Attribution étatique
Processus par lequel on impute formellement une opération cyber à un État souverain ou à des entités agissant sous sa direction ou son contrôle.
Le 15 février 2018, Londres et Washington attribuent NotPetya à l'armée russe. En janvier 2022, la Cour supérieure du New Jersey, saisie par Merck contre ses assureurs dommages, juge que l'exclusion de guerre vise les conflits armés traditionnels et ne s'applique pas à cette attaque, attribution ou pas. L'attribution étatique est le processus, à la fois technique, juridique et politique, par lequel une opération cyber est imputée à un État souverain ou à des entités agissant sous sa direction ou son contrôle. Sous les clauses LMA cyber war, c'est elle qui décide si les exclusions liées aux opérations cyber étatiques s'appliquent. Les versions A des clauses (5564A, 5565A, 5566A, 5567A) contiennent une clause d'attribution explicite. L'assuré et l'assureur y prendront en compte les éléments de preuve objectivement raisonnables disponibles, y compris une attribution formelle ou officielle par le gouvernement de l'État où se trouve le système informatique affecté. La charge de la preuve reste à l'assureur ; la formulation guide seulement la méthode d'appréciation. Les versions B en sont dépourvues : l'attribution doit alors être prouvée selon le droit applicable au contrat. L'attribution est structurellement difficile : elle demande une analyse forensique poussée, une lecture géopolitique et souvent du renseignement public ou gouvernemental. Elle peut être contestée dans le temps, et l'absence d'attribution officielle ne signifie pas que l'État concerné n'est pas responsable. À ne pas confondre avec la revendication : un groupe qui signe une attaque ne prouve rien sur son commanditaire, et un faux drapeau est précisément une revendication fabriquée. Où le mot se lit : dans la clause d'attribution des versions A des LMA 5564 à 5567, absente des versions B.
Après la cyberattaque contre Colonial Pipeline en 2021, attribuée au groupe DarkSide sans imputation étatique officielle, les assureurs ont pu traiter le sinistre comme un acte cybercriminel ordinaire. WannaCry (2017), en revanche, a été officiellement attribué à la Corée du Nord par les États-Unis et le Royaume-Uni, ce qui pourrait en faire une opération cyber étatique au sens des clauses LMA. Le délai compte autant que l'auteur, car c'est pendant ce délai que le sinistre se règle. WannaCry frappe le 12 mai 2017 et les États-Unis l'attribuent le 19 décembre 2017, environ sept mois plus tard. NotPetya, lancé le 27 juin 2017, est attribué à l'armée russe par le Royaume-Uni le 15 février 2018, environ huit mois après. KA-SAT est attaqué le 24 février 2022, et le Conseil de l'UE l'attribue le 10 mai 2022, deux mois et demi plus tard. Les sites énergétiques polonais, touchés fin décembre 2025, sont attribués par l'État visé le 13 janvier 2026, puis formellement par le Royaume-Uni et l'UE le 13 juillet 2026. Stryker est frappé le 11 mars 2026, et le département de la Justice américain l'attribue au renseignement iranien le 20 mars 2026 : neuf jours. Le cas polonais montre aussi les trois couches du mot : l'attribution politique (un ministre), technique (un éditeur privé et l'équipe nationale, qui ne désignaient pas le même service) et juridique (des sanctions).
- LMA 5564A à 5567A, clause « Attribution of a cyber operation to a state », janvier 2023
attribution d'une cyberattaque, attribution d'une opération cyber, state attribution, attribution cyber
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.