Cybersécurité : les assureurs en première ligne
Eux-mêmes exposés aux cyberattaques, les assureurs se montrent de plus en plus frileux quand il s’agit de couvrir les entreprises face aux risques cyber. Un phénomène préexistant à la guerre en Ukraine mais que le conflit a précipité. Sans réaction du secteur, de nombreuses entreprises pourraient renoncer à s’assurer contre les cyberattaques alors que celles-ci redoublent d’intensité.
C’est l’une des nombreuses conséquences inattendues de la guerre en Ukraine : avec l’entrée en guerre d’un pays, la Russie, connu pour héberger sur son territoire de véritables armées de hackers et autres fermes à troll plus ou moins inféodées au Kremlin, les compagnies d’assurance occidentales se montrent de plus en plus frileuses à la perspective de couvrir les entreprises contre les cyberattaques. Une prudence qui, pour faire depuis toujours partie de l’ADN des assureurs, virerait désormais à la franche nervosité, voire à la panique pure et simple face à une menace cyber perçue, à tort ou à raison, comme exponentielle et hors de contrôle.
La paranoïa des assureurs est telle qu’ils sont de plus en plus nombreux à introduire de nouvelles restrictions dans leurs contrats, et même à refuser, tout bonnement, d’assurer de nouveaux clients. « Nous sommes dans un moment de réaction épidermique », analyse Mickaël Robart, spécialiste chez le courtier en assurances Diot-Siaci, selon qui « pour les groupes qui n’étaient pas assurés en cyber, et qui veulent l’être aujourd’hui, c’est une mission quasi-impossible ». Une réaction aussi excessive que paradoxale, alors qu’aucune hausse significative des cyberattaques contre les entreprises des pays occidentaux n’a, en dépit des craintes exprimées par les acteurs du secteur, été relevée depuis le début du conflit en Ukraine.
Les assureurs pas épargnés par le cybercrime
En première ligne face au risque cyber encouru par leurs clients, les assureurs ne sont, par ailleurs, pas à l’abri d’être eux-mêmes la cible de telles attaques. Les entreprises du secteur financier et de l’assurance sont ainsi les premières victimes des cyberattaquants, selon le dernier baromètre d’Anozr Way sur le ransomware. La France, avec 5% des cyberattaques recensées au monde, demeure le pays le plus ciblé au sein de l’Union européenne (UE), les entreprises tricolores victimes d’attaques cyber ayant cumulé 2,5 milliards d’euros de pertes en 2021. Et force est de constater que plusieurs de ces entreprises provenaient, la même année, du secteur de l’assurance : AssurOne, MNH, Stelliant, Verlingue, MMA, Axa Partners, etc.
Acteurs clés de l’économie occidentale, les assureurs sont particulièrement visés en ce qu’ils représentent des cibles qui, par effet domino, impactent lourdement les autres secteurs économiques. Par ailleurs, les acteurs de l’assurance manipulent quotidiennement de nombreuses données sensibles sur leurs propres clients – dont certains services publics ou organisations d’importance vitale (OIV) : le vol de ces données permet donc aux cybercriminels d’exiger de plus fortes rançons, de revendre ces informations ou encore de mener d’autres attaques « par rebond ».
Les réassureurs, clé de voûte de la couverture cyber ?
A la fois plus réticentes à couvrir le risque cyber de leurs clients et elles-mêmes hautement exposées à ces mêmes menaces, les compagnies d’assurance sont donc, bien malgré elles, à la croisée des chemins. A court terme du moins, la solution pour s’extraire de cette délicate situation pourrait venir du côté des réassureurs, ces acteurs qui, en quelque sorte, font profession d’assurer les assureurs. Le rapprochement entre le leader français Covéa (MMA, MAAF, GMF) et le réassureur PartnerRe, lui-même bien positionné sur les cyber-risques, prend à ce titre une dimension des plus actuelles. D’un montant de 9 milliards d’euros, l’opération a le mérite de positionner Covéa comme un acteur incontournable en matière de risques émergents, où une capacité globale permet de mieux détecter les signaux faibles.
Sans une réaction appropriée des acteurs concernés, le marché de la cyberassurance pourrait, à moyen terme, courir à sa perte. Malgré leur exposition croissante aux cyberattaques, les entreprises pourraient bien renoncer à se couvrir devant les exigences des assureurs eux-mêmes. Durcissement des conditions de souscription, relèvement des tarifs, diminution des couvertures, hausse des franchises… : déjà à l’œuvre avant la guerre en Ukraine, ces phénomènes conjugués achèvent de dissuader des entreprises de toute taille qui, paradoxalement, n’ont jamais tant eu besoin d’être protégées contre le risque cyber. Avec un coût estimé de 10 000 milliards de dollars en 2025, la cybercriminalité s’annonce en effet comme l’un des principaux défis auxquels devront, demain, faire face les entreprises.
