Les assureurs fuient la couverture contre les ransomwares alors que les pertes augmentent Par Reuters

Par Carolyn Cohn

LONDRES (Reuters) – Les assureurs ont réduit de moitié le montant de la cyber-couverture qu’ils fournissent aux clients après que la pandémie et le travail à domicile ont entraîné une augmentation des attaques de ransomwares qui les ont laissés énervés par des paiements importants.

Face à une demande accrue, les principaux assureurs et syndicats européens et américains opérant sur le marché du Lloyd’s de Londres ont pu facturer des taux de prime plus élevés pour couvrir les rançons, la réparation des réseaux piratés, les pertes d’interruption d’activité et même les frais de relations publiques pour réparer les dommages à la réputation.

Mais l’augmentation des attaques de ransomware et la sophistication croissante des attaquants ont rendu les assureurs méfiants. Les assureurs disent que certains attaquants peuvent même vérifier si les victimes potentielles ont des politiques qui les rendraient plus susceptibles de payer.

« Les assureurs changent leurs appétits, leurs limites, leur couverture et leurs tarifs », a déclaré Caspar Stops, responsable cyber de la société d’assurance Optio. « Les limites ont diminué de moitié – là où les gens offraient 10 millions de livres (13,50 millions de dollars), presque tout le monde a été réduit à cinq. »

Lloyd’s of London, qui détient environ un cinquième du marché mondial du cyberespace, a découragé la centaine de membres de son syndicat de se lancer dans le cybercommerce l’année prochaine, selon des sources du secteur sous couvert d’anonymat. Lloyd’s a refusé de commenter.

L’assureur américain AIG (NYSE ? a également déclaré en août qu’il réduisait les cyber-limites.

Le logiciel de rançon fonctionne en cryptant les données des victimes et les pirates informatiques offrent généralement aux victimes un mot de passe pour le récupérer en échange de paiements en crypto-monnaie.

C’est devenu l’attaque de choix des cybercriminels, qui privilégiaient auparavant le vol de données et leur vente à des tiers.

Des paiements suspectés de ransomware totalisant 590 millions de dollars ont été effectués au cours des six premiers mois de cette année, contre 416 millions de dollars signalés pour l’ensemble de 2020, ont annoncé les autorités américaines en octobre.

Dans l’un des plus gros cambriolages, une attaque de ransomware contre Colonial Pipeline en mai a fermé le plus grand réseau de pipelines de carburant aux États-Unis pendant plusieurs jours.

Les bénéfices des cyber-assureurs américains ont diminué en 2020, selon le courtier d’assurance Aon (NYSE :). Le ratio combiné – une mesure de la rentabilité dans laquelle un niveau supérieur à 100 % indique une perte – a augmenté de plus de 20 points de pourcentage par rapport à 2019 pour atteindre 95,4 %.

Alors que les assureurs ont du mal à faire face, les entreprises sont sous-assurées.

« Il est très peu probable que les gens obtiennent les mêmes limites – s’ils le sont, ils paient un montant extraordinaire », a déclaré David Dickson, chef d’entreprise chez le courtier Superscript.

Dickson a déclaré qu’un client technologique avait déjà acheté 130 millions de livres d’assurance responsabilité civile professionnelle et une couverture informatique pour 250 000 livres. Désormais, le client ne pouvait obtenir que 55 millions de livres de couverture et le prix était de 500 000 livres.

Les assureurs qui ont émis des polices de cyber-responsabilité de 5 millions de dollars l’année dernière ont été ramenés à des limites comprises entre 1 et 3 millions de dollars en 2021, selon un rapport publié le mois dernier par le courtier américain Risk Placement Services (RPS).

AUSSI RENTABLE QUE LA COCAINENE

Un rapport de l’Union européenne publié en octobre a déclaré que la pandémie de COVID-19 et l’augmentation du travail à domicile avaient permis aux cybercriminels de prospérer.

Pendant ce temps, la société de cybersécurité Coveware a comparé la marge bénéficiaire de plus de 90 % des attaques de ransomware en 2021 aux gains réalisés par les cartels colombiens de la cocaïne en 1992.

Là où les pirates adoptaient auparavant une approche dispersée avec des méthodes telles que l’envoi de milliers d’e-mails de phishing, ils sont devenus plus ciblés, lisant des bilans et se concentrant sur des secteurs spécifiques.

Tom Quy, responsable de la cyber-pratique chez le courtier en réassurance Acrisure Re, a déclaré que les attaques se déplaçaient des établissements de santé et des municipalités – qui ont de faibles contrôles informatiques mais aussi peu d’argent – vers des entreprises de fabrication ou de logistique.

Ces entreprises ont les poches profondes et ne peuvent pas se permettre des pannes prolongées pour réparer leurs systèmes, elles préfèrent donc payer des rançons, surtout si elles ont une assurance pour les couvrir.

« Nous demandons à tout le monde de ne pas divulguer votre assurance parce que c’est crucial pour votre entreprise », a déclaré Scott Sayce, responsable mondial de la cybersécurité chez Allianz (DE ? Global Corporate & Specialty.

Les taux de prime ont presque doublé aux États-Unis et ont bondi de 73% en Grande-Bretagne en raison de la fréquence et de la gravité des attaques de ransomware, a déclaré le courtier d’assurance Marsh. RPS a déclaré que les taux de certaines polices avaient augmenté de 300 %.

Là où les paiements de rançon étaient généralement de 600 $ il y a quelques années, ils s’élèvent maintenant à 50 millions de dollars, a déclaré Michael Shen, responsable de la cybersécurité et de la technologie chez l’assureur Canopius, et les assureurs demandent parfois aux assurés de payer la moitié de la rançon.

Les États-Unis et la France font partie des pays particulièrement préoccupés par le paiement des rançons, selon des sources du secteur.

Le FBI dit qu’il ne prend pas en charge le paiement de rançons, tandis que quelques États américains envisagent d’interdire les paiements de rançongiciels par les municipalités.

Mais les assureurs, bien que moins disposés à fournir de grandes quantités de couverture, affirment que le fait de ne pas payer les rançons pourrait se retourner contre eux.

« Bien sûr, personne ne veut payer les criminels », a déclaré à Reuters Adrian Cox, PDG de l’assureur Beazley. « En même temps, si vous l’interdisez … vous pourriez paralyser de nombreuses entreprises dont les systèmes ont été désactivés. »

(1 $ = 0,7406 livre)