Navigate360 reconnaît un piratage sept mois après la fuite de millions de signalements anonymes

Le 23 octobre, la société américaine Navigate360 a reconnu que des pirates étaient entrés dans l'un de ses systèmes et avaient copié plusieurs mois de données. Selon son communiqué, rapporté par Insurance Journal le 26 octobre d'après Reuters, des noms, des adresses, des dates de naissance et des numéros de sécurité sociale ont pu être exposés. L'aveu arrive sept mois après la revendication. En mars, un pirate se faisant appeler « Internet Yiff Machine » affirmait avoir pénétré P3 Global Intel, la plateforme de signalements de Navigate360, et volé 93 gigaoctets de données, dont 8 millions de signalements confidentiels. La société disait alors chercher à savoir si elle avait subi un incident.

P3 recueille les signalements anonymes que des citoyens adressent aux forces de l'ordre. Ses clients sont donc des polices et des administrations. Ces derniers jours, des responsables publics du Nevada et du Canada ont dit dans la presse n'avoir reçu qu'une information partielle, malgré des demandes répétées. Les polices de l'Ontario ont suspendu le service après qu'une enquête de la CBC a établi que des centaines de milliers d'informateurs canadiens étaient exposés. Navigate360 n'a pas répondu à la question de Reuters sur le calendrier de son annonce.

Pour l'assureur cyber de Navigate360, la date qui compte se situe en mars. Une revendication publique qui donne un nom de plateforme, un volume et un nombre de signalements est d'ordinaire une circonstance connue de l'assuré, enquête finie ou non. En base réclamation, la police rattache les réclamations futures à la période où la circonstance a été déclarée. Si la société l'a déclarée en mars, l'affaire appartient à la police alors en cours. Si elle ne l'a pas fait et que la police a été renouvelée depuis, le nouvel assureur relira la question de la proposition sur les incidents connus. Le délai de sept mois devient alors un litige de garantie avant d'être un litige de responsabilité.

Le dommage, ensuite, sort du cadre habituel d'une fuite. Un numéro de sécurité sociale volé se traite par une surveillance du crédit et des frais de notification. Un informateur dont le nom parvient à la personne qu'il a dénoncée risque des représailles, donc un dommage corporel. La garantie vie privée d'une police cyber exclut d'ordinaire le dommage corporel. La police de responsabilité générale américaine porte souvent, depuis 2014, une exclusion des dommages nés de la divulgation d'informations personnelles, dont certaines versions gardent le dommage corporel et d'autres non. L'informateur blessé peut ainsi tomber entre les deux contrats, selon la version signée.

Reste la part que personne n'assure. La suspension décidée en Ontario est une perte de clients. La perte d'exploitation d'une police cyber paie l'arrêt des systèmes, pas le départ d'un donneur d'ordre qui ne fait plus confiance. La garantie d'atteinte à la réputation, quand elle a été achetée, se limite souvent à une période courte après l'annonce. Or l'annonce date du 23 octobre, et la perte de confiance des clients publics a commencé bien avant. Il faut ajouter les lois de notification des États américains et le droit canadien, qui demandent de prévenir les personnes dans un délai bref. Un retard de sept mois expose à des sanctions que la plupart des droits ne laissent pas assurer.

Le même jour, Reinsurance News rapporte que Willis lance une initiative mondiale consacrée à la défense et à la sécurité, dirigée par Jennifer Caldarella. Willis cite 815 manquements à la sécurité relevés par la surveillance américaine de l'industrie de défense pendant l'exercice 2025, et 1 032 vulnérabilités non résolues dans les sites des sous-traitants habilités depuis septembre 2025. Le courtier parle aussi d'une capacité d'assurance contrainte pour ce secteur. Le lien avec Navigate360 tient au prestataire privé qui garde une donnée de l'État. Quand cette donnée fuit, l'État réagit trois fois, comme client qui suspend, comme autorité qui exige des comptes, et comme garant de la sécurité des personnes exposées.

Pour un souscripteur, cela fait du risque politique logé dans une police cyber. Le contrat de ce prestataire peut s'arrêter sur une décision publique prise sous la pression de la presse et des élus, sans faute contractuelle. Parmi les personnes dont les données ont fui, certaines sont en danger. Et le calendrier de l'aveu est jugé par des responsables publics, pas par un tribunal. Rien de cela ne se lit dans un questionnaire de souscription standard, qui demande le chiffre d'affaires, le nombre de dossiers et la présence d'une authentification forte.

Notre lecture, datée du 27 octobre. Nous pensons que le coût de cette affaire se jouera d'abord sur la date de connaissance, donc sur l'assureur qui couvrait Navigate360 en mars et sur ce que la société lui a déclaré à ce moment. D'autres clients publics suivront l'Ontario si la liste des informateurs exposés s'allonge, et ce manque à gagner restera en grande partie hors des polices. Chez un prestataire du secteur public, la question sur les incidents connus et la définition du dommage corporel pèsent plus lourd que la limite. Nous relirons cette lecture à la première action de groupe ou à la première sanction d'une autorité.

Ce qu'on ne sait pas encore. On ignore la voie d'entrée des pirates et si les données copiées sont celles revendiquées en mars. On ne connaît ni le nombre total de personnes touchées aux États-Unis, ni la part des signalements qui portaient l'identité de leur auteur. On ne sait pas si une rançon a été demandée, ni si un informateur a été menacé depuis la fuite. Navigate360 n'a pas dit à quelle date elle a su.