Cybersécurité : faut-il assurer les victimes de ransomware ? Le Sénat dit "oui"

Le Sénat a validé la disposition qui permettra bientôt aux victimes de ransomwares de se faire indemniser pour la rançon payée aux pirates informatiques.

Payer, ou ne pas payer la rançon ? Telle est la question à laquelle les sénateurs devaient répondre, il y a quelque jours. Et ces derniers ont tranché, lors de l'examen en séance publique du LOPMI, le projet de loi d'orientation et de programmation du ministère de l'Intérieur, qui doit fixer la trajectoire budgétaire du ministère pour les années 2023 à 2027. Les sages du Palais du Luxembourg ont en effet adopté l'article 4 du texte, qui pose le principe d'une indemnisation des rançons payées en cas d'attaque informatique.

Il faudra déposer plainte sous 24 h et avant tout paiement

Ce projet de loi, qui vous l'aurez compris poursuit sa route sur le chemin de la navette parlementaire, vise à insérer de nouvelles normes en matière de procédure pénale, liées à la cybersécurité. L'une d'elles, en son article 4, soutenait au départ qu'un assureur puisse indemniser la victime d'un ransomware dès lors que l'entité attaquée a déposé plainte au plus tard 48 heures après le paiement de la rançon.

Plus précisément, le texte indique désormais que le « versement d’une somme en application d’une clause assurantielle visant à couvrir le paiement d’une rançon par l’assuré dans le cadre d’une extorsion […] lorsqu’elle est commise au moyen d’une atteinte à un système de traitement automatisé de données […], est subordonné à la justification du dépôt d’une pré‑plainte de la victime auprès des autorités compétentes dans les 24 heures suivant l’attaque et avant tout paiement de cette rançon ».

Dans une précédente version du texte, il s'agissait donc d'ouvrir un droit à l'indemnisation en cas de plainte, si et seulement si elle était déposée au plus tard 48 heures après avoir payé la rançon. Une curieuse idée sur le papier.

Un article 4 finalement plus flou que jamais… qui pourrait faire le jeu des hackers

Mais un amendement, voté par le Sénat, est venu renforcer l'aspect temporel de la démarche de l'entreprise qui serait victime d'un rançongiciel. Ce n'est ainsi pas une plainte déposée 48 heures après le paiement au plus tard qui ouvrira la possibilité de se faire indemniser, mais une pré-plainte déposée dans les 24 heures qui suivent l'attaque, et avant tout paiement. Sauf qu'au final… qui paiera cette rançon au hacker ? Voilà une question qui, elle, reste sans réponse.

Cet amendement voté permettra, selon les sénateurs, « d’informer au plus vite les autorités compétentes pour agir dès l’attaque et réduire le nombre de rançons versées ». 

Pour prétendre à une prise en charge de la rançon, il faudra que l'entreprise ait donc déposé sa pré-plainte, une condition exigée par le ministre de l'Intérieur Gérald Darmanin, et qu'elle ait souscrit une assurance dédiée.

Si certains assureurs, comme Axa, ont déjà proposé par le passé une garantie de remboursement – plafonné – du paiement d'une rançon, légiférer là-dessus risque d'être sérieusement contreproductif pour l'État français et ses assureurs. Il ne fait pas de doute que les hackers vont être attirés comme des aimants dès lors qu'ils auront pris connaissance du texte. Au passage, ils en profiteront peut-être pour faire grimper les enchères, grâce à ce bouclier dont ils ne se priveront pas.

Ne manquez pas, mercredi 19 octobre sur Clubic.com, notre dossier spécial sur le paiement de la rançon. Plusieurs experts cyber, rencontrés aux Assises de la sécurité, ont accepté de nous livrer leur avis sans langue de bois sur la question.

Source : Sénat, Public Sénat