Collecte anticipée

L'attaque est passive, silencieuse et indétectable, puisque rien n'est cassé et que la victime n'apprend généralement jamais que la copie existe. Sa portée assurantielle est propre à ce risque et n'a pas d'équivalent : pour toute une catégorie de données, le fait générateur est déjà intervenu. L'exfiltration a eu lieu, sous une police souscrite il y a des années, elle n'a produit aucun dommage constatable, et elle en produira un dans une décennie. Aucune autre exposition cyber ne présente cette structure, dans laquelle l'événement, sa découverte et le préjudice sont séparés par dix ans ou davantage. Le risque quantique n'est donc pas un risque cyber au sens où le marché entend ce mot, c'est un risque à déroulement long déguisé en risque cyber, et la longueur du déroulement est précisément ce qui met les assureurs en difficulté. À ne pas confondre avec l'exfiltration ordinaire, dont la victime subit le dommage dès la publication ou la revente : ici, les données volées restent illisibles jusqu'à ce qu'un calculateur quantique sache les déchiffrer. Où le mot se lit : dans aucune police aujourd'hui ; dans les recommandations des agences de sécurité, et la question contractuelle qu'il pose est celle de la date du fait générateur dans une police en base réclamation.