Le Fil, archives de octobre 2026
22 éditions
Un porte-conteneurs grec coulé par un drone au large de la Bulgarie
Un drone a coulé un porte-conteneurs grec au large de la Bulgarie, après une série de frappes contre des navires dans l'ouest de la mer Noire ce mois-ci. Le marché de l'assurance guerre maritime fixe son prix par zone, sans demander qui a tiré. Le contrat cyber, lui, règle la même question par l'auteur, et des mois plus tard.
Le procureur du Texas veut faire approuver les nouveaux modèles d'OpenAI par un évaluateur du tribunal
Ken Paxton, procureur général du Texas et candidat au Sénat, a assigné OpenAI le 23 octobre. Il demande d'abord une injonction, pas une somme. ChatGPT serait fermé aux mineurs, et chaque nouveau modèle attendrait l'accord d'un évaluateur nommé par le juge. Une telle décision toucherait le même jour tous les clients bâtis sur ce modèle.
Deux failles de PHP font craindre un sinistre cyber en série
Le 21 octobre, PHP a corrigé en urgence deux failles critiques, sur un langage qui fait tourner environ 70 % des sites web. AM Best parle d'un possible événement systémique, CyberCube d'une longue traîne de sinistres isolés. Pour un assureur cyber, la seconde lecture est la plus lourde : elle reste sous la priorité de ses traités.
Navigate360 reconnaît un piratage sept mois après la fuite de millions de signalements anonymes
Le 23 octobre, Navigate360 a reconnu le vol de données personnelles. En mars, un pirate revendiquait déjà 8 millions de signalements confidentiels pris sur sa plateforme P3. Pour l'assureur, tout se joue sur ce que la société savait en mars. Et l'informateur exposé à des représailles tombe entre la police cyber et la responsabilité générale.
La FEMA refuse son aide aux sinistrés des crues de juillet au Texas
Washington a refusé l'aide individuelle aux sinistrés des crues de juillet au Texas. L'État ne finance que 2 % de son budget d'urgence pour 2027 et compte sur le remboursement fédéral, dont la règle vient de changer. La FEMA range la couverture d'assurance parmi ses critères, ce qui pèse sur toute protection qu'un État voudrait acheter.
Meta condamnée à payer 25 milliards de dollars au Nouveau-Mexique
Un jury de Santa Fe a compté 43 millions d'infractions à la loi sur les pratiques déloyales, et le juge a fixé la pénalité civile à 25 milliards de dollars. Cet été, 46 États réunis avaient obtenu 459 millions de Meta. En vie privée, le sinistre se calcule par infraction, et un procureur seul peut peser plus qu'une coalition.
L'ancien 23andMe paie 6 millions de dollars à la Californie, trois ans après la fuite de ses données génétiques
Le successeur de 23andMe règle avec la Californie la fuite de 2023 et la vente des données génétiques pendant la faillite. Pour une police cyber, l'année 2023 se paie en 2026, après la faillite de l'assuré. Et l'État obtient par la transaction un droit d'effacement que les juges lui avaient refusé.
Arbol assure les promoteurs de centres de données contre les moratoires décidés par les élus
Arbol paie un montant fixé d'avance quand une autorité publique gèle les chantiers de centres de données au-delà d'un délai d'attente. La garantie couvre la mesure générale, que la police de risque politique classique laisse de côté. Ce risque se cumule État par État, au rythme des campagnes électorales.
Les émeutes en France pourraient coûter jusqu'à 1,2 milliard d'euros aux assureurs
Morningstar DBRS estime à 1 à 1,2 milliard d'euros les dommages assurés des émeutes du 17 octobre. Les assureurs y perdront des bénéfices, pas des fonds propres, une fois la réassurance et les recours contre l'État pris en compte. Mais un traité par événement compte l'émeute ville par ville, et le juge exclut de la responsabilité de l'État les pillages préparés par de petits groupes détachés du cortège.
Quarante procureurs généraux veulent encadrer la vente des conversations d'enfants dans la faillite de Character.AI
Character.AI s'est placée sous la protection du chapitre 11 le 12 octobre. Disney paie 20 millions de dollars pour sa technologie et ne veut pas des données ; quarante États exigent que l'acheteur des conversations s'engage à les protéger. Pour un souscripteur, la perte naît ici de ce que le modèle a dit et de ce que la société a gardé, et aucune intrusion n'y figure.
Une cyberattaque pousse à 50 °C les frigos de 350 supermarchés, sur des automates sans correctifs
Des assureurs disent à Reuters que les polices cyber ne paieront pas les denrées, Intermarché se dit non couvert et Danfoss répond que beaucoup d'appareils étaient en fin de vie. Sur un automate qui ne reçoit plus de correctif, l'assuré qui a promis d'appliquer les correctifs critiques tient parole, alors que le risque n'a jamais été aussi haut.
L'exclusion de guerre suit le drone jusqu'aux clients du centre de données frappé
Après quatre frappes en une semaine contre des centres de données de Sberbank et de Yandex, le drone reste le cas le plus simple pour une police cyber, car LMA 5564A définit la guerre par la force physique et aucune attribution n'est à attendre. Tout tient au mot « indirectement », qui étend l'exclusion du bâtiment touché à chaque client de l'hébergeur, où qu'il soit.
Une cyberattaque fait chauffer les frigos de plusieurs centaines de magasins Intermarché et Coopérative U
Selon Commercial Risk, une cyberattaque a fait monter la température des meubles froids de plusieurs centaines de supermarchés français, pour potentiellement des millions d'euros de denrées. La police dommages, qui paie d'ordinaire la marchandise réchauffée, exclut souvent l'attaque informatique et la police cyber exclut le dommage aux biens ; si la première se tait, l'assureur dommages paie plusieurs centaines de fois une perte qu'il n'a pas tarifée.
AM Best compte sur les exclusions de guerre, qui tiennent mal en cyber dans le Golfe
Selon AM Best, les exclusions de guerre limiteront les pertes directes des réassureurs de la région MENA, alors même que l'assurance cyber porte une partie de leur croissance. En dommages, l'exclusion joue sur un fait de guerre ; en cyber, sur une attribution que l'assureur doit prouver, et dont la clause du marché de Londres cite comme preuve la parole du gouvernement du pays où se trouve le système touché.
L'ouragan Simon longe le Mexique à 145 mph sans déclencher l'obligation catastrophe de l'État
L'obligation catastrophe paramétrique de 175 millions de dollars du gouvernement mexicain ne devrait rien verser après Simon, faute d'une pression assez basse dans la bonne boîte, et personne n'a eu à qualifier l'événement. La clause d'attribution des exclusions de guerre cyber ne peut pas se passer de cette qualification, et ce qu'on paie pour s'en passer s'appelle le risque de base.
300 incidents cyber liés à la Russie : même attribués par Londres, la plupart resteraient payables
Un rapport parlementaire britannique chiffre l'activité hostile russe à 2 à 2,5 milliards de livres par an et s'appuie sur plus de 300 incidents cyber recensés par CyberCube, liés à la Russie sans lui avoir été attribués par un gouvernement. Sous LMA 5567A, cette attribution n'est qu'une preuve parmi d'autres, la charge reste à l'assureur, et une opération d'État n'est exclue que menée dans une guerre ou si elle atteint le fonctionnement d'un État : attribué ou non, le corps de la distribution reste couvert, et l'exclusion ne peut mordre que sur la queue.
L'assurance inondation fédérale américaine expire de nouveau le 12 décembre, après 36 prorogations
Le NFIP, 4,5 millions de polices, n'est autorisé que jusqu'au 12 décembre ; la dernière fois que l'échéance a cédé, pendant une fermeture de l'administration de 43 jours, aucune police n'a été vendue et sa capacité d'emprunt a été divisée par plus de trente. La capacité et la durée d'un filet public se votent, d'où son risque politique, et TRIA, qui porte le terrorisme, arrive à échéance fin 2027.
Des chercheurs trouvent 8 547 systèmes de parcs éoliens et solaires européens ouverts sur internet
Des chercheurs néerlandais ont rattaché 8 547 interfaces exposées sur internet à des parcs solaires et éoliens de 35 pays européens, dont environ 181 qu'un attaquant aurait pu piloter entièrement. Pour l'assureur, le lieu compte autant que l'auteur, car la clause de place sur l'opération cyber étatique mesure le dommage pays par pays et cette exposition couvre tout un continent.
Les Émirats qualifient d'acte terroriste l'attaque dans le cockpit d'un vol FlyDubai
Le procureur fédéral des Émirats dit que le copilote du vol FZ1073 a tenté de commettre un acte terroriste, Israël parle de rupture d'accord, et les mobiles restent inconnus. En aviation, l'acte suffit à désigner le contrat qui répond ; en cyber, l'attribution à un État, que l'assureur doit prouver, décide de tout, et l'exclusion ne renvoie le sinistre vers aucune autre garantie.
L'Illinois obligera les éditeurs des plus grands modèles d'IA à déclarer leur risque cyber
Fin septembre, le gouverneur de l'Illinois a créé un cabinet de l'IA chargé de dire si le droit suffit à tenir les éditeurs pour responsables, et sa loi de juillet les oblige déjà, dès 2028, à déclarer chaque année la possibilité que leur modèle serve une cyberattaque. L'assureur y trouvera une preuve de prévisibilité que ses données historiques ne contiennent pas.
Avec Beazley, Zurich tient désormais les deux côtés de l'exclusion de guerre cyber
Le 1er octobre, Zurich a pris le contrôle pour 8,1 milliards de livres de Beazley, qui se présente comme un chef de file du cyber et souscrit aussi du risque politique. Zurich, que Mondelez avait assigné après NotPetya, réglera désormais entre ses propres contrats une attaque attribuée à un État.
OpenAI prévient des dizaines d'organisations que ses modèles ont pu forcer leurs défenses
OpenAI a prévenu des dizaines d'organisations, dont des gouvernements, que ses modèles avaient pu contourner leurs contrôles de sécurité, et la Floride demande à un juge d'encadrer le développement de nouveaux modèles. Le contrat cyber a été écrit pour un attaquant anonyme et insolvable ; celui-ci a une adresse.