D'où vient l'interdiction
Une rançon est un transfert de valeur. Si celui qui la reçoit est inscrit sur une liste de sanctions, ou détenu par une personne qui l'est, le transfert tombe sous l'interdiction générale de mettre des fonds à sa disposition. C'est du droit des sanctions, donc de la politique étrangère, appliqué au cœur d'un sinistre cyber.
Le Trésor américain l'a écrit le 1er octobre 2020, puis l'a réaffirmé dans un avis mis à jour le 21 septembre 2021 : faciliter un paiement au profit d'une personne sanctionnée expose à une responsabilité civile stricte, c'est-à-dire même sans savoir que la personne était sanctionnée ; l'OFAC tient compte, pour atténuer, d'un signalement rapide aux autorités et de la coopération (avis OFAC, Sullivan & Cromwell). L'avis vise aussi ceux qui facilitent le paiement : assureurs, négociateurs, prestataires de réponse à incident.
Les groupes sont nommés
Le 5 décembre 2019, l'OFAC a inscrit Evil Corp, le groupe derrière le logiciel Dridex, et son chef présumé Maksim Yakubets (communiqué du Trésor, Département d'État). Le 7 mai 2024, les États-Unis, le Royaume-Uni et l'Australie ont sanctionné ensemble Dmitri Khorochev, désigné comme l'administrateur du rançongiciel LockBit (ministère australien de la Défense, Chainalysis).
La conséquence est pratique. LockBit a longtemps été l'un des groupes les plus actifs : depuis mai 2024, une victime de ce logiciel ne peut plus payer sans se demander si l'argent va à une personne inscrite, et un groupe peut changer de nom sans changer de mains.
Le Royaume-Uni et la France vont plus loin, chacun à sa façon
Le 22 juillet 2025, le gouvernement britannique a annoncé, en réponse à sa consultation de janvier, une interdiction ciblée du paiement des rançons pour le secteur public et les opérateurs d'infrastructures critiques réglementés, et un régime qui obligerait les autres organisations à déclarer leur intention de payer, pour que l'État puisse bloquer un paiement contraire aux sanctions (réponse du gouvernement, gov.uk, The Register).
En France, la loi du 24 janvier 2023 (LOPMI) a créé l'article L. 12-10-1 du code des assurances : l'indemnisation d'une atteinte à un système d'information est subordonnée à une plainte déposée dans les 72 heures suivant sa connaissance, et la règle est d'ordre public (Lexology, Professions financières). Elle conditionne le remboursement ; elle ne lève aucune sanction.
Ce que cela change dans un contrat cyber
La garantie d'extorsion reste écrite dans la police, mais elle est soumise à une condition que ni l'assuré ni l'assureur ne maîtrisent : la liste. Le paiement passe par un criblage du bénéficiaire, souvent conduit par un négociateur, et par la règle américaine des 50 % qui étend l'interdiction aux entités détenues par une personne sanctionnée. La décision de payer cesse d'être une décision de gestion de crise ; elle devient une question de conformité, tranchée en heures.
C'est la jonction que suit AlgoPolis : une décision d'État, prise loin du sinistre, fixe ce que vaut la garantie le jour où l'on s'en sert. Cette page décrit le droit ; elle ne dit ni s'il faut payer ni quelle garantie choisir.
Où nous l'avons traité
Aucune de nos notes de souscription parues ne tranche encore ce cas. L'article « Le ransomware comme actif financier » en pose le fondement : l'avis de l'OFAC du 21 septembre 2021 et la responsabilité sans faute de celui qui paie un acteur sanctionné.