Attribution publique conjointe
Déclaration coordonnée de plusieurs gouvernements qui imputent la même cyberattaque à un État, le même jour : NotPetya le 15 février 2018, Microsoft Exchange le 19 juillet 2021.
Le 15 février 2018, le Royaume-Uni puis les États-Unis imputent NotPetya à l'armée russe ; l'Australie, le Canada, la Nouvelle-Zélande et le Danemark suivent dans les heures qui viennent. Le 19 juillet 2021, les États-Unis, le Royaume-Uni, l'Union européenne, l'OTAN, le Japon, l'Australie, le Canada et la Nouvelle-Zélande attribuent ensemble la campagne contre Microsoft Exchange au ministère chinois de la Sécurité d'État. C'est l'attribution publique conjointe : plusieurs gouvernements disent le même jour, sur les mêmes faits, que tel État est l'auteur. Le geste est politique. Il signale que les preuves techniques ont été recoupées par plusieurs services, et il prépare souvent des sanctions, comme celles que l'Union européenne a prises le 30 juillet 2020 pour WannaCry, NotPetya et Cloud Hopper. Il a aussi un effet contractuel que les rédacteurs de clauses ont vu venir. Les LMA 5564 à 5567 font d'abord dépendre l'attribution de ce que dit le gouvernement de l'État où se trouve le système atteint. Une déclaration conjointe, qui inclut presque toujours le pays de la victime, tranche la question pour l'assuré comme pour l'assureur. Elle arrive tard, en revanche, huit mois après NotPetya, et l'exclusion doit d'ici là s'appliquer sur indices.
Exemple construit : un fabricant néerlandais touché par un rançongiciel en mars dépose sa réclamation. L'assureur paie sous réserve. En novembre, les Pays-Bas, avec sept autres gouvernements, attribuent la campagne à un service de renseignement étranger. La police porte la LMA 5566 : l'assureur cesse les paiements sur la perte d'exploitation encore ouverte, et le dossier passe en discussion sur ce qui avait déjà été réglé.
attribution conjointe, attribution collective, attribution concertée
Suivez la recherche
Une lettre par semaine. En tête, la note de souscription de la semaine, quand il en paraît une : une décision datée et argumentée, signée de Paul Bernardski. Ensuite, ce que l'observatoire a publié en risque cyber, en risque politique et en assurance. Sans compte, sans suivi.
Pas de spam, désinscription en un clic, aucune donnée revendue.