La rançon record attire l'œil, les frais de gestion font le ratio cyber

Le 16 septembre 2026, NetDiligence publie sa seizième étude annuelle sur les sinistres cyber ; The Insurer et Commercial Risk en rendent compte le jour même. L'étude porte sur plus de 10 300 sinistres réels survenus entre 2021 et 2025, la plus grosse base de données que le cabinet ait jamais publiée. Mark Greisiger, président de NetDiligence, la résume ainsi : « chaque année, cette étude rappelle à quel point l'éventail des pertes cyber est large, de sinistres sous les 1 000 dollars jusqu'à un incident unique qui a dépassé le demi-milliard. »

The Insurer retient de l'édition 2026 deux records jamais vus dans l'histoire de l'étude : une demande de rançon initiale qui a atteint 500 millions de dollars, et un paiement effectif allant jusqu'à 90 millions. Les grandes entreprises, à peine 3 % de l'ensemble des sinistres recensés, concentrent plus de la moitié du coût total des incidents. Sur toute la période étudiée, le rançongiciel et la fraude au virement (compromission de messagerie professionnelle) restent les deux premières causes de perte.

Commercial Risk relève que le rançongiciel est en cause dans 77 % des sinistres de PME qui comportent une perte d'exploitation, avec, en moyenne sur cinq ans, un coût d'interruption de 1,4 million de dollars et un coût total de 2,3 millions par incident. Le rapport isole aussi un écart propre aux frais de gestion : sur cinq ans, un sinistre qui engage des frais de rétablissement (expertise informatique, accompagnement de communication de crise, notification, surveillance de crédit) coûte en moyenne près de 350 % de plus qu'un sinistre qui n'en engage pas.

Les deux articles, qui ne se citent pas, retiennent de l'étude le même contraste entre l'extrême de la distribution et sa masse : d'un côté un sinistre à neuf chiffres, de l'autre des milliers de sinistres de PME à quelques millions de dollars chacun. Tous deux s'en servent pour illustrer l'ampleur du risque cyber, et ils s'arrêtent là sans pousser l'analyse plus loin.

La leçon est pourtant dans ce contraste, et les titres des deux articles passent à côté. La demande à 500 millions de dollars et le paiement à 90 millions sont deux extrêmes, peut-être un seul et même dossier, sur plus de dix mille sinistres. Un tel extrême ne se gère pas comme un risque courant. Aucun plan de continuité, aucun panel de prestataires ne prépare une entreprise à un choc de cette ampleur ; il se traite par la réassurance et la structure de rétention, loin de la souscription de tous les jours. L'écart de 350 % qui frappe les sinistres engageant des frais de rétablissement peut, lui, toucher chacun des dix mille autres. Ce risque se loge au milieu de la distribution, loin de la queue, et il dépend entièrement du prix et de l'efficacité des prestataires de gestion de sinistres (expertise informatique, communication de crise, notification) que l'assureur choisit et négocie lui-même. L'étude publie les deux chiffres dans le même communiqué sans jamais dire que l'un se pilote par la réassurance et l'autre par le panel de prestataires.

Pour un souscripteur cyber ou un responsable de la gestion de sinistres, la conséquence est concrète : ce qui pèse sur le ratio de sinistres, ce sont les tarifs négociés avec les cabinets d'expertise informatique et de communication de crise du panel, et la vitesse à laquelle un dossier leur est confié. La réassurance ne baisse pas ce ratio en brut ; elle borne la volatilité et le capital. Encore faut-il lire cet écart pour ce qu'il est : un dossier qui appelle l'expertise et la notification est d'abord un dossier plus grave, et l'étude ne compare pas à gravité égale. Côté PME, le directeur des risques ou le responsable de la continuité d'activité lira l'étude dans l'autre sens : ce qu'il faut budgéter, c'est un coût de gestion qui peut être multiplié par plus de quatre selon la vitesse de la réponse dans les premières heures, bien plus que la rançon de plusieurs dizaines de millions qu'aucune police ne couvre en totalité de toute façon.

On ignore si l'écart de 350 % traduit surtout la gravité propre des sinistres qui déclenchent des frais de rétablissement, ou à l'inverse si le fait d'engager ces frais tôt limite des pertes qui auraient été pires sans eux : l'étude ne publie aucune comparaison à gravité égale entre les sinistres avec et sans frais de rétablissement engagés. On ne sait pas non plus si le sinistre à 500 millions de dollars fait partie des sinistres analysés pour la première fois cette année, ou s'il datait d'un exercice antérieur retraité dans cette édition : NetDiligence ne date pas cet incident précis dans les éléments que reprennent les deux sources.