WannaCry, une cyberattaque au ransomware sans précédent

Ce «ransomware» ou logiciel de rançon a crypté les données des victimes pour réclamer par la suite une rançon d’une valeur comprise entre 300 et 600 USD pour restituer les informations.

WannaCry : l’ampleur des dégâts du ransomware

Selon Interpol, WannaCry a fait plus de 300 000 victimes dans 150 pays à travers le monde, principalement en Inde, aux Etats-Unis et en Russie.

Au lendemain de l’attaque, 30 000 institutions se sont retrouvées complètement paralysées, parmi lesquelles le système de santé publique du Royaume-Uni (NHS), le ministère russe de l’intérieur, l’entreprise américaine de livraison de colis FedEx, l’opérateur de télécommunication espagnol Telefonica, la compagnie ferroviaire publique allemande Deutsche Bahn, les constructeurs automobile Renault et Nissan,…

Résultats : production à l’arrêt pendant plusieurs jours, des dizaines de milliers d’employés en chômage technique, systèmes informatiques hors service, chaînes d’approvisionnement interrompues, transports bloqués, services de santé paralysés,…

De plus, pendant plusieurs jours, les spécialistes en sécurité informatique et cybercriminalité sont restés sur le qui-vive examinant l’évolution du ransomware qui s’est répandu à très grande vitesse d’un ordinateur à l’autre.

Selon les premières estimations, les hackers n’ont réussi à récolter qu’une somme dérisoire de l’ordre de 100 000 USD, mais le préjudice serait considérable. WannaCry devrait coûter plusieurs centaines de millions de dollars. Certains experts évaluent les dégâts à 4 milliards USD.

WannaCry : le ransomware rappelle que la cybercriminalité est en hausse

L’ère du tout numérique apporte son lot de nouveaux risques. Ransomware, piratage de sites, vol de données et autres agressions font désormais parties des menaces quotidiennes auxquelles font face les entreprises. Selon une étude publiée fin 2016 par le Lloyd’s, 92% des entreprises européennes ont subi une cyber-intrusion au cours des cinq dernières années.

Kaspersky Lab, société spécialisée dans la sécurité des systèmes informatiques, révèle qu’en 2016 une entreprise est victime d’un ransomware comparable à WannaCry toutes les 40 secondes. Ces mêmes entreprises subissaient, une année auparavant, une agression toutes les deux minutes.

Le scénario le plus redouté par les spécialistes et les assureurs reste celui d’une attaque massive d’une ampleur internationale. Un tel événement peut rapidement dégénérer et déboucher sur un chaos à l’échelle planétaire. Ce type de risque est d’autant plus inquiétant qu’il met en péril non seulement les performances des entreprises mais également leur existence.

En règle générale, les cyberattaques sont potentiellement très coûteuses. Elles occasionnent, au niveau mondial, plus de 400 milliards USD de pertes annuelles. Le coût moyen d’une seule agression numérique dépasse les 738 000 USD avec de fortes disparités en fonction de l’activité de la société ciblée et du type de préjudice subi.

Pays affectés par la cyberattaque WannaCry

© Roke CC BY-SA 3.0

La cyber-assurance, un marché en plein expansion

Avec la montée en puissance de la cybercriminalité, les assureurs sont confrontés à :

• un événement inédit avec peu d’éléments statistiques pour estimer les pertes, calculer la probabilité de survenance d’un sinistre et tarifier de manière adéquate le risque,
• une menace d’une grande ampleur qui risque de devenir incontrôlable. Une attaque au niveau mondial peut cibler simultanément des milliers, voire des millions d’utilisateurs localisés dans des dizaines de pays, d’où la difficulté d’avoir une vision claire du marché. Les assureurs sont habitués à couvrir des risques individuels répartis dans le temps et dans l’espace et non des catastrophes planétaires.

Les cyberrisques représentent toutefois un nouveau relais de croissance susceptible de compenser le déclin attendu dans certaines branches comme l’automobile et les accidents corporels.

Moins de 10% des entreprises sont actuellement couvertes contre ces nouveaux risques au niveau mondial. La demande de cyber-assurance est donc appelée à augmenter rapidement, surtout après la récente attaque qui a révélé la vulnérabilité de nombreuses entreprises et institutions.

En 2016, le marché mondial de l’assurance des cyber-risques représentait 3,5 milliards USD de primes dont 80% sont réalisées aux Etats-Unis. L’Europe, où la cyber-assurance n’est qu’à ses débuts, comptabilise 300 millions USD de primes. Selon Munich Re, ce marché devrait atteindre les 10 milliards USD d’ici 2020.

Les garanties de risques cyber sont essentiellement proposées par des sociétés d’assurance anglo-saxonnes. A titre d’exemple, pour une agression numérique standard, le Lloyd’s, un des leaders du marché, propose une garantie de 1 à 2 millions USD pour une prime annuelle de l’ordre de 10 000 USD.

Plusieurs autres assureurs commencent également à s’intéresser à ce marché juteux. AXA a lancé, début 2017, une assurance spécifique alors que Generali propose des couvertures à destination des PME (petite et moyenne entreprise) pour une prime annuelle minimum de 1000 USD.

Cyberattaques et durcissement de la législation

En Europe, la réglementation liée à la protection des données personnelles ou sensibles est amenée à devenir plus stricte. La nouvelle directive européenne sur la sécurité des réseaux et de l’information (SRI) entrera en vigueur en mai 2018. Elle obligera les sociétés affectées par une cyberattaque à signaler tout incident de ce type aux autorités concernées et à leurs clients.

Les Etats-Unis disposent depuis 2004 d’un assemblage de lois protégeant les données personnelles financières ou de santé. D’autres textes comme ceux concernant le marketing digital régulent les activités faisant usage de ces données.