Des drones ukrainiens frappent le plus grand centre de données russe : c'est une frappe de guerre, et l'exclusion de guerre vaut aussi pour les clients de l'hébergeur

Insurance Journal publie le 14 octobre 2026 une dépêche, appuyée sur Reuters, selon laquelle des drones ukrainiens ont frappé le jour même le centre de données de Balakovo, le plus grand de Russie, propriété de Sberbank. C'est la quatrième frappe en une semaine contre cette catégorie de site : trois attaques avaient visé des centres de Yandex dans les jours précédents. Alexandre Vedyakhine, premier directeur général adjoint de Sberbank, confirme l'attaque et assure que tous les systèmes et services de la banque fonctionnent normalement. Selon RIA Novosti en 2024, Balakovo doit accueillir le plus grand supercalculateur du pays, attendu en 2027 ; les centres de Yandex hébergeaient les trois supercalculateurs en service du groupe. Aucune des deux sociétés n'a dit s'ils étaient endommagés.

La cible a changé de nature : de la capacité de calcul, que les sanctions rendent difficile à remplacer. German Gref, directeur général de Sberbank, l'a dit le 29 septembre : l'achat de processeurs graphiques récents est le premier frein de la Russie en intelligence artificielle, et les machines de Yandex tournent sur des puces Nvidia A100 sorties en 2020. Le dommage se compte donc en mois de remplacement plutôt qu'en coût de reconstruction. Allianz Commercial a publié le même jour, toujours dans Insurance Journal, l'analyse de près de 8 000 sinistres de perte d'exploitation de 2021 à 2025 : coût moyen supérieur à 950 000 dollars, 70 % de plus que le sinistre dommages moyen, et le temps désigné comme premier coupable par Melissa Hill, responsable des sinistres pour l'Amérique du Nord.

Pour le souscripteur cyber, Balakovo est l'inverse des cas que le Fil suit depuis le 9 octobre. L'exclusion LMA 5564A retire en son paragraphe 1.1 toute perte « découlant directement ou indirectement d'une guerre », et son paragraphe 6 définit la guerre comme un conflit armé impliquant la force physique d'un État contre un autre. Un drone lancé par l'armée d'un pays contre un site d'un autre pays en guerre ouverte, c'est la définition elle-même. Le paragraphe 2, celui de l'attribution par le gouvernement de l'État où se trouve le système, ne sert à rien ici : il ne vise que l'opération cyber. Il n'y a personne à démasquer, et donc pas de délai pendant lequel la police paie faute de preuve.

Le dommage au bâtiment et aux machines relève de la police dommages, et la guerre sur terre en est sortie depuis le Waiver Agreement de 1937 : rien de neuf de ce côté. Ce qui change tient au mot « indirectement ». Une entreprise dont l'hébergeur s'arrête parce qu'un drone a frappé son bâtiment subit une interruption que sa police cyber aurait prise en carence de fournisseur si la cause avait été un rançongiciel chez ce prestataire. Avec un drone, l'interruption découle indirectement d'une guerre, et l'exclusion la prend, que le client soit à Saratov ou à Francfort. Un centre de données situé dans un pays en guerre exporte l'exclusion à tous ses clients, aussi loin que court la chaîne de dépendance. Le questionnaire de souscription interroge le prestataire sur sa sécurité, ses certifications et sa redondance ; il ne demande presque jamais où sont ses bâtiments par rapport à une ligne de front.

À Balakovo, la perte occidentale sera faible, pour une raison politique : Sberbank est sous sanctions sectorielles depuis 2014 et sous des mesures plus larges depuis 2022, et aucun assureur européen ou américain ne peut garantir ses actifs. La méthode, elle, ne regarde pas le pavillon. Les guerres en Ukraine et en Iran, qu'Allianz cite parmi les causes de la hausse des pertes d'exploitation, se déroulent dans des régions où des hébergeurs servent des clients étrangers. Pour l'analyste des accumulations, le scénario d'une frappe sur un hébergeur partagé est exclu deux fois, en dommages et en cyber, et ne se retrouve que dans les contrats de risque politique qui garantissent la guerre, achetés par le propriétaire du site et non par ses clients.

Position de l'observatoire, datée du 15 octobre 2026 : aucun client d'un hébergeur frappé par un drone ne sera indemnisé par sa police cyber pour l'interruption qui en découle, et ce sinistre ne donnera lieu à aucun débat d'attribution. Le litige viendra du cas mixte, une frappe doublée d'une intrusion au même moment, parce que la clause n'exclut que « la part » de la perte qui découle de chaque cause, et qu'il faudra alors répartir l'arrêt entre le drone et le code. À relire au premier sinistre de dépendance à un hébergeur rattaché à une frappe hors de Russie.

Ce qu'on ne sait pas borne l'analyse. Les faits viennent d'une seule dépêche, et la source de première main manque encore. On ignore si les supercalculateurs ont été endommagés, si un service s'est réellement interrompu, chez qui ces centres sont assurés en Russie et avec quelle clause de guerre, et si des clients hors de Russie en dépendent. Le Kremlin dit sans lien avec les frappes la réunion sur la sécurité de l'information tenue le même jour par Vladimir Poutine. À regarder ensuite : une nouvelle frappe, une interruption de service reconnue, et la façon dont les questionnaires cyber des renouvellements du 1er janvier 2027 traiteront la géographie des hébergeurs.