Économie souterraine, marchés de la rançon et tarification par les assureurs : comment le ransomware est devenu une industrie structurée dont la croissance est partiellement financée par les indemnisations des polices cyber.
Pendant longtemps, le ransomware s'apparenta à une activité artisanale conduite par des opérateurs autonomes qui développaient, déployaient et négociaient eux-mêmes leurs attaques. Cette configuration a cédé la place, à partir de 2019, à un modèle de plateforme désigné par l'acronyme RaaS, pour ransomware as a service. Dans ce schéma, un noyau de développeurs maintient une infrastructure logicielle propriétaire et la met à disposition d'affiliés contre rétrocession d'une part de la rançon perçue. Le rapport de la Ransomware Task Force publié en 2021 par l'Institute for Security and Technology décrivait déjà cette spécialisation fonctionnelle comme la transformation la plus structurante de la décennie pour le marché de la cybercriminalité.1
LockBit, dont l'opération Cronos menée par la National Crime Agency britannique en février 2024 a permis le démantèlement partiel, illustre ce modèle de manière exemplaire. Le groupe a opéré pendant plus de quatre ans en s'appuyant sur un réseau de 194 affiliés que les autorités ont identifiés lors de la saisie de ses infrastructures. Cette saisie portait sur 34 serveurs répartis entre les Pays-Bas, l'Allemagne, la Finlande, la France, la Suisse, l'Australie, le Royaume-Uni et les États-Unis.2 Ce maillage logistique transfrontalier rappelle moins la structure d'une organisation mafieuse traditionnelle que celle d'un éditeur de logiciels multinational, à ceci près que la rémunération des affiliés s'effectue en cryptomonnaies et que la gouvernance s'opère sur des forums clandestins.
L'écosystème ransomware s'est segmenté en au moins trois métiers distincts qui fonctionnent désormais en réseau intégré. Les courtiers d'accès initial, communément désignés par l'acronyme IAB pour Initial Access Brokers, repèrent et compromettent des cibles dont ils revendent ensuite l'accès sur des forums spécialisés tels que Exploit, XSS ou RAMP. Les affiliés louent une souche de ransomware à un opérateur RaaS, déploient l'attaque en s'appuyant sur l'accès acheté à un IAB, et négocient la rançon. Les négociateurs professionnels, parfois embauchés par les opérateurs RaaS et parfois par les victimes par l'intermédiaire de leurs assureurs, gèrent l'échange et les modalités de paiement.
Les analyses publiées par Flare et Rapid7 sur les forums de la cybercriminalité russophone montrent que le prix d'un accès initial varie entre quelques centaines de dollars pour une PME et plusieurs dizaines de milliers de dollars pour une entreprise du Fortune 500 disposant de privilèges administrateur de domaine.3 Le prix médian d'une vente d'accès se situait autour de 1 328 dollars en 2023. Cette asymétrie radicale entre coût d'entrée et valeur de la cible constitue le levier économique central du ransomware contemporain. L'attaque d'une organisation dont le chiffre d'affaires se chiffre en milliards de dollars demeure économiquement viable à partir d'un investissement initial qui ne dépasse pas le prix d'un ordinateur portable professionnel.
Le paiement d'une rançon repose sur une asymétrie d'information considérable entre les deux parties. La victime ignore l'identité réelle de l'attaquant, sa capacité effective à honorer la livraison d'une clé de déchiffrement fonctionnelle, sa volonté de ne pas exfiltrer une seconde fois les données, et l'existence éventuelle d'un nexus de sanctions OFAC compromettant la légalité du transfert. L'attaquant ignore quant à lui le seuil maximal de paiement que la victime peut consentir, sa couverture assurantielle effective, et son éventuelle préparation à la résilience par sauvegardes hors ligne. Cette double asymétrie produit une négociation dont les paramètres sont rarement rationnels au sens économique classique.
Les données publiées par Coveware sur ses propres dossiers d'intervention indiquent qu'au quatrième trimestre 2024, seules 25pour cent des victimes consultées ont finalement payé la rançon, soit le plus bas niveau jamais enregistré depuis le début du suivi en 2018.4 Cette désaffection s'accompagne paradoxalement d'une concentration des paiements sur les sinistres de grande ampleur. Le paiement moyen a atteint 553 959 dollars sur la même période alors que la médiane chutait à 110 890 dollars. L'écart entre moyenne et médiane traduit la bifurcation du marché entre une activité de masse exercée sur les PME, dont la majorité refuse désormais de payer, et une activité dite de big game hunting visant des organisations capables de débourser plusieurs millions sans difficulté.
L'attaque conduite en février 2024 par le groupe ALPHV/BlackCat contre Change Healthcare, filiale du conglomérat UnitedHealth Group spécialisée dans le traitement des paiements de santé aux États-Unis, illustre les pathologies de ce marché à grande échelle. UnitedHealth a confirmé en avril 2024, par la voix de son directeur général Andrew Witty devant le Congrès américain, le versement d'une rançon d'environ 22 millions de dollars en bitcoin.5 Le paiement n'a pas empêché un second groupe, RansomHub, de revendiquer la possession des mêmes données exfiltrées et de réclamer une rançon supplémentaire, mettant en lumière l'absence de garantie contractuelle dans une transaction criminelle.
Le coût final du sinistre pour UnitedHealth, intégrant la remédiation, les pertes opérationnelles, les actions en responsabilité et les amendes réglementaires anticipées, est estimé par le groupe à plus de 1,5 milliard de dollars selon ses propres déclarations à la Securities and Exchange Commission.6 Le rapport entre rançon versée et coût total se situe donc autour de 1,5pour cent, un ordre de grandeur qui éclaire le caractère économiquement marginal du paiement par rapport à la perte assurable et qui justifie, du point de vue de l'assureur, une décision de paiement quand les alternatives de continuité d'activité font défaut.
Le bitcoin demeure la cryptomonnaie de référence pour les paiements de rançon malgré sa traçabilité, qui devrait rationnellement la rendre peu attractive pour des criminels. La raison de cette persistance est triple. D'abord, sa liquidité dépasse celle de toute autre cryptomonnaie, ce qui rend la conversion en monnaie fiat plus rapide et moins suspecte. Ensuite, l'écosystème de paiement le supporte universellement, alors que de nombreuses victimes ignorent simplement comment se procurer du monero dans un délai compatible avec la fenêtre de négociation. Enfin, l'effet de réseau des outils de négociation, des courtiers et des places de marché clandestines repose sur le bitcoin pour des raisons d'inertie technique et opérationnelle.
Le monero, principal représentant des cryptomonnaies dites privacy coins, occupe néanmoins une place croissante dans la stratégie des opérateurs.7 Les négociateurs de Coalition et de Coveware rapportent l'apparition fréquente, depuis 2021, de barèmes différenciés dans lesquels la rançon est minorée si la victime paie en monero plutôt qu'en bitcoin. Le groupe DarkSide pratiquait par exemple une surprime de 20pour cent sur les paiements en bitcoin par rapport au monero. Cette tarification reflète directement le coût marginal supporté par l'attaquant pour blanchir des fonds traçables, et constitue de fait une mesure indirecte du risque résiduel de poursuite associé à chaque cryptomonnaie.
L'attaquant qui reçoit du bitcoin déploie ensuite des stratégies d'obfuscation dont la plus répandue est le chain-hopping. Cette technique consiste en la conversion successive des fonds d'une cryptomonnaie à une autre via des plateformes d'échange peu régulées ou des services de mixage non custodiaux.8 Les techniques annexes incluent les peel chains, dans lesquelles une fraction des fonds est successivement extraite vers des adresses différentes pour rompre la chaîne d'analyse, et le passage par des plateformes d'échange décentralisées qui n'opèrent pas de vérification d'identité. Chainalysis observe néanmoins en 2024 un phénomène inverse, celui d'opérateurs qui choisissent de stocker leurs gains dans des portefeuilles personnels sans les déplacer pendant des mois, par crainte d'être surveillés par les autorités.9
L'Office of Foreign Assets Control du Trésor américain a publié le 21 septembre 2021 une mise à jour de son Advisory sur les risques de sanctions associés à la facilitation des paiements de rançon.10 Le texte vise explicitement les institutions financières, les compagnies d'assurance cyber, et les sociétés de réponse aux incidents qui interviennent dans l'exécution d'un paiement de rançon. La doctrine américaine considère que tout paiement effectué au profit d'un acteur sanctionné ou en lien avec une juridiction sous embargo expose son auteur à une responsabilité de strict liability, c'est-à-dire indépendante de la preuve d'une intention coupable. Le même jour, l'OFAC a inscrit pour la première fois une plateforme d'échange de cryptomonnaies, SUEX OTC, sur sa liste des entités spécialement désignées, ouvrant la voie à une politique de désignation des intermédiaires financiers plutôt que des seuls auteurs directs.
Le dispositif de sanctions repose sur la capacité opérationnelle à attribuer une attaque à un acteur identifié. Cette attribution se heurte à des limites techniques considérables qui en limitent la portée pratique. Les opérateurs RaaS opèrent sous des pseudonymes interchangeables, les affiliés migrent d'un groupe à l'autre, et les souches de ransomware sont régulièrement rebrandées après chaque opération de démantèlement. L'opération Cronos a ainsi révélé que plusieurs affiliés de LockBit étaient également actifs sous d'autres bannières, brouillant la délimitation des frontières entre groupes.11 Pour l'assureur, cette incertitude se traduit par un risque opérationnel spécifique, soit le blocage du paiement en cours de négociation si l'attribution devient problématique en cours de procédure, ce qui prolonge la durée du sinistre et amplifie mécaniquement les pertes d'exploitation indemnisables.
L'opération Cronos a produit un effet de marché immédiat mais limité dans le temps. Les paiements globaux ont reculé de 35pour cent en 2024, passant de 1,25 milliard de dollars en 2023 à 813,5 millions, avec un effondrement particulièrement marqué sur le second semestre.12 Aucun groupe de premier plan n'a immédiatement pris la place laissée vacante par LockBit. Le marché s'est fragmenté en acteurs de second rang comme RansomHub et Akira qui ont privilégié des cibles plus modestes et des rançons plus mesurées. Cette transition illustre une caractéristique fondamentale du marché ransomware. La disruption d'un opérateur dominant ne fait pas disparaître la demande sous-jacente, elle redistribue temporairement l'offre vers des acteurs moins efficaces, le temps qu'une nouvelle concentration s'opère.
Le marché de la cyberassurance a connu un repricing brutal entre 2020 et 2022 sous l'effet d'une sinistralité ransomware devenue inassurable aux conditions tarifaires précédentes. Les primes ont triplé sur les principaux portefeuilles, les sublimites pour la garantie ransomware ont été abaissées, et les exigences techniques imposées aux preneurs d'assurance se sont durcies de manière inédite. Les réassureurs ont rendu l'authentification multi-facteurs sur l'ensemble des accès distants, la segmentation des sauvegardes hors ligne, et un plan de réponse aux incidents éprouvé par exercice annuel, autant de conditions désormais préalables à la souscription. Cette transformation a marqué le passage d'une logique d'indemnisation pure à une logique de coassurance des bonnes pratiques de cyberhygiène.
En parallèle, le Lloyd's of London a publié en août 2022 le Market Bulletin Y5381 imposant à tous les syndicats l'inclusion, à partir du 31 mars 2023, d'une exclusion pour les cyberattaques d'origine étatique dans toutes les polices cyber autonomes.13 La Lloyd's Market Association a publié à cette fin quatre clauses modèles dans leurs versions A et B, dont la principale différence porte sur le traitement de l'attribution. Les versions A intègrent une référence à la détermination par une autorité compétente, tandis que les versions B s'en dispensent. Cette segmentation reflète la difficulté juridique persistante de définir ce qu'est une cyberattaque étatique au sens d'une exclusion d'assurance, et constitue une zone de litiges potentiels considérable pour la prochaine décennie, d'autant que la frontière entre groupe criminel et acteur étatique est volontairement entretenue par certains États protecteurs.
Le débat sur la légitimité du paiement de rançon reste vif au sein du marché de la cyberassurance. La position dominante des grands assureurs continue de considérer que le paiement doit demeurer une option encadrée plutôt qu'un acte prohibé, dans la mesure où son interdiction priverait les victimes d'un levier de continuité d'activité dont le bilan coûts-bénéfices n'est pas systématiquement défavorable.14 L'enjeu pour la décennie à venir consiste à isoler la composante ransomware au sein du périmètre cyber assurable, à la traiter par des mécanismes de coassurance publique-privée éventuellement adossés à un pool, et à articuler son indemnisation avec une obligation de notification systématique aux autorités. À défaut, la qualification du ransomware comme actif financier souterrain restera l'angle mort d'une couverture cyber qui en finance malgré elle la liquidité opérationnelle.
1. Institute for Security and Technology, Combating Ransomware: A Comprehensive Framework for Action, rapport de la Ransomware Task Force, avril 2021.
2. National Crime Agency, communiqué de presse du 20 février 2024 ; Europol, dossier opération Cronos, février 2024.
3. Flare Threat Intelligence, The Initial Access Broker Economy: A Deep Dive into Dark Web Hacking Forums, septembre 2023 ; Rapid7, Initial Access Brokers have Shifted to High-Value Targets, H2 2025.
4. Coveware, Ransomware Quarterly Report Q4 2024, 4 février 2025.
5. Témoignage d'Andrew Witty, directeur général d'UnitedHealth Group, devant la commission Energy and Commerce du Congrès américain, 30 avril 2024.
6. UnitedHealth Group, formulaires 8-K et 10-Q déposés auprès de la Securities and Exchange Commission, exercices Q1 à Q3 2024.
7. TechTarget, Ransomware actors increasingly demand payment in Monero, janvier 2022 ; Bank Info Security, Ransom Payments: Monero Promises Privacy, avril 2022.
8. Bax N., Tracing the WannaCry 2.0 Monero Transactions, 2021 ; Möser M. et al., An Empirical Analysis of Monero Cross-Chain Traceability, arXiv:1812.02808.
9. Chainalysis, 2025 Crypto Crime Report, chapitre Ransomware, février 2025.
10. Office of Foreign Assets Control, Updated Advisory on Potential Sanctions Risks for Facilitating Ransomware Payments, US Department of the Treasury, 21 septembre 2021.
11. Trend Micro, Unveiling the Fallout: Operation Cronos' Impact on LockBit Following Landmark Disruption, avril 2024.
12. Chainalysis, Ransomware Payments Drop 35pour cent in 2024, février 2025 ; CyberScoop et The Record, reprises de février 2025.
13. Lloyd's Market Bulletin Y5381, août 2022 ; LMA Bulletin LMA23-002-PD du 20 janvier 2023, clauses LMA5615 à LMA5618.
14. Geneva Association, Cyber Insurance and the Question of Ransom Payments, papier de position, 2023 ; Lloyd's, Cyber Underwriting Minimum Standards, mises à jour 2023-2024.
Le marché des lignes financières offre, depuis 2018, le cas d'école le plus pur du cycle de souscription. Un assainissement de l'offre a heurté la peur d'une vague de sinistres liée au Covid pour produire le marché dur le plus brutal du siècle.
Solvabilité II repose sur deux postulats hérités de l'actuariat classique, la possibilité de diversifier des risques faiblement corrélés et celle d'en estimer la distribution à partir de données historiques. Le risque cyber contredit l'un et l'autre.
Retour sur la directive Lloyd's LMA 21-042 et les implications pour les traités de réassurance Property & Casualty
Le régulateur pose une question simple, combien d'argent devez-vous garder pour survivre à votre pire année sur deux siècles. Pour un portefeuille d'ouragans, l'actuaire répond sans ciller. Pour un portefeuille de rançongiciels, la salle se tait.
Une entreprise moyenne reçoit une lettre de son plus gros client, une clause exigeant la preuve de sa conformité à NIS2 sous quatre-vingt-dix jours, sinon le contrat s'arrête. Son dirigeant n'a jamais entendu parler de NIS2. Et il a tort de ne pas s'en inquiéter.