Selon le Baromètre des risques 2022 d’Allianz, les risques cyber [4] représentent de nos jours la menace la plus élevée pour les entreprises. Cet aléa occupe d’après "Future Risk Report" d’Axa la deuxième place des risques émergents.
Dans un contexte économique, sanitaire et géopolitique instable, la cybercriminalité gagne en fréquence, intensité et dangerosité. Cette tendance inquiète particulièrement le marché de l’assurance.
De nombreuses entreprises sont quotidiennement victimes d’intrusions par malware et ransomware. D’après l’institut AV-TEST, spécialiste de la sécurité informatique, plus d’un milliard de malwares sont journellement diffusés et 560 000 nouveaux programmes malveillants détectés. De plus selon IBM Consulting, en une année, soit de 2020 à 2021, le coût moyen d’une attaque par ransomware est passé de 3,86 millions USD à 4,62 millions USD.
Coût économique de la cybercriminalité
Selon le baromètre des risques d’Allianz, le coût mondial de la cybercriminalité est de l’ordre de 1 000 milliards USD par an, soit 1% du PIB mondial. Les experts s’attendent à une hausse des dommages économiques de plus de 15% par an. Ces dommages concernent :
- la détérioration et destruction des données,
- le vol de numéraire,
- l’interruption d’activité,
- le vol de propriété intellectuelle, des données personnelles et financières,
- le détournement de fonds,
- la fraude,
- les perturbations de la chaîne d’approvisionnement,
- les frais liés aux enquêtes financières et judiciaires,
- la restauration des systèmes et serveurs piratés,
- la suppression des données piratées,
- l’atteinte à la réputation.
De nos jours, un nombre croissant d’entreprises, souvent accompagnées par des spécialistes, met en place des solutions cyber (sauvegarde, restauration de serveurs, …) permettant ainsi d’éviter de céder aux demandes des malfaiteurs.
Selon un expert du cabinet de conseils Inquest, sur les 600 incidents cyber traités en interne en 2021, seuls deux d’entre eux se sont soldés par un paiement de rançon.
Chiffres clés (1) : la cybercriminalité en 2021, c’est:
- 623 millions d’attaques au ransomware, chiffre record pour ce type d’événement,
- un coût moyen par cyberattaque de 4,62 millions USD,
- une criminalité globale estimée à 1 000 milliards USD, soit 1% du PIB mondial,
- une hausse de 15% par an de dommages économiques,
- un temps d’arrêt moyen par entreprise de 24 jours,
- un montant de primes assurance de 10,33 milliards USD.
Pour 2022, les spécialistes tablent sur un montant de primes mondiales de 12,83 milliards USD, soit une hausse de 11,5% par rapport à 2021.
(1) Rapports de Coveware (deuxième trimestre 2022), IBM Consulting (Cost of a Data Breach 2022 Report), Allianz (Baromètre des risques 2022).
Réactions des pouvoirs publics face à la cybercriminalité
Face aux dégâts causés par les cyberattaques [5], souvent accompagnées de demandes de rançons, les autorités publiques adoptent diverses stratégies. Le but est de réduire la période de paralysie des entreprises et de diminuer les pertes financières.
En France, un projet de loi autoriserait le paiement des cyber-rançons par les assureurs à condition que l’entreprise victime dépose une plainte 24 heures après l’incident. Ce texte, encore à l’étude, légaliserait ainsi le paiement des rançons, ce qui va à l’encontre des pratiques du marché cyber et des recommandations de l'agence nationale de la sécurité des systèmes d'information (ANSSI).
En fait, le paiement d’une rançon ne donne pas toujours lieu à la récupération des données dérobées. De plus, le taux de reprise des activités des entreprises après une attaque se détériore sensiblement. Ce taux est actuellement de 20% contre 94% il y a cinq ans.
Toujours en France, ce nouveau cadre réglementaire ne fait pas l’unanimité. Il peut représenter une source de pression pour le marché de l’assurance et les entreprises. Il risque également d’accroître le risque de récidive des pirates en direction des entreprises qualifiées de « bons payeurs » par les cybercriminels.
De l’autre côté de l’Atlantique, le Trésor américain recommande aux entreprises de ne pas payer de rançons. Le paiement reste cependant une solution de dernier recours. Comme partout ailleurs, les entreprises américaines qui payent les rançons, peuvent être la cible de nouvelles attaques. En fait, tout paiement de rançon octroie des moyens supplémentaires aux pirates.