'euros de chiffre d'affaires et 18 pour cent de marge brute, découvre un lundi que ses systèmes d'exploitation d'entrepôts sont chiffrés. Les attaquants demandent l'équivalent de 900 000 euros et annoncent détenir 400 gigaoctets de données commerciales. L'équipe technique estime la reconstruction depuis les sauvegardes à six semaines, et le déchiffrement à deux jours si la clé fonctionne. La direction veut payer immédiatement pour éviter la publication des données. La police couvre l'extorsion sous accord préalable. Deux des trois adresses de paiement indiquées présentent des correspondances partielles avec des listes de désignation. Que faut-il faire ?
Le motif invoqué par la direction est le seul qui ne tienne pas, et il faut le dire avant de discuter du montant. Payer pour éviter la publication des 400 gigaoctets revient à acheter une promesse que rien ne garantit : les données sont déjà sorties, et aucun mécanisme n'oblige un attaquant à les détruire. Ce que le paiement peut acheter réellement, c'est du temps sur l'interruption, et cela se chiffre : six semaines de reconstruction représentent environ 1,24 million d'euros de marge brute perdue, contre deux jours et 900 000 euros de rançon si la clé fonctionne, ce qui n'est jamais certain et suppose de toute façon plusieurs semaines de restauration. Le calcul penche donc vers le paiement, mais pour une raison différente de celle avancée, et avec une marge plus étroite qu'il n'y paraît. Deux préalables commandent ensuite la suite et aucun n'est contournable. Les correspondances partielles avec des listes de désignation doivent être levées avant tout versement : un paiement au bénéfice d'une entité désignée est interdit quelle que soit la couverture, et la police ne peut rembourser ce que la loi interdit de payer. Et l'accord préalable de l'assureur se demande maintenant, sur le numéro d'urgence, parce qu'un paiement fait d'abord et déclaré ensuite transforme une garantie en réclamation contentieuse sur une dépense irréversible. Si l'entreprise est française, une troisième condition court déjà depuis lundi : sans plainte déposée dans les soixante-douze heures, l'assureur peut refuser toute indemnisation, rançon comprise. Le geste utile aujourd'hui est donc d'engager en parallèle la vérification du destinataire, l'accord de l'assureur et la restauration, cette dernière ayant l'avantage de faire baisser chaque jour la valeur de la rançon.
- 01La décision appartient à l'assuré, jamais à l'assureur : la police ne décide rien, elle rembourse sous conditions une décision prise seul.
- 02Payer pour éviter une publication achète une promesse que rien ne garantit ; payer pour raccourcir une interruption achète quelque chose de réel mais d'imparfait.
- 03L'arbitrage se chiffre : la reconstruction se convertit en perte d'exploitation, et c'est ce montant qui doit se trouver en face de la somme demandée.
- 04Un paiement au bénéfice d'une entité désignée est interdit quelle que soit la couverture : la vérification du destinataire est un préalable, pas une formalité.
- 05Payer d'abord et déclarer ensuite transforme une garantie en réclamation contentieuse sur une dépense qu'on ne peut plus annuler.