Rançongiciels : Les assureurs poussent les entreprises à payer la rançon

Les entreprises françaises ont trop tendance à payer les rançons lorsqu'elles sont attaquées par des rançongiciels, a déploré jeudi Johanna Brousse, l'un des magistrats français en charge de la lutte contre la cybercriminalité, en pointant le rôle des assurances dans cette évolution.

"La France est aujourd'hui l'un des pays les plus attaqués en matière de rançongiciels (...) parce que nous payons trop facilement les rançons", a estimé dans une audition au Sénat Mme Brousse, qui dirige la section "cybercriminalité" du parquet de Paris, co-compétente pour toutes les affaires de rançongiciel en France.

Mme Brousse a évoqué le rôle parfois néfaste joué par les assurances contre le cyber-risque, en plein développement aujourd'hui.

Certaines assurances "garantissent le paiement des rançons", une évolution dangereuse parce que le paiement des rançons incite les cybercriminels à continuer leurs attaques, a indiqué Mme Brousse.

Il faut "faire comprendre à chacun que si la rançon est payée, cela va pénaliser tous les autres, parce que les pirates vont s'en prendre plus facilement à notre tissu économique", a-t-elle indiqué.

Présent à la même audition de la délégation aux entreprises du Sénat, le directeur de l'Agence nationale nationale pour la sécurité des systèmes d'information Guillaume Poupard a également évoqué le "jeu trouble de certains assureurs", qui poussent la victime à payer la rançon.

L'assureur peut préférer payer "plusieurs millions d'euros pour la rançon", plutôt que "plusieurs dizaines de millions d'euros" de préjudice provoquées par la perte des données, a-t-il expliqué.

Il a critiqué notamment le rôle des négociateurs de rançon, qui peuvent intervenir à la demande de la compagnie d'assurance.

"Il faut faire la chasse à tous les intermédiaires un peu gris (...) qui font un business du paiement des rançons, et qui vont se rémunérer parfois sur leur capacité à négocier avec les cybercriminels la baisse des rançons. C'est extrêmement malsain", a-t-il dit.

Les attaques au rançongiciel (chiffrement des données de la victime par le criminel, qui réclame une rançon pour les rendre à nouveau disponibles) ont explosé en France ces dernières années et la tendance ne semble pas près de ralentir.

La section spécialisée du Parquet de Paris a enregistré 397 saisines pour des affaires de rançongiciels en 2020, et prévoit d'ores et déjà que ce nombre devait "doubler" en 2021, a indiqué Mme Brousse aux sénateurs.

Selon le cabinet Wavestone, qui dispose d'équipes de cyber-pompiers intervenant dans les entreprises frappées par des cyberattaques, environ 20% des entreprises attaquées paient une rançon pour tenter de récupérer leurs données.