Assurance cyber-risques : ce que coûte vraiment une attaque informatique pour une PME

Lundi, 7 h 45. La secrétaire d'une entreprise d'agencement de quatorze salariés allume son poste et ne trouve plus ses fichiers. À leur place, un seul document, rédigé dans un français approximatif : les données ont été chiffrées, une somme en cryptomonnaie est exigée sous soixante-douze heures. Le serveur est touché, la comptabilité aussi, et le logiciel de conception qui sert à préparer les plans de fabrication ne démarre plus. Les ateliers attendent. Les devis du mois, les fichiers clients, les relevés de chantier sont inaccessibles. Et le dernier disque de sauvegarde, branché en permanence au serveur, a été chiffré avec le reste.

Cette scène est illustrative, mais elle n'a rien d'exotique. Beaucoup de dirigeants de petites entreprises pensent encore que les attaques visent les grands groupes et les hôpitaux. C'est l'inverse qui rend les PME vulnérables : moins de protections, pas de service informatique interne, et des données qui valent de l'argent pour celui qui les bloque. La question n'est pas seulement de savoir comment éviter l'attaque, mais de savoir qui paiera quand elle aura lieu.

La facture d'une attaque, poste par poste

Reprenons l'entreprise d'agencement. La rançon n'est que le premier chiffre, et souvent pas le plus lourd. Dès le premier jour, les dépenses s'empilent :

• les frais d'intervention d'un expert en sécurité, chargé de comprendre par où l'attaquant est entré, de stopper la propagation et d'identifier les données touchées ;
• les frais de restauration des données et des logiciels, de nettoyage et de remise en état du système ;
• la perte d'exploitation, parce que pendant une à trois semaines, l'atelier tourne au ralenti, les devis ne partent plus, les factures ne sont plus émises ;
• les frais de notification si des données personnelles de clients ou de salariés ont fuité ;
• la gestion de crise et la communication auprès des clients, inquiets de savoir si leurs coordonnées circulent ;
• les réclamations des tiers, par exemple un client dont les plans ont été diffusés ou un partenaire contaminé par un courriel piégé envoyé depuis la messagerie de l'entreprise.

Ce dernier point est souvent oublié. La responsabilité civile de l'entreprise peut être recherchée lorsqu'elle a servi de relais à la propagation d'un logiciel malveillant, ou lorsque ses prestations ont été rendues défaillantes par l'attaque. L'entreprise est alors à la fois victime et responsable.

S'y ajoute la fraude. Le faux ordre de virement, l'usurpation de l'adresse d'un fournisseur qui annonce un changement de coordonnées bancaires, le faux dirigeant qui réclame un paiement urgent : ces escroqueries reposent sur les mêmes techniques d'hameçonnage, et le préjudice est immédiat.

Ce que la réglementation vous impose après une fuite

Lorsque l'attaque touche des données personnelles, le règlement général sur la protection des données, en vigueur depuis le 25 mai 2018, entre en jeu. L'entreprise doit notifier la violation à la CNIL dans les meilleurs délais et, si possible, 72 heures au plus tard après en avoir pris connaissance (article 33 du RGPD). Lorsque la fuite présente un risque élevé pour les personnes concernées, elle doit aussi les en informer (article 34). Les amendes administratives peuvent atteindre, pour les manquements les plus graves, 20 millions d'euros ou 4 % du chiffre d'affaires annuel mondial (article 83).

Une règle propre à l'assurance s'ajoute depuis 2023. Un contrat ne peut indemniser les pertes liées à une atteinte à un système informatique, y compris une rançon, que si la victime a déposé plainte au plus tard 72 heures après avoir eu connaissance de l'atteinte (article L.12-10-1 du Code des assurances). Dans la panique du lundi matin, ce dépôt de plainte doit figurer en tête de la liste.

Ce que couvre une assurance cyber

Une assurance cyber combine deux familles de garanties. Les premiers contrats, apparus aux États-Unis au début des années 2000, ne couvraient que la responsabilité envers les tiers après une fuite de données. Les contrats actuels y ajoutent les dommages subis par l'entreprise elle-même.

Les garanties de dommages prennent en charge les frais engagés par l'entreprise victime :

• l'assistance d'urgence, souvent joignable sept jours sur sept, pour diagnostiquer l'attaque et limiter sa propagation dès les premières heures ;
• les frais d'expertise informatique et de reconstitution des données ;
• la perte d'exploitation pendant l'indisponibilité du système, pour préserver la marge de l'entreprise ;
• les frais de notification aux personnes concernées ;
• les honoraires de consultants en communication de crise pour protéger la réputation.

Les garanties de responsabilité couvrent les dommages et intérêts et les frais de défense lorsque des tiers réclament réparation : atteinte à la vie privée, atteinte aux données, transmission d'un virus, contenu diffusé en ligne. Certains contrats couvrent aussi les frais de défense devant un régulateur comme la CNIL, et les sanctions pécuniaires lorsqu'elles sont légalement assurables.

Des options complètent l'ensemble : la fraude et l'escroquerie au virement, la protection juridique en cas d'atteinte à l'e-réputation, avec des actions pour faire retirer un contenu diffamant auprès d'un hébergeur ou d'un moteur de recherche.

Un mot sur le marché. Les assureurs ont connu ces dernières années des sinistres lourds, et la tendance est au durcissement : hausse des primes et des franchises, plafonds réduits, sélection plus stricte. Une étude de l'AMRAE, l'association des risk managers, publiée en 2021, constatait que les grandes entreprises étaient majoritairement assurées alors que les PME ne l'étaient presque pas. C'est une raison de plus pour bien préparer son dossier.

Ce que l'assureur vous demandera avant de vous couvrir

L'assureur ne couvre que l'entreprise qui se protège. Les mémos de prévention remis par les assureurs à leurs assurés fixent souvent des conditions précises, qui reviennent d'un contrat à l'autre :

• le filtrage des connexions : un pare-feu configuré pour bloquer par défaut tous les flux entrants et sortants, avec des règles revues au moins une fois par an ;
• la sécurisation de la messagerie : antivirus et anti-spam au minimum, idéalement une protection contre l'hameçonnage et l'usurpation d'expéditeur ;
• l'antivirus à jour sur tous les postes et serveurs, avec des analyses au moins hebdomadaires qu'aucun utilisateur ne peut désactiver ;
• les sauvegardes : une sauvegarde complète chaque semaine, une sauvegarde incrémentale chaque jour, stockées à part du système principal, et des tests de restauration au moins chaque trimestre.

Le dernier point aurait tout changé pour l'entreprise de notre exemple. Une sauvegarde isolée, débranchée du réseau ou hébergée chez un prestataire, aurait permis de restaurer les données en quelques jours sans dépendre de l'attaquant. Car rien ne garantit qu'une rançon payée débloque réellement les fichiers, ni que l'attaquant ne reviendra pas par la même faille.

S'ajoutent des gestes simples : des mots de passe longs et différents pour chaque compte, la méfiance envers tout courriel qui réclame une action urgente, l'installation de logiciels uniquement depuis les sites des éditeurs, et le refus de brancher une clé USB d'origine inconnue.

Pour faire le point sur votre exposition et sur les garanties adaptées à la taille de votre entreprise, vous pouvez demander à être rappelé par un conseiller du cabinet. Si vous vendez en ligne, notre guide sur la RC pro de l'e-commerçant complète cette page.

L'essentiel à retenir

• La rançon n'est qu'une partie du coût : expertise, restauration, perte d'exploitation, notification et réclamations des tiers pèsent souvent plus lourd.
• Une fuite de données personnelles se notifie à la CNIL dans les 72 heures si possible (article 33 du RGPD).
• Le dépôt de plainte dans les 72 heures conditionne l'indemnisation d'une cyberattaque (article L.12-10-1 du Code des assurances).
• L'assurance cyber combine des garanties de dommages pour l'entreprise et des garanties de responsabilité envers les tiers.
• Pare-feu, messagerie protégée, antivirus à jour et sauvegardes isolées testées sont les conditions habituelles de l'assureur.

Questions fréquentes

Ma multirisque professionnelle couvre-t-elle déjà les attaques informatiques ?

Le plus souvent, non, ou de façon très limitée. La multirisque couvre le matériel détruit par un incendie ou volé, pas les données chiffrées par un rançongiciel ni la perte d'exploitation qui en découle. Certains contrats proposent une extension cyber, à comparer avec un contrat dédié.

L'assurance rembourse-t-elle une rançon ?

La loi ne l'interdit pas, mais elle soumet toute indemnisation liée à une cyberattaque au dépôt d'une plainte dans les 72 heures. Beaucoup de contrats privilégient de toute façon la prise en charge de la restauration des données plutôt que le paiement de la rançon. Lisez la clause avant d'en avoir besoin.

Une très petite entreprise a-t-elle vraiment besoin d'une assurance cyber ?

Tout dépend de sa dépendance à l'informatique. Un artisan qui facture, prépare ses devis et stocke ses fichiers clients sur un seul ordinateur peut être bloqué plusieurs semaines par une attaque. Le bon réflexe est de mesurer combien coûterait une semaine sans outil informatique, puis de comparer ce chiffre au prix de la garantie.