Frigos piratés en Belgique et en Suède : l'exclusion de guerre cyber se juge pays par pays

Dans la nuit du dimanche 1er novembre, une quarantaine de magasins Delhaize en Belgique, propriété du groupe néerlandais Ahold Delhaize, ont subi un « incident informatique » qui a touché leur réfrigération, selon l'agence Belga. Carrefour Belgique compte une quinzaine de magasins touchés sur 700, et des magasins Spar ont signalé le même problème. En Suède, un ICA Kvantum de Sjöbo dit que la température de ses congélateurs a été portée à 50 °C et soupçonne un piratage ; Coop comptait six magasins touchés selon Insurance Journal le 2 novembre, sept dans le décompte de Reuters du même jour. ICA n'a pas confirmé de cyberattaque, et personne n'a revendiqué. Reuters nomme au moins quatre pays, la Belgique, l'Irlande, le Luxembourg et la Suède ; la BBC en recense sept, avec l'Estonie, la Finlande et les Pays-Bas. Une partie des meubles visés tourne sur le logiciel du danois Danfoss, comme en France. Le Centre pour la cybersécurité belge dit ne pas savoir qui est derrière l'attaque, et qu'on pourrait ne jamais le savoir. En France, la vague du 11 octobre avait touché environ 350 magasins selon la dépêche Reuters reprise par Insurance Journal le 15 octobre, Intermarché, Coopérative U et Carrefour en tête, et Commercial Risk chiffrait dès le 13 octobre les denrées perdues en millions d'euros.

La question de la marchandise n'a pas bougé depuis nos Fils du 14 et du 16 octobre. La multirisque exclut souvent l'attaque informatique, la police cyber exclut le dommage aux biens, et la plus grande part des denrées perdues reste au compte des magasins. Ce qui change, c'est la carte. Tant que la série restait en France, une seule clause de guerre se lisait dans un seul pays. Elle touche maintenant au moins cinq pays en comptant la France, huit selon le recensement de la BBC.

Les clauses de guerre cyber du marché de Londres, LMA 5564A à 5567A du 18 janvier 2023, ne confient l'attribution à personne. Pour dire si une opération est le fait d'un État, assuré et assureur « prennent en compte les éléments de preuve objectivement raisonnables dont ils disposent », qui « peuvent inclure l'attribution formelle ou officielle » par le gouvernement de l'État où le système touché est physiquement situé. La charge de la preuve reste à l'assureur. Stockholm, Bruxelles et Paris pourront parler à des dates différentes, ou se taire : leur parole entre au dossier comme une preuve, d'un poids qui tiendra à ce qu'elle montre, et ne tranche rien. Une attribution, même prouvée, n'exclut d'ailleurs rien seule hors de la guerre, sauf sous la 5564A, qui exclut toute opération d'État. La 5565A fait passer le sinistre sous une sous-limite, la 5566A et la 5567A le laissent couvert, tant que l'opération n'a pas fait d'un pays un « État impacté ».

C'est ce seuil qui se juge pays par pays. Est un État impacté, selon la 5565A, celui où l'opération a eu un « effet préjudiciable majeur » sur son fonctionnement, par l'atteinte à un service essentiel dans cet État, ou sur sa sécurité ou sa défense. Le texte cite la finance, la santé et les réseaux publics, sans s'y limiter ; la distribution alimentaire n'y figure pas. Quelques magasins suédois sans froid n'atteignent aucun seuil. Mais ICA tient environ un tiers de l'épicerie suédoise et Coop 17 %, selon Insurance Journal, et l'attaquant vise leur chaîne du froid. Personne n'a encore eu à dire si nourrir un pays est un service essentiel au sens de ces clauses. La réponse ne jouerait pas de la même façon partout. Sous la 5565A et la 5566A, une opération qui fait de la Suède un État impacté est exclue pour toute perte qui en découle, à Bruxelles comme à Sjöbo. Seule la 5567A rend la garantie à l'assuré dont le système n'est pas situé dans un État impacté : la même attaque y serait exclue en Suède et couverte en Belgique.

Pour le réassureur, la série compte aussi par sa durée. Elle court du 11 octobre au 1er novembre, bien au-delà de la fenêtre de temps des définitions d'événement cyber, qui se compte en jours dans la plupart des traités. Chaque vague risque de faire un événement à part, souvent sous la priorité, la part que garde l'assureur direct avant que le traité paie, et le coût reste chez les assureurs de chaque pays. Le cumul existe, il ne remonte pas.

Notre lecture, datée du 3 novembre 2026. Aucun des gouvernements touchés n'attribuera publiquement la série avant la fin de l'année, aucun pays ne sera traité comme État impacté, et les refus se joueront, comme en France, sur l'exclusion du dommage matériel, pas sur la guerre. Le risque que nous suivons est le seuil : le jour où une vague prive de froid une part sensible d'une enseigne nationale, la question du service essentiel se pose, et sa réponse sépare les polices écrites en 5567A de toutes les autres. Nous relirons cette lecture à la première attribution publique par l'un des pays touchés, ou à une vague de cette taille.

Ce qu'on ne sait pas encore. Si l'attaquant est le même dans tous ces pays, et si les vagues du 11 octobre et du 1er novembre forment une seule opération au sens des clauses, ce qui déciderait jusqu'où porte un seuil franchi dans un pays. Par où l'attaque est entrée : Danfoss équipe une partie des meubles visés, mais ni Delhaize ni ICA ne l'ont dit. Aux Pays-Bas, Danfoss, cité par la NOS, compte au moins dix-sept commerces au froid déréglé, surtout de petites épiceries et des boucheries, et les grandes enseignes n'ont rien signalé ; la panne d'Albert Heijn en octobre, qu'Ahold Delhaize impute depuis le 19 octobre aux « actes malveillants » de tiers, n'est reliée aux frigos par aucune source. Si la défaillance, fin août, des congélateurs des magasins d'au moins six bases militaires américaines, que le Pentagone traite comme une cyberattaque présumée selon Reuters le 29 octobre, a un lien avec la série. Combien de denrées ont été jetées en Belgique et en Suède. Et, s'il existe, qui a commandé l'attaque.