300 incidents cyber liés à la Russie contre des entreprises britanniques depuis 2022 : liés, pas attribués : toute la distance entre le sinistre payé et le sinistre exclu

Plus de 300 incidents cyber liés à la Russie ont touché des entreprises dont le siège est au Royaume-Uni depuis 2022, selon des données de CyberCube citées par Reinsurance News le 8 octobre 2026. Les chiffres figurent dans « The Putin Tax », un rapport publié par le député travailliste Graeme Downie avec Dominic Reed, qui se présente comme la première tentative de mesurer le coût économique de l'activité hostile russe contre le pays : attaques informatiques, sabotages, menaces sur les infrastructures critiques, dépenses de résilience. Il l'estime entre 2 et 2,5 milliards de livres par an, et dit lui-même qu'il s'agit d'un plancher.

Le rapport et CyberCube donnent la même raison à ce plancher : l'attribution est difficile et les entreprises déclarent mal leurs incidents, de sorte que le chiffre de 300 est probablement très inférieur à la réalité. CyberCube ajoute une probabilité : 5 % par an qu'une seule attaque d'un acteur hostile coûte 4,4 milliards de dollars, soit 3,3 milliards de livres, à l'ensemble des entreprises touchées. Alex Tenenbaum, de CyberCube, juge l'historique des pertes insuffisant à lui seul, et recommande de le combiner avec la modélisation catastrophe et l'analyse de l'exposition économique.

Le mot qui porte tout l'article est « liés ». Un incident lié à la Russie, au sens d'un modélisateur, est un incident dont les indices techniques désignent un groupe qu'on rattache à cet État. Ce n'est pas ce que demandent les clauses de guerre cyber du marché de Londres. Leurs versions A, de LMA 5564A à 5567A, prévoient que l'assuré et l'assureur considèrent les preuves objectivement raisonnables dont ils disposent, et nomment la plus forte : l'attribution formelle ou officielle par le gouvernement de l'État où se trouve le système touché. Pour une entreprise britannique, ce gouvernement est celui de Londres, et un député n'est pas le gouvernement.

D'où une lecture que le rapport ne fait pas, parce qu'il compte des coûts et non des garanties. Les 300 incidents forment le corps de la distribution : une fréquence régulière, d'intensité modeste, rarement attribuée par un État. Ce corps-là est payé comme de la cybercriminalité ordinaire, parce que personne n'a qualifié l'acte. Le scénario à 4,4 milliards de dollars forme la queue, et c'est là que l'exclusion peut mordre, parce qu'une attaque de cette taille est précisément celle sur laquelle un gouvernement finit par parler. Le Fil du 6 octobre relevait que le contrat cyber qualifie l'acte par son auteur ; le rapport montre que l'auteur, le plus souvent, n'est pas nommé par celui dont le contrat attend la parole.

La conséquence se lit à deux endroits. Pour le souscripteur d'un portefeuille cyber britannique, la fréquence des incidents liés à un État appartient au taux de base, non à ce que la clause de guerre retire : la tarifer comme exclue reviendrait à compter deux fois une protection qui ne joue pas. Pour l'analyste des accumulations, le scénario de queue doit se calculer deux fois, garanti et exclu, parce qu'une seule déclaration du gouvernement britannique le fait passer d'une colonne à l'autre, et que la date de cette déclaration ne se connaît pas d'avance. L'observatoire en tire une position, datée du 9 octobre 2026 : un décompte d'incidents liés à un État n'est pas un décompte d'incidents exclus. Nous la relirons au renouvellement du 1er janvier 2027.

Le même jour, Insurance Journal, reprenant Reuters, rapporte qu'un site anonyme a publié des données présentées comme celles du Silent Ransom Group, qui extorque des cabinets d'avocats, et que Chainalysis y a reconnu des adresses déjà suivies, dont un paiement de 10 millions de dollars encaissé à la mi-2026. Reuters n'a pas pu vérifier l'authenticité du site. Ce cas ne touche aucun État, mais il montre d'où viennent souvent les indices qui relient un incident à un auteur : d'une fuite, d'un tiers, d'une analyse privée. Ce sont des preuves que le contrat peut retenir ; ce ne sont pas des attributions officielles.

L'article ne dit pas quelle part des 2 à 2,5 milliards de livres revient au cyber, ni combien des 300 incidents ont fait l'objet d'une attribution par le gouvernement britannique, ni selon quels critères CyberCube rattache un incident à la Russie. Les 4,4 milliards de dollars sont un coût pour les entreprises touchées, non une perte assurée. Nous n'avons lu le rapport qu'à travers l'article. Il faudra regarder si le gouvernement répond au rapport, et si une attribution officielle vient s'ajouter au décompte avant les renouvellements de janvier.