Le destinataire était inscrit

Complétée le 7 octobre 2026, décision inchangée, un seuil ajouté. La note n° 15 (« La rançon était convenue »), qui ne paraîtra pas seule, y est versée : l'heure du virement, qui décide de ce que la clause de sanctions suspend ; les trois droits qui ne punissent pas la même ignorance ; la désignation des fournisseurs des groupes (hébergeurs, réseaux privés, chiffreurs), devenue courante depuis 2025 ; et le scénario de portefeuille chiffré qui manquait à la section 3. L'option A reste un refus en l'état ; la section 6 porte désormais cinq seuils au lieu de quatre (le cinquième : une décision de justice qui lirait une clause de sanctions contre une rançon).

Cette note est devenue une décision le 3 octobre 2026. Elle instruit un dossier, pose ce qu'une grille aurait rendu, et écrit trois décisions complètes. L'option A, recommandée par le rédacteur, a été retenue selon la règle de délégation du 29 septembre 2026 : elle figure à la section 6, avec son motif, et les deux autres restent écrites.

C'est le premier refus du calendrier. Les notes parues avant elle concluaient toutes « oui sous conditions ». Celle-ci ne force pas le oui : l'analyse mène au refus en l'état, et la section 6 dit ce qui le ferait tomber.

Chaque fait a été relu le 1er et le 2 octobre 2026, puis le 7, le 16 et le 19 octobre, ou retiré. La liste de la section 9 donne, pour chaque fait, sa source et son sort. L'accès au web était partiel : un moteur de recherche répondait, mais les pages officielles (Trésor américain, EUR-Lex, Conseil de l'Union, Légifrance, gov.uk) étaient bloquées depuis la machine de rédaction. « Vérifié » veut donc dire : retrouvé par recherche exacte, titre et extrait de la source primaire lus, et confirmé par une seconde source, un cabinet, une agence ou un média spécialisé. Aucun texte n'a été lu d'un seul tenant, et la note le dit à chaque endroit où cela compte.

Relecture proposée le 2 novembre 2027. À cette date, la note sera relue contre ce qui s'est passé, et la relecture sera publiée en tête, qu'elle donne raison ou tort à la décision retenue.

Les sanctions sont publiques, l'assuré est fabriqué. Les désignations, les avis, les règlements et les dates cités ici sont réels. L'entreprise qui demande sa couverture n'existe pas : elle assemble des situations courantes du métier. La note dit ce qu'un souscripteur déciderait ; elle ne dit à personne quoi acheter ni où, et ne porte aucune recommandation de garantie, de capital, de franchise ou de prime.

0. Pourquoi ce cas

Le cap du site tient que le risque politique est déjà dans le contrat cyber : l'exclusion de guerre, l'attribution à un État, et la sanction qui rend une rançon illicite. Les notes n° 2 et 4 ont traité les deux premières. Celle-ci traite la troisième, qui est la plus concrète des trois : elle ne se plaide pas après coup devant un tribunal, elle se décide en quelques heures, pendant que les serveurs de l'assuré sont chiffrés.

Un rançongiciel est un crime privé. Le jour où un État inscrit le groupe qui le commet sur une liste de sanctions, le même sinistre change de nature : payer devient une infraction, faciliter le paiement aussi, et la sortie que l'assuré avait prévue se ferme. La note demande ce que vaut une garantie cyber quand la reprise de l'assuré dépend d'un paiement qu'un acte d'État peut interdire du jour au lendemain.

1. Le risque

Les faits publics

Le 5 décembre 2019, le Trésor américain (OFAC) a désigné Evil Corp et son chef, Maksim Yakubets, pour le logiciel Dridex, et a relevé que Yakubets apportait une aide directe aux opérations cyber du gouvernement russe.

Le 1er octobre 2020, l'OFAC a publié un premier avis sur les risques de sanction liés au paiement des rançons. Il vise nommément, outre la victime, les assureurs cyber, les établissements financiers et les sociétés de réponse à incident qui facilitent le paiement. Il rappelle que la responsabilité civile est objective : une personne soumise à la juridiction américaine peut être sanctionnée « even if it did not know or have reason to know » que l'opération était interdite. Le 21 septembre 2021, un avis mis à jour l'a remplacé : il décourage tout paiement et fait du signalement rapide et de la coopération des circonstances atténuantes. Une licence pour payer reste possible, examinée au cas par cas, avec une présomption de refus.

Le 7 mai 2024, les États-Unis, le Royaume-Uni et l'Australie ont désigné le même jour Dmitri Khoroshev, chef de LockBit. Le 1er octobre 2024, une action tripartite contre Evil Corp a désigné, parmi d'autres, Aleksandr Ryzhenkov, affilié de LockBit. C'est le point où les deux noms se rejoignent : un paiement à un affilié d'une marque peut atteindre une personne désignée au titre d'une autre.

Depuis 2025, l'État désigne aussi les fournisseurs des groupes. Le 11 février 2025, les États-Unis, le Royaume-Uni et l'Australie ont désigné Zservers, hébergeur russe qui louait ses serveurs aux affiliés de LockBit ; le 19 novembre 2025, les trois mêmes pays ont désigné l'hébergeur Media Land, dont LockBit, BlackSuit et Play se servaient ; le 13 juillet 2026, l'OFAC a désigné un réseau privé virtuel vendu aux groupes de rançongiciel (First VPN Service) et un vendeur de « chiffreurs », les outils qui maquillent un logiciel malveillant. Un fournisseur sert plusieurs groupes : sa désignation rend impayable, le même jour, la rançon de chacun d'eux.

Et le groupe désigné change de nom. En juin 2022, Mandiant a évalué « avec une confiance élevée » qu'un groupe recoupant Evil Corp avait abandonné ses propres rançongiciels pour ceux de LockBit, pour gêner l'attribution et échapper aux sanctions.

En Europe, le règlement (UE) 2019/796 du 17 mai 2019 porte le régime de sanctions contre les cyberattaques. Son article 3, paragraphe 2, interdit que des fonds soient mis à disposition, « directly or indirectly », d'une personne inscrite. Les premiers acteurs du rançongiciel y ont été inscrits le 24 juin 2024 (Conti, Trickbot) ; le 13 juillet 2026, le Conseil a inscrit notamment Vitali Kovalev, dit « Stern », administrateur de Trickbot, à qui plus de 300 millions de dollars de rançons sont attribués, en action coordonnée avec les États-Unis et le Royaume-Uni. Le même jour, l'Union a inscrit au titre de ce règlement un hébergeur, Media Land, et sa société sœur ML.Cloud, pour avoir permis des campagnes de rançongiciel à grande échelle : elle désigne désormais, elle aussi, les fournisseurs.

Le droit européen ne punit pas la même ignorance que le droit américain. L'article 2 bis du même règlement écarte toute responsabilité de qui « did not know, and had no reasonable cause to suspect » que son action enfreignait les mesures. L'OFAC, lui, frappe même qui ne savait pas.

Au Royaume-Uni, l'OFSI a publié le 15 février 2024 sa doctrine : payer une personne dont les avoirs sont gelés est une infraction, et le signalement spontané atténue. Le 22 juillet 2025, le gouvernement a annoncé l'interdiction de payer une rançon pour le secteur public et les opérateurs d'infrastructures critiques. Au 19 octobre 2026, cette interdiction est annoncée, pas en vigueur : aucun texte qui la porte n'est adopté, son seuil et ses sanctions restent à fixer par des textes d'application, et le Cyber Security and Resilience Bill, qui est un autre texte, est encore en discussion au Parlement.

En France, l'article L. 12-10-1 du code des assurances, en vigueur depuis le 24 avril 2023, subordonne l'indemnisation des pertes d'une cyberattaque, rançon comprise, au dépôt d'une plainte dans les soixante-douze heures. Le paiement n'est pas interdit : il est encadré, et le droit européen s'applique par-dessus.

L'assuré, fabriqué

Un groupe français de logistique sous température dirigée, 640 millions d'euros de chiffre d'affaires, dix-sept entrepôts. Quatorze sont en France ; trois au Royaume-Uni, exploités par une filiale anglaise, dont un entrepôt portuaire qui stocke des produits de santé pour le compte d'hôpitaux publics. Une filiale américaine, à Newark, gère les flux d'un client transatlantique et détient un compte en dollars.

Toute l'activité tourne sur un seul système de gestion d'entrepôt, hébergé dans deux salles du groupe, et sur un annuaire d'entreprise commun aux trois pays. Les sauvegardes sont quotidiennes, sur des baies rattachées au même annuaire. Le dernier test de restauration complète date de mars 2024 : il a pris dix-neuf jours.

Le questionnaire, à la question « que faites-vous en cas de chiffrement généralisé », répond : « recours à un prestataire spécialisé en négociation et en reprise, sous quarante-huit heures ». Rien n'y décrit une reprise sans paiement.

La demande est une police cyber sur le marché de Londres : frais de réponse à incident, perte d'exploitation, extorsion, responsabilité.

L'exposition, bornée

Les chiffres qui suivent sont des hypothèses du dossier fabriqué (section 9, fait 16). Un jour d'arrêt complet coûte au groupe 1,2 million d'euros de marge perdue et de frais supplémentaires (marchandises périssables détruites, transport de substitution, pénalités clients). La rançon demandée retenue est de 4 millions d'euros.

1. Si la rançon peut être payée et que la clé fonctionne, la reprise prend six jours : 7,2 millions de perte d'exploitation, 4 millions de rançon, 1,5 million de frais. Environ 12,7 millions d'euros.
2. Si la rançon ne peut pas être payée parce que le destinataire est inscrit, ou le devient pendant la négociation, la reprise se fait depuis des sauvegardes dont une partie aura été chiffrée avec le reste : vingt-quatre jours au mieux, sur la foi du test de 2024. 28,8 millions de perte d'exploitation et 2,5 millions de frais : environ 31 millions d'euros, deux fois et demie le premier cas.
3. Si les sauvegardes sont perdues, ce qui est le premier objectif d'un groupe qui chiffre un annuaire, la reconstruction prend six semaines ou plus : plus de 50 millions d'euros, sans compter les clients perdus.

La sanction ne supprime donc pas la perte, elle la déplace : du poste extorsion, qu'elle rend impayable, vers la perte d'exploitation, qu'elle multiplie. Exclure l'extorsion ou la suspendre par une clause ne réduit pas l'exposition de ce dossier ; cela retire les 4 millions qui en raccourcissent la durée.

2. Ce qui manque

Une reprise sans paiement, démontrée. Combien de jours pour rendre le système de gestion d'entrepôt aux quatorze sites français, depuis des sauvegardes que l'attaquant n'aurait pas pu atteindre ? Le test de 2024 dit dix-neuf jours avec des sauvegardes intactes ; il ne dit rien de leur isolement. C'est le seul chiffre qui borne la perte quand la rançon est interdite, et le dossier ne l'a pas.

Qui paierait, et avec quel argent. Le prestataire de négociation est-il une société soumise à la juridiction américaine ou britannique ? Le paiement partirait-il du compte en dollars de la filiale de Newark ? Une opération qui touche une personne américaine, la filiale comprise, tombe sous la règle de l'OFAC, et sa responsabilité est objective. Je ne sais pas comment le groupe paierait, et le questionnaire ne le dit pas.

Ce que deviendrait l'entrepôt portuaire anglais. S'il est rangé parmi les infrastructures critiques le jour où l'interdiction britannique entre en vigueur, la filiale anglaise ne pourra plus payer du tout, quel que soit le destinataire. Le groupe pourrait-il payer depuis la France pour un système commun aux trois pays ? Je ne sais pas, et aucun texte adopté ne le dit encore.

La procédure de vérification du destinataire. Avant tout paiement, qui vérifie, contre quelles listes (OFAC, Union, Royaume-Uni), et avec quel délai ? Un groupe change de nom, un affilié travaille pour plusieurs marques : la vérification ne porte pas sur un nom, elle porte sur une attribution, et elle prend du temps que la perte d'exploitation, elle, ne donne pas. Elle porte aussi sur ses fournisseurs : l'hébergeur que le groupe loue peut être désigné sans que le groupe le soit.

3. Les signaux

Retenus

Le risque tient à l'identité du destinataire, qui ne se connaît presque jamais au moment de payer. Le 1er octobre 2024, un affilié de LockBit a été désigné au titre d'Evil Corp : celui qui paie une marque peut payer une autre personne. Et la responsabilité américaine est objective : ignorer que le destinataire est désigné n'exonère pas.

L'heure du virement décide, pas la date du sinistre. Une rançon versée la veille d'une désignation était licite quand elle est partie : son remboursement à l'assuré ne met aucun fonds à la disposition du groupe, et la clause de sanctions n'a rien à suspendre. La même rançon, convenue la veille mais versée une heure après la désignation, ne se rembourse pas, et la reprise qu'elle devait acheter n'a pas lieu. Entre ces deux heures, la perte du dossier passe d'environ 12,7 à 31 millions d'euros (section 1).

Trois droits, une seule caisse. La société mère est française : le droit européen ne la punit que si elle savait ou devait soupçonner (article 2 bis). Sa filiale de Newark et son compte en dollars vivent sous la responsabilité objective de l'OFAC. Sa filiale anglaise et l'assureur de Londres vivent sous le régime britannique. Le plus sévère des régimes qui atteignent le paiement fixe ce que le groupe peut payer ; tant que le dossier ne dit pas qui paierait et depuis quel compte (section 2), c'est le plus sévère des trois.

Le droit se resserre, et toujours dans le même sens. Avis américain en 2020, remplacé et durci en 2021 ; premières inscriptions européennes en 2024, nouvelles en 2026 ; doctrine britannique en 2024 ; interdiction britannique annoncée en 2025. Une police prise le 1er janvier 2027 court sous les listes de 2027, et chaque inscription nouvelle s'applique aux sinistres en cours.

Ce dossier est celui que la sanction transforme le plus. Un assuré qui reprend en six jours sans payer perd peu à ce que la rançon soit interdite. Celui-ci a écrit, dans son questionnaire, que sa reprise passe par la négociation. Sa sévérité dépend d'une liste qu'il ne tient pas.

La perte d'exploitation est périssable. En logistique sous température dirigée, un jour d'arrêt détruit de la marchandise : la pression pour payer vite est la plus forte du marché, et c'est sous cette pression que la vérification du destinataire se fait.

Les victimes paient de moins en moins. Chainalysis compte 820 millions de dollars de rançons en 2025, 8 % de moins qu'en 2024, et un taux de paiement tombé à 28 %, le plus bas qu'il ait mesuré ; il attribue le recul notamment à une meilleure réponse à incident, à la pression réglementaire et aux actions de police. Cela vaut pour le marché, pas pour ce dossier : un assuré qui ne sait reprendre qu'en payant est celui que ce recul laisse le plus exposé.

Écartés

La seconde porte : l'attribution à un État. La désignation de 2019 relève que Yakubets aide les opérations cyber du gouvernement russe. Un assureur pourrait être tenté d'en déduire qu'une attaque d'Evil Corp est une opération cyber d'État au sens des clauses LMA 5564 à 5567 (notes n° 2 et 4). Je l'écarte : une désignation dit qui est puni, pas qui a commis une attaque donnée, et ces clauses lisent l'attribution d'abord dans la parole de l'État où se trouvent les systèmes touchés, ici la France. Le dossier se joue sur la sanction, pas sur la guerre.

L'absence de précédent. Aucune sanction prononcée contre un assureur pour avoir remboursé une rançon n'a été trouvée (section 9, écarté 4). Elle ne dit pas que le risque est nul : la responsabilité est objective, et un premier cas n'a pas besoin de précédent.

Le secteur. La logistique n'est pas plus visée qu'un autre secteur. Ce qui compte est la dépendance à un système unique et la reprise par le paiement, qu'on trouverait dans une clinique ou une usine.

Le texte qui compte : la clause de sanctions

Le texte de marché le plus répandu, la LMA 3100 du 15 septembre 2010, dit : « No (re)insurer shall be deemed to provide cover and no (re)insurer shall be liable to pay any claim or provide any benefit hereunder to the extent that the provision of such cover, payment of such claim or provision of such benefit would expose that (re)insurer to any sanction, prohibition or restriction under United Nations resolutions or the trade or economic sanctions, laws or regulations of the European Union, United Kingdom or United States of America. »

Ce qu'elle fait à ce dossier, lu mot à mot :

1. « to the extent that » : la clause suspend, elle n'éteint pas. La Haute Cour de Londres l'a jugé le 12 octobre 2018 (Mamancochet Mining c. Aegis), sur une clause de même facture. Pendant que le destinataire est inscrit, l'assureur ne rembourse pas la rançon ; il ne la remboursera qu'à la levée de l'inscription, si elle vient, longtemps après la reprise. Le même jugement borne la clause dans l'autre sens : elle ne joue que si, et tant que, le paiement serait effectivement interdit, et le simple risque d'être sanctionné ne suffit pas. Avant la désignation, l'assureur ne peut pas l'opposer, même s'il la craint. Le Tribunal fédéral suisse l'a appliqué à une rançon d'Evil Corp le 17 août 2023 (4A_206/2023, WastedLocker) : l'assureur qui invoque la clause doit prouver que le destinataire est bien la personne inscrite, et la marque du logiciel n'y suffit pas. La Cour suprême du Royaume-Uni a dit la même suspension de la loi elle-même le 25 mars 2026 (UniCredit c. Constitution Aircraft Leasing, [2026] UKSC 10, lettres de crédit sous le régime russe) : l'obligation de payer attend la licence, qu'il faut chercher. Pour une rançon, l'OFAC présume le refus (fait 22) : la suspension dure.
2. « payment of such claim » : la clause protège l'assureur contre le paiement qui l'exposerait. Elle ne le protège pas contre la perte d'exploitation que ce non-paiement provoque, qui n'expose personne à aucune sanction et que la police doit toujours. C'est le cœur du dossier : la clause retire 4 millions et en laisse 31.
3. Le droit français : la cour d'appel de Paris, le 21 juin 2022, a qualifié d'exclusion une clause de sanctions d'une police de dirigeants et l'a écartée faute de précision. Le marché a répondu le 5 octobre 2023 par la LMA 3100A et la LMA 3200. Sous droit français, la clause elle-même peut tomber ; le règlement 2019/796, lui, interdit la mise à disposition des fonds quel que soit le sort de la clause.

Le remboursement par l'assureur d'une rançon déjà versée à une personne inscrite est-il une mise à disposition « indirecte » au sens de l'article 3 ? Aucun texte ni aucune décision lus ne le tranchent. La note le tient pour un risque, pas pour une certitude. L'article 2 bis n'y change rien pour un assureur qui rembourse après la publication de l'inscription : il ne peut plus soutenir qu'il n'avait aucune raison de soupçonner.

Le cumul, et le scénario qui ferait mal

Le cumul de ce risque est juridique. Une faille commune frappe les assurés qui ont le même logiciel ; une inscription frappe tous les assurés en négociation avec le même groupe, le même jour, quel que soit leur logiciel. Un groupe actif a des dizaines de victimes ouvertes à la fois. Et depuis 2025, la clé remonte d'un cran : quand l'État désigne l'hébergeur ou le réseau privé que plusieurs groupes louent (section 1), l'inscription frappe le même jour tous les assurés en négociation avec tous ces groupes.

Le scénario qui ferait mal : un groupe très actif est inscrit par l'Union ou par l'OFAC un mardi. Ce jour-là, chaque sinistre en cours contre ce groupe bascule de « rançon payée, reprise en six jours » à « rançon impossible, reprise en quatre semaines ». Les dossiers déjà réglés ne bougent pas ; les dossiers ouverts sont multipliés par deux ou trois, tous ensemble, sur une seule décision d'État. La sévérité du portefeuille ne dépend plus de ses assurés, mais d'un calendrier de sanctions qu'aucun d'eux ne connaît.

Chiffré sur un portefeuille fabriqué (section 9, fait 27) : deux cent cinquante assurés européens de l'industrie et de la logistique. Un après-midi, un hébergeur est désigné, et quatre d'entre eux sont en négociation avec des groupes qui le louent. Pour un assuré de la taille moyenne du portefeuille (350 000 euros par jour d'arrêt, rançon de 2 millions), la reprise passe de six à vingt-quatre jours et le sinistre d'environ 4,7 à 9,6 millions : 4,9 millions de plus par assuré, environ 20 millions d'euros pour les quatre, déclenchés par un seul acte d'État. Si l'un des quatre est l'assuré de ce dossier, son écart à lui seul est de 18,6 millions, et le total dépasse 33 millions. La sinistralité d'une vague de rançongiciel se tarife sur la fréquence des attaques ; celle-ci naît d'une date que personne ne choisit, et touche des dossiers déjà ouverts : c'est un événement, pas une fréquence.

Ce que l'assureur fait de ce cumul n'appartient pas à cette note, qui ne fixe aucun capital : elle dit seulement que la clé de cumul de l'extorsion est le groupe criminel et ses fournisseurs, et la clé de sévérité leur place sur une liste.

4. Ce qu'un moteur aurait décidé

La grille

Une grille d'appétit en cyber ordinaire aurait lu ceci :

secteur              logistique                           conforme
chiffre d'affaires   640 M EUR                            conforme
sauvegardes          quotidiennes                         favorable
test de reprise      réalisé (mars 2024)                  favorable
plan de réponse      prestataire sous 48 h                favorable
authentification     forte sur les accès distants         favorable
sinistres            aucun déclaré                        favorable
sanctions            clause LMA 3100 au contrat           conforme
pays                 France, Royaume-Uni, États-Unis      conforme
cumul                vague de rançongiciel                au barème
------------------------------------------------------------
résultat             acceptation

secteur

logistique

conforme

chiffre d'affaires

640 M EUR

conforme

sauvegardes

quotidiennes

favorable

test de reprise

réalisé (mars 2024)

favorable

plan de réponse

prestataire sous 48 h

favorable

authentification

forte sur les accès distants

favorable

sinistres

aucun déclaré

favorable

sanctions

clause LMA 3100 au contrat

conforme

pays

France, Royaume-Uni, États-Unis

conforme

cumul

vague de rançongiciel

au barème

résultat

acceptation

Le moteur accepte, et sur ce qu'il lit il a raison. Les sauvegardes existent, la reprise a été testée, un prestataire est retenu, la clause de sanctions figure au contrat.

Où le jugement s'en écarte, et pourquoi

À trois lignes qui se lisent ensemble : « sauvegardes : favorable », « plan de réponse : favorable » et « sanctions : conforme ». Le moteur les lit comme trois protections. Je les lis comme une seule hypothèse : que la rançon pourra être payée.

1. Les sauvegardes sont rattachées à l'annuaire qu'un rançongiciel chiffre en premier. Le moteur coche leur existence ; il ne demande pas si l'attaquant peut les atteindre.
2. Le plan de réponse est un plan de paiement. « Prestataire de négociation sous 48 heures » est une ligne favorable pour la grille ; c'est l'aveu que la reprise passe par la rançon.
3. La clause de sanctions est cochée comme une protection de l'assureur. Elle l'est pour le remboursement de la rançon ; elle ne l'est pas pour la perte d'exploitation qui suit le refus de payer, et c'est cette perte qui fait la sévérité.

Une quatrième ligne, « cumul : au barème », compte des attaques indépendantes, à leur fréquence. La désignation frappe en un instant des dossiers déjà ouverts (section 3) : le moteur ne la voit pas, parce qu'elle n'est pas une attaque.

Ce que la relecture tranchera. Le 2 novembre 2027, on saura si une inscription nouvelle a visé un groupe actif, et si des victimes ont dû reprendre sans payer. Si aucune inscription n'a touché un groupe en activité, la grille avait raison sur la période, et le jugement devra dire si son refus valait ce qu'il a coûté.

5. Les trois décisions possibles

Chacune est complète et défendable. Aucune ne recommande à l'assuré une garantie, un capital, une franchise ou une prime : elles disent si l'on écrit ce risque, et sur quelle information.

Option ANon, en l'état

On refuse le dossier tel qu'il est présenté, et l'on dit pourquoi : sa reprise ne tient que par un paiement qu'un acte d'État peut interdire à tout moment, et la clause de sanctions ne protège pas contre la perte qui suit. Le refus n'est pas définitif. Le dossier est réexaminé sur trois faits :

1. un test de restauration complète depuis des sauvegardes isolées de l'annuaire de production, réalisé et daté, qui dit en combien de jours le système de gestion d'entrepôt revient sans paiement ;
2. la procédure écrite de vérification du destinataire, documentée et horodatée, avant tout paiement, contre les listes américaine, européenne et britannique, hébergeur et fournisseurs connus du groupe compris, avec l'entité qui paierait et le compte d'où partiraient les fonds ;
3. la position de la filiale anglaise au regard de l'interdiction annoncée : son entrepôt portuaire est-il, ou sera-t-il, une infrastructure critique au sens des textes d'application.

Ce ne sont pas des recommandations faites à l'assuré : ce sont les faits sans lesquels on ne sait pas si sa perte la plus probable dure six jours ou six semaines.

Option BOui, sans l'extorsion

On écrit le dossier, mais pas le volet extorsion : la police couvre la réponse à incident, la perte d'exploitation et la responsabilité, et ne rembourse aucune rançon. La question de licéité disparaît du contrat. C'est la décision la plus facile à défendre devant un régulateur. Elle a un défaut que la section 1 chiffre : elle laisse la perte d'exploitation, qui est l'exposition, et retire la rançon, qui la raccourcissait. Elle ne refuse pas le risque ; elle refuse sa part la moins chère.

Option COui, aux conditions du moteur

On accepte comme la grille. Les sauvegardes existent, la reprise a été testée, un prestataire est retenu, la clause de sanctions est au contrat ; aucune sanction n'a jamais été prononcée contre un assureur pour une rançon remboursée. Refuser parce que le destinataire d'une rançon future pourrait être inscrit un jour, c'est tarifer une liste qui n'existe pas encore.

6. Ce qui ferait tort à chaque option

A aurait tort si, au 2 novembre 2027, aucune inscription nouvelle n'avait visé un groupe en activité, et que les victimes de rançongiciel avaient continué de payer et de reprendre vite : le refus aurait coûté un assuré pour un risque qui ne s'est pas produit. Elle aurait tort aussi si l'assuré produisait sans peine un test de reprise sans paiement en moins de dix jours : le dossier était bon, et seul le questionnaire le cachait.

B aurait tort si un sinistre survenait chez un assuré semblable dont la rançon était licite et la clé fonctionnelle : la police aurait payé quatre semaines de perte d'exploitation que six jours et une rançon auraient évitées. Elle aurait tort encore si la perte d'exploitation de quatre semaines se produisait quand même : B aurait accepté l'exposition qu'elle prétendait réduire.

C aurait tort si une inscription nouvelle survenait pendant une négociation ouverte, ou si une première sanction frappait un assureur ou un négociateur pour une rançon payée. Dans chacun de ces cas, la police acceptée sur la foi de « sauvegardes : favorable » aurait payé la perte longue, celle que la grille n'a pas vue.

Ce qui me ferait changer d'avis avant la prise d'effet

La police prendrait effet au 1er janvier 2027 (date du dossier fabriqué). Voici, datés, les faits qui feraient basculer l'option A avant cette date.

1. Au 1er décembre 2026, l'assuré remet un test de restauration depuis des sauvegardes isolées, en dix jours ou moins : le dossier passe en acceptation sous conditions d'information, comme les notes n° 2 à 4. La sanction ne transforme plus la perte, elle en retire seulement le raccourci.
2. Au 1er décembre 2026, l'assuré remet le test, mais en plus de vingt jours : option B au mieux, et seulement si la perte d'exploitation longue est tenue pour l'exposition qu'elle est.
3. Avant la prise d'effet, l'interdiction britannique est adoptée et l'entrepôt portuaire y est rangé : le refus vaut pour tout dossier dont le système est commun à la filiale anglaise, quelle que soit la réponse aux deux premiers points, tant que le texte ne dit pas si une société mère étrangère peut payer pour un système partagé.
4. Avant la prise d'effet, l'OFAC, l'OFSI ou une autorité européenne sanctionne un assureur ou un négociateur pour une rançon payée : le dossier est réexaminé, et le risque de mise à disposition indirecte que la section 3 laisse ouvert devient un fait.
5. Avant la prise d'effet, une décision de justice lit une clause de sanctions contre une rançon et dit si elle atteint la perte d'exploitation : si elle l'atteint, la perte longue quitte la police, le motif central de l'option A tombe, et le dossier est réexaminé sur les seuils 1 et 2 seuls. Ajouté le 7 octobre 2026.

Ces seuils seront relus le 2 novembre 2027 avec les faits de la section 7.

La recommandation du rédacteur

Option A. Motif : la perte de ce dossier dépend moins de l'assuré que d'une liste de sanctions, et la clause de sanctions ne protège que contre la plus petite des deux pertes qu'une inscription provoque. B retire la rançon et garde la perte qu'elle évitait ; C lit trois lignes favorables là où il n'y a qu'une hypothèse, que le paiement restera licite. A ne refuse pas l'assuré, elle refuse son plan de reprise, et dit ce qui la ferait tomber.

La décision ci-dessous retient cette recommandation. Si une décision contraire avait retenu B ou C, elle aurait prévalu, et la note aurait porté les deux, le désaccord compris.

Décision : Option A, non en l'état, retenue sur la recommandation du rédacteur selon la règle de délégation du 29 septembre 2026 : le dossier présenté est refusé, et les cinq seuils de la section 6 disent quels faits datés le rouvrent, à commencer par un test de restauration sans paiement en dix jours ou moins.

Motif en une phrase : La perte de ce dossier dépend moins de l'assuré que d'une liste de sanctions, et la clause de sanctions ne protège que contre la plus petite des deux pertes qu'une inscription provoque ; A ne refuse pas l'assuré, elle refuse son plan de reprise.

Date de la décision : 3 octobre 2026

Date de relecture : 2 novembre 2027 (proposée, et modifiable)

7. La relecture

Le 2 novembre 2027, ou à la date qui aura été retenue. L'assuré étant fabriqué, la relecture ne porte que sur des faits publics. On cherchera, dans cet ordre, sept faits vérifiables :

1. Une inscription nouvelle d'un groupe de rançongiciel en activité par l'Union (Journal officiel), l'OFAC ou le Royaume-Uni, entre le 2 novembre 2026 et la date de relecture, avec le groupe et la date.
2. Une victime publique qui a dû reprendre sans payer parce que le destinataire était inscrit, et la durée de sa reprise, comparée aux six et vingt-quatre jours de la section 1.
3. L'adoption effective de l'interdiction britannique, sa date d'entrée en vigueur, et ce qu'elle dit d'un système partagé avec une société mère étrangère.
4. Une sanction prononcée contre un assureur, un négociateur ou un établissement pour un paiement de rançon, aux États-Unis, dans l'Union ou au Royaume-Uni.
5. Une première décision publiée appliquant l'article L. 12-10-1 du code des assurances, sur le délai de soixante-douze heures.
6. Les désignations de l'année : combien visent un groupe ou un fournisseur en activité (hébergeur, réseau privé, chiffreur), et combien une personne d'un groupe démantelé.
7. Le chiffre annuel des rançons payées et le taux de paiement : s'ils reculent encore, le volet extorsion s'efface, et la reprise sans paiement devient le sinistre ordinaire, désignation ou non.

La relecture dira lequel est survenu, ce qu'il fait de l'option retenue, et qui avait raison, de la grille ou du jugement. Si aucun des cinq premiers n'est survenu, elle le dira aussi, et l'option C sera créditée de sa victoire.

8. Objections

Relecture adverse, jouée par un relecteur de risque politique dans la posture d'un souscripteur senior du marché de Londres qui a passé quinze ans à lire des clauses de sanctions sur des polices de crédit et d'expropriation. Ses trois objections les plus dures, et les réponses.

Objection 1 · « Personne n'a jamais été sanctionné pour une rançon remboursée. »

« Vous refusez un risque sur une sanction qui n'est jamais tombée. L'OFAC publie des avis, pas des amendes contre des assureurs. Votre refus tarife une peur. »

Réponse. L'objection est exacte sur le fait, et la note l'écarte elle-même comme signal (section 3). Mais le refus ne repose pas sur la sanction de l'assureur : il repose sur ce que l'inscription fait à l'assuré. Le jour où le destinataire est inscrit, aucun professionnel sérieux ne paie, sanction ou non, et la perte d'exploitation s'allonge. Ce qui coûte, c'est la reprise longue, bien plus que l'amende, et elle ne demande aucun précédent. Et l'inscription n'est plus rare : en dix-huit mois, Zservers, Media Land, un réseau privé et un vendeur de chiffreurs (section 1). L'État remonte la chaîne, et chaque maillon qu'il désigne sert plusieurs groupes.

Objection 2 · « Vous refusez un défaut de sauvegarde, c'est de l'ingénierie. »

« Des sauvegardes rattachées à l'annuaire, c'est une recommandation d'auditeur, pas un motif de souscription. Demandez une correction, ne refusez pas. »

Réponse. C'est précisément ce que fait l'option A : elle refuse le dossier en l'état et dit le fait qui le rouvre. Mais le défaut de sauvegarde n'est pas une question d'ingénierie dans ce dossier, parce qu'il change la nature de la perte sous sanction. Le même défaut chez un assuré dont la rançon reste licite coûte six jours ; ici, il coûte la différence entre douze et trente et un millions, sur une décision d'État que ni l'assuré ni l'assureur ne contrôlent. C'est la jonction du risque politique et du cyber, et c'est pourquoi la note est cyber et non technique.

Objection 3 · « La clause LMA 3100 suffit. »

« Votre assureur est protégé : s'il ne peut pas payer la rançon, la clause suspend. Pourquoi refuser un risque dont la partie illicite est déjà neutralisée ? »

Réponse. Parce que la clause neutralise la partie la moins chère. Elle suspend le remboursement de 4 millions ; elle laisse due la perte d'exploitation, qui passe de 7 à 29 millions à cause de la suspension. La clause ne retire pas le risque du contrat, elle le déplace d'une ligne à l'autre et le multiplie en route. Et sous droit français, depuis l'arrêt du 21 juin 2022, il n'est pas même acquis qu'elle tienne.

9. Les faits relus

Instruction du 1er octobre 2026, relue le 2 octobre 2026, complétée et relue le 7 octobre 2026 avec la note n° 15, qui y est versée (faits 17 à 27). Vingt-cinq faits publics et deux faits de dossier ; cinq écartés. Accès au web partiel, dit en tête de note ; les liens sont dans l'instruction de la n° 6. Présentés en liste, les pages des notes ne rendant pas les tableaux. Aucun texte n'a été lu d'un seul tenant.

1. 5 décembre 2019 : l'OFAC désigne Evil Corp et Maksim Yakubets, pour Dridex, et relève son aide aux opérations cyber du gouvernement russe. Communiqué du Trésor (reproduit par GlobalSecurity) ; Willkie Farr & Gallagher, 9 décembre 2019. Vérifié, gardé.
2. 1er octobre 2020 : premier avis de l'OFAC sur les rançons, qui vise les assureurs cyber. CISA, 2 octobre 2020 ; Morrison Foerster, 7 octobre 2020. Vérifié, gardé.
3. Responsabilité objective, « even if it did not know or have reason to know ». Avis de l'OFAC (titre et extrait lus, page bloquée) ; Jones Day, octobre 2020. Vérifié, gardé ; mot corrigé le 2 novembre 2026, « it » et non « such person » (Mayer Brown, Mondaq).
4. 21 septembre 2021 : avis mis à jour, qui remplace celui de 2020. Hunton Andrews Kurth ; Covington. Vérifié, gardé. Le texte n'a pas été lu d'un seul tenant.
5. 7 mai 2024 : Dmitri Khoroshev, chef de LockBit, désigné le même jour par les États-Unis, le Royaume-Uni et l'Australie. Trésor (GlobalSecurity) ; Mayer Brown, semaine du 6 mai 2024. Vérifié, gardé.
6. 1er octobre 2024 : action tripartite contre Evil Corp, dont Aleksandr Ryzhenkov, affilié de LockBit. UPI, 1er octobre 2024 ; TRM Labs. Vérifié, gardé.
7. Règlement (UE) 2019/796, article 3, paragraphe 2 : « directly or indirectly ». EUR-Lex (extrait) ; texte conservé par legislation.gov.uk. Vérifié, gardé. L'article n'a pas été lu d'un seul tenant.
8. 24 juin 2024 : premières inscriptions d'acteurs du rançongiciel (Conti, Trickbot). Conseil de l'Union, communiqué du 24 juin 2024 ; Bitdefender. Vérifié, gardé.
9. 13 juillet 2026 : Vitali Kovalev, dit « Stern », inscrit ; plus de 300 millions de dollars de rançons attribués ; action coordonnée. EUR-Lex (règlement d'exécution 2026/1714) ; Chainalysis ; relu le 2 octobre : communiqué du Conseil et Crowdfund Insider. Vérifié, gardé. Réserve maintenue : le communiqué du Conseil annonce « nine individuals and four entities » au titre des cyberattaques et des activités de déstabilisation russes, un résumé du règlement dit huit personnes ; la note n'écrit aucun nombre.
10. 15 février 2024 : doctrine de l'OFSI sur rançongiciel et sanctions. Regulation Tomorrow (Norton Rose Fulbright) ; WorldECR. Vérifié, gardé.
11. 22 juillet 2025 : interdiction annoncée pour le secteur public et les infrastructures critiques. Pinsent Masons ; Burges Salmon. Vérifié, gardé. Réserve levée le 2 octobre 2026 : au 2 octobre, l'interdiction n'est pas en vigueur et passe par des textes d'application (Computer Weekly ; CyberGen Security, « before it becomes law »). La note écrit « annoncée, pas en vigueur ». Relu le 7 octobre : toujours aucun texte adopté (fait 26).
12. Article L. 12-10-1 du code des assurances, plainte en soixante-douze heures, rançon comprise, en vigueur le 24 avril 2023. Les Surligneurs ; INCYBER. Vérifié, gardé. Légifrance bloqué.
13. Texte de la LMA 3100 du 15 septembre 2010. Note n° 3, fait 37. Repris.
14. Mamancochet Mining c. Aegis, [2018] EWHC 2643 (Comm), 12 octobre 2018 : la clause suspend. Note n° 3, fait 38. Repris.
15. CA Paris, 21 juin 2022, RG 20/10832 ; LMA 3100A et 3200 du 5 octobre 2023. Note n° 3, faits 40 et 41. Repris.
16. Chiffrage de la section 1 : 1,2 million d'euros par jour d'arrêt, rançon de 4 millions, reprises de six, vingt-quatre et plus de quarante jours, test de dix-neuf jours en mars 2024. Hypothèses du dossier fabriqué, non faits publics. Calculs : 6 × 1,2 = 7,2 ; + 4 + 1,5 = 12,7 ; 24 × 1,2 = 28,8 ; + 2,5 = 31,3. Ajouté, à discuter.
17. 11 février 2025 : Zservers désigné par les États-Unis, le Royaume-Uni et l'Australie ; 127 serveurs saisis le lendemain. Baker McKenzie, Sanctions News ; OCCRP ; communiqué du Trésor sb0018 (titre et extrait). Repris de la note n° 15, vérifié, gardé.
18. 19 novembre 2025 : Media Land désigné par les mêmes trois pays, hébergeur de LockBit, BlackSuit et Play. Communiqué du Trésor (reproduit par GlobalSecurity) ; OCCRP ; BleepingComputer. Ajouté le 7 octobre, vérifié, gardé.
19. 13 juillet 2026 : First VPN Service, son administrateur et un vendeur de chiffreurs désignés par l'OFAC. Communiqué du Trésor sb0559 (reproduit par GlobalSecurity) ; Herbert Smith Freehills Kramer ; TRM Labs. Repris de la note n° 15, vérifié, gardé.
20. 13 juillet 2026 : l'Union inscrit Media Land et ML.Cloud au titre du règlement 2019/796. Communiqué du Conseil du 13 juillet 2026 (titre et extrait) ; Industrial Cyber ; résumé du règlement d'exécution par Lovguiden. Ajouté le 7 octobre, vérifié, gardé.
21. Juin 2022 : un groupe recoupant Evil Corp passé à LockBit pour échapper aux sanctions (Mandiant). Google Cloud (Mandiant) ; The Register, 3 juin 2022. Repris de la note n° 15, vérifié, gardé.
22. Présomption de refus des licences de l'OFAC depuis le 21 septembre 2021. Honigman ; Mondaq. Repris de la note n° 15, vérifié, gardé.
23. Article 2 bis du règlement 2019/796 : aucune responsabilité pour qui ne savait pas et n'avait aucune raison de soupçonner. Texte consolidé repris par Better Regulation ; legislation.gov.uk. Repris de la note n° 15, vérifié, gardé.
24. **Mamancochet : la clause ne joue que si le paiement est effectivement interdit, le simple risque ne suffit pas.** Résumé officiel (judiciary.uk) ; HFW. Repris de la note n° 15, vérifié, gardé.
25. Chainalysis, 2025 : 820 millions de dollars, moins 8 %, taux de paiement de 28 %. BleepingComputer ; Infosecurity Magazine ; Computing. Ajouté le 7 octobre, vérifié, gardé. Chainalysis dit lui-même que le total de 2025 pourrait approcher 900 millions à mesure que des paiements lui seront attribués.
26. Au 19 octobre 2026, l'interdiction britannique n'est portée par aucun texte adopté ; seuil et sanctions renvoyés à des textes d'application. Goodwin, février 2026 ; Taylor Wessing, 2026 ; CyberGen Security. Vérifié, gardé ; relu le 16 puis le 19 octobre 2026, aucun projet de loi trouvé depuis.
27. Chiffrage du portefeuille (section 3) : deux cent cinquante assurés, quatre en négociation, 350 000 euros par jour d'arrêt, rançon de 2 millions, reprises de six et vingt-quatre jours, réponse à incident de 0,6 et 1,2 million. Hypothèses du portefeuille fabriqué, reprises de la note n° 15. Calculs : 6 × 0,35 + 2 + 0,6 = 4,7 ; 24 × 0,35 + 1,2 = 9,6 ; écart 4,9 ; 4 × 4,9 = 19,6 ; 3 × 4,9 + 18,6 = 33,3. Ajouté, à discuter.
28. Tribunal fédéral suisse, 17 août 2023, 4A_206/2023 : l'assureur qui oppose une clause de sanctions au remboursement d'une rançon payée après WastedLocker doit prouver que l'attaque vient d'Evil Corp et qu'Evil Corp en a profité ; la marque du logiciel ne suffit pas. cdbf.ch (Célian Hirsch, 23 octobre 2023) et résumés ; le texte de l'arrêt n'a pas été lu depuis le poste. Ajouté le 28 octobre 2026 (relecture du 25). Il porte sur le remboursement, pas sur la perte d'exploitation : le seuil 5 ne joue pas.
29. *Cour suprême du Royaume-Uni, 25 mars 2026, UniCredit Bank GmbH c. Constitution Aircraft Leasing (Ireland) 3 Ltd, [2026] UKSC 10 : l'obligation de payer des lettres de crédit stand-by est suspendue par le régime de sanctions jusqu'à la licence, qu'il faut chercher par des efforts raisonnables.* TLT ; HFW ; CMS ; Linklaters. Ajouté le 28 octobre 2026. Lettres de crédit sous le régime russe, pas une rançon : la note n'en tire que la règle de suspension.

Écartés, avec leur raison :

1. « Le 6 décembre 2019, dix-sept personnes et sept entités » : une seule source, qui contredit la date du 5. Le nombre n'est pas cité.
2. Le nombre de personnes inscrites le 13 juillet 2026 : deux sources discordantes, voir fait 9.
3. La date d'entrée en vigueur de l'interdiction britannique : aucune source ne la donne, voir fait 11.
4. Une sanction prononcée contre un assureur pour une rançon remboursée : aucune trouvée ; la note n'en affirme pas l'existence. Recherchée de nouveau le 7 octobre : aucune.
5. Le montant payé par Garmin en 2020 (note n° 15) : presse seule, chiffres divergents ; le cas n'est pas repris.

Ce que la relecture change à la décision. Rien. Le pivot de la note n'est pas une sanction tombée, c'est la combinaison de trois faits établis (la responsabilité objective, l'inscription des groupes actifs, la structure de la clause de marché) et d'un fait de dossier, la reprise par le paiement. Ce que la fusion du 7 octobre change. Le refus en sort renforcé : la désignation des fournisseurs, européenne depuis juillet 2026, élargit la clé de cumul, et le portefeuille chiffré montre ce que la section 3 ne faisait que dire. Un seuil s'ajoute (section 6, seuil 5).

Ce qui n'a toujours pas été lu d'un seul tenant. Le paragraphe 2 de l'article 3 du règlement 2019/796 a été retrouvé mot pour mot à deux sources le 7 octobre (« No funds or economic resources shall be made available, directly or indirectly, to or for the benefit of » une personne inscrite) ; l'article entier et l'avis de l'OFAC du 21 septembre 2021 restent lus par passages, les pages officielles étant bloquées depuis la machine de rédaction. La note ne s'appuie sur eux que pour les passages qu'elle cite.

Sources publiques citées. Trésor américain (OFAC), désignation d'Evil Corp du 5 décembre 2019, avis du 1er octobre 2020 et du 21 septembre 2021, désignations du 7 mai et du 1er octobre 2024. Règlement (UE) 2019/796 du 17 mai 2019 ; règlement d'exécution (UE) 2024/1778 ; règlement d'exécution (UE) 2026/1714 ; communiqués du Conseil du 24 juin 2024 et du 13 juillet 2026. OFSI, doctrine du 15 février 2024. Gouvernement britannique, réponse à la consultation, 22 juillet 2025. Code des assurances, article L. 12-10-1. Désignations de Zservers (11 février 2025, sb0018), de Media Land (19 novembre 2025) et de First VPN Service (13 juillet 2026, sb0559) ; communiqué du Conseil du 13 juillet 2026 (Media Land, ML.Cloud). Règlement (UE) 2019/796, articles 2 bis et 3. Mandiant (Google Cloud), juin 2022. Chainalysis, rapport de 2026 sur l'année 2025. LMA 3100, 3100A et 3200. Mamancochet Mining Ltd c. Aegis Managing Agency Ltd, [2018] EWHC 2643 (Comm). Cour d'appel de Paris, 21 juin 2022, RG 20/10832. Tribunal fédéral suisse, 17 août 2023, 4A_206/2023. Cour suprême du Royaume-Uni, UniCredit Bank GmbH c. Constitution Aircraft Leasing (Ireland) 3 Ltd, [2026] UKSC 10, 25 mars 2026.