Les rapports des compagnies d’assurance qui couvrent les cyberisques sont un miroir plutôt fidèle de leur nature et de leur importance. Dans le document « Cyber security trends 2023 » Allianz alerte sur la prévision de la hausse annuelle des sinistres de 25 % pour 2023, compte tenu du nombre d’incidents déclarés au premier semestre. Comme indiqué dans le graphique ci-dessous, après la relative accalmie des années 2020, 2021 et 2022, la sinistralité devrait donc sensiblement s’accroitre. Certes, il ne s’agit que d’une déclaration prospective dépendante des incertitudes mais ces chiffres laissent peu de doutes sur la recrudescence des cyberisques en 2023. Le nombre de sinistres déclarés avait décru de 1131 en 2020 à 956 en 2022 mais au premier trimestre 2023, ils se montaient déjà à 785.
Plus précisément et c’est préoccupant, l’exfiltration de données est en hausse. Celles-ci sont passées de 40 % en 2019 à près de 80 % en 2022, et continuent d’augmenter en 2023. Ce type de malveillance peut accroître considérablement le coût d’un sinistre. La résolution de ce type d’incident peut prendre du temps pour plusieurs raisons. D’une part, les opérations d’expertise judiciaire et informatique peuvent être très onéreuses. D’autre part, si des données ont été volées, les entreprises doivent savoir exactement quelles données ont été exfiltrées.
Dans ce cas, il faut en informer les clients qui peuvent exiger des dommages et intérêts. Les pirates s’en prennent aux supply chain (chaînes d'approvisionnement) numériques et physiques. Le chiffrement et l’exfiltration de données peut se combiner à une attaque Ddos (déni de service distribué), une association redoutable. Les attaques par ransomware ont augmenté de moitié au premier semestre 2023. Les kits de ransomware utilisés par les pirates sont vendus à partir de 40 dollars sur la darknet, un facteur clé selon Allianz.
Avec l’exfiltration de données, les hackers menacent de les publier en ligne
L’exemple de la cyberattaque contre MOVEit, un logiciel de transfert de données qui a impacté des millions de personnes et des milliers d’entreprises, montre le niveau des risques encourus par les entreprises, les fournisseurs et les clients. Auparavant, le nombre d’informations volées et divulguées publiquement était faible. Aujourd’hui, l’exfiltration de données, la menace de publication des données volées devient un risque majeur. L’analyse par Allianz des sinistres qui dépassent 1 million d’euros, montre que la part des incidents rendus publics est passée d’environ 6 % en 2019 à 85 % en 2022. Une augmentation très significative qui devrait s’accroitre en 2023Le nombre d’entreprises qui payent une rançon augmente d’année en année. Il est passé de 10 % en 2019 à 54 % en 2022, d’après l'analyse des sinistres majeurs. Malgré les conseils de l’ANSSI qui recommande de ne pas payer les rançons pour récupérer les données exfiltrées, certaines entreprises le font, notamment parce qu’elles ne les ont pas retrouvées dans leur sauvegardes. Dans ce cas, le paiement d’une rançon ne résout pas nécessairement le problème. Sans surprises, Allianz conseille de renforcer les mesures préventives pour éviter le coût bien plus élevé des sinistres.
