Tous les modèles de cumul corrèlent des pertes. Ils cherchent le fournisseur commun, la vulnérabilité commune, la dépendance partagée, et ils répondent à la question de savoir combien d'assurés seront touchés en même temps. Il existe pourtant une corrélation qui ne touche aucune perte et qui frappe autre chose : la capacité même d'indemniser. Le jour où un groupe attaquant est inscrit sur une liste de sanctions, tout paiement de rançon à son profit devient illicite au même instant, sur tous les dossiers du portefeuille qui le concernent. L'exposition n'a pas bougé d'un euro. Ce qui a changé, c'est le droit de payer, et il a changé pour tout le monde en même temps.
Il faut mesurer que ce n'est pas une exclusion. Une exclusion est une stipulation du contrat, elle s'interprète, elle se plaide, et la charge de la preuve pèse sur celui qui l'invoque. Un empêchement de sanction naît hors du contrat : la garantie existe toujours, elle est simplement devenue illicite à exécuter. La plupart des polices de Londres le redisent par une clause de sanctions, la LMA3100A, qui dispense l'assureur de payer lorsque le paiement l'exposerait à une sanction des Nations unies, de l'Union européenne, du Royaume-Uni ou des États-Unis : l'empêchement devient alors aussi une stipulation, sans devenir une exclusion à prouver. L'Advisory de l'Office of Foreign Assets Control du 21 septembre 2021 a explicitement étendu le régime des sanctions à la chaîne de facilitation des paiements de rançon, en visant nommément les compagnies d'assurance cyber et les sociétés de réponse à incident. Le principe est celui de la responsabilité stricte, ce qui signifie que l'absence d'intention frauduleuse ne protège personne. Un assureur de bonne foi qui facilite un paiement au profit d'une entité listée engage sa responsabilité, et sa bonne foi ne figure pas parmi les moyens de défense. Ce régime est américain, et il n'atteint un assureur français que par un lien avec les États-Unis, un paiement en dollars, une personne ou une filiale américaine. Le droit qui le lie d'abord est celui des règlements de sanctions de l'Union, dont le régime propre aux cyberattaques, le règlement 2019/796 ; un souscripteur de Londres y ajoute l'OFSI britannique, dont les sanctions civiles reposent elles aussi sur la responsabilité stricte depuis juin 2022.
S'ajoute une difficulté de calendrier qui rend la règle très inconfortable en pratique. L'attribution d'un rançongiciel à un groupe, puis du groupe à des personnes listées, ne se fait pas avant la négociation : elle se construit pendant. Les renseignements en source ouverte se précisent au fil des échanges, souvent après que l'assureur a autorisé un négociateur et que le compte à rebours de l'attaquant a commencé. L'empêchement peut donc apparaître au milieu du processus, sur un dossier déjà engagé. Et pendant que la question juridique s'instruit, l'horloge de la perte d'exploitation continue de tourner : le temps du contrôle de conformité est du temps d'arrêt, et il se chiffre.
Vient alors la corrélation proprement dite, et c'est elle qui fait de ce sujet une question de cumul. Une inscription unique affecte simultanément tous les assurés en cours de négociation avec le même groupe. La panne d'un hébergeur corrèle des pertes ; une inscription corrèle des empêchements. Aucun modèle de cumul ne l'attrape, parce que les modèles sont bâtis sur des expositions et des dépendances techniques, jamais sur des permissions juridiques. La corrélation est même plus brutale que celle d'une panne : une inscription procède d'une décision administrative, elle arrive sans préavis, et elle s'applique à un paiement déjà en cours de préparation.
L'effet inverse existe et il est tout aussi corrélé, ce qui rend le tableau complet plus intéressant qu'une simple menace. Une action publique peut aussi supprimer le besoin de payer. L'opération Cronos, coordonnée par la National Crime Agency britannique et Europol avec dix pays, rendue publique le 20 février 2024, a saisi trente-quatre serveurs du groupe LockBit, identifié cent quatre-vingt-quatorze affiliés et permis la récupération de plus de sept mille clés de déchiffrement, mises à disposition des victimes. Les paiements mondiaux de rançons ont reculé de trente-cinq pour cent en 2024. La même catégorie d'évènement, une action des autorités contre un groupe, peut donc soit interdire un paiement, soit le rendre inutile, et rien dans la nature du risque ne dit lequel des deux effets arrivera en premier sur un dossier donné.
Un dernier fait mérite d'être regardé en face parce qu'il ruine une pratique répandue. Après Cronos, LockBit a tenté de se rétablir et plusieurs de ses affiliés ont migré vers des groupes concurrents, RansomHub et Akira. La disparition d'une marque n'a donc pas fait disparaître les opérateurs : elle les a renommés. Un modèle de cumul indexé sur des noms de groupes mesure alors une convention d'appellation et non un risque, et il enregistre une baisse d'exposition au moment précis où les mêmes personnes reprennent la même activité sous une autre enseigne. C'est le genre d'erreur qui se voit très bien après coup et jamais pendant, parce que la donnée qu'on suit est propre, datée et fausse.
Il en découle une conséquence opérationnelle simple et une conséquence de garantie moins simple. La première est que la question de sanction est la seule variable que l'assureur maîtrise vraiment, non par sa réponse mais par le moment où il la pose : posée le premier jour, elle oriente tout le dossier ; posée au moment de virer les fonds, elle arrive trop tard pour changer quoi que ce soit. La seconde tient à la double extorsion. Depuis que l'exfiltration précède le chiffrement, un paiement licite et effectué n'éteint pas la menace de publication, donc n'éteint pas le volet de responsabilité liée aux données. La garantie de rançon et la garantie de responsabilité se rencontrent sur le même dossier, et payer ne referme plus qu'une moitié du sinistre.
Un opérateur logistique français, assuré d'une cédante, est frappé le 4 février par un rançongiciel à double extorsion. La rançon demandée est de 3,2 millions d'euros. L'assureur autorise un négociateur le 6 février au titre de la garantie de rançon. La négociation ramène la demande à 1,9 million le 18 février et le paiement est préparé pour le 21. Le 20 février, l'infrastructure du groupe est saisie par une opération internationale et des clés de déchiffrement sont mises à disposition des victimes. Pendant la négociation, des renseignements en source ouverte avaient suggéré que certains affiliés du groupe entretenaient des liens avec des entités listées, sans que la question ait été tranchée. Onze autres assurés du même portefeuille négociaient au même moment avec le même groupe. La perte d'exploitation de l'opérateur court à 180 000 euros par jour.
On lit ce dossier comme une chance, et c'est l'erreur : trois choses distinctes s'y sont produites en même temps et une seule est bonne. La première est la mise à disposition des clés, qui peut rendre le paiement inutile et économiser 1,9 million. Encore faut-il que les clés fonctionnent sur cette variante et que la restauration soit plus rapide que ne l'aurait été la négociation, et surtout l'économie porte sur la plus petite ligne du dossier : seize jours d'arrêt à 180 000 euros font déjà 2,88 millions, davantage que la rançon elle-même. La deuxième est que la question de sanction n'a jamais été tranchée, elle a été dépassée par les évènements. Si le paiement était parti le 18, il aurait été licite ou non selon des faits que personne n'avait établis, et, là où joue un régime de responsabilité stricte, comme l'américain ou le britannique, la bonne foi ne défend pas l'assureur. Le dossier est passé à deux jours d'une exposition personnelle de l'assureur sans que la question ait seulement été consignée. La troisième est celle que le dossier individuel ne montre pas : onze autres assurés se trouvaient exactement dans la même situation au même instant, et toute position prise ici est prise sur douze dossiers à la fois. Une décision de rançon cesse d'être individuelle dès que le groupe est commun, ce qui est une accumulation, mais une accumulation de décisions et non de pertes. Reste une question que la cédante devra trancher devant son réassureur, et qui n'a rien d'évident : douze dossiers de rançongiciel contre un même groupe forment-ils un évènement au sens de la clause d'agrégation ?
- 01Une inscription sur une liste de sanctions ne corrèle pas des pertes, elle corrèle des empêchements : l'exposition ne bouge pas, le droit de payer disparaît partout à la fois.
- 02Un empêchement de sanction n'est pas une exclusion : la garantie existe toujours, elle est devenue illicite à exécuter, et sous un régime de responsabilité stricte la bonne foi ne protège pas.
- 03La seule variable maîtrisée est le moment où la question de sanction est posée : le premier jour elle oriente le dossier, au moment du virement elle ne change plus rien.
- 04Une action des autorités contre un groupe peut interdire un paiement ou le rendre inutile, et rien dans le risque ne dit lequel des deux effets arrive en premier.
- 05Un modèle de cumul indexé sur des noms de groupes mesure une convention d'appellation : les affiliés migrent, la fréquence reste, la statistique baisse.