Sinistres cyber : les incidents internes sont les plus fréquents, les incidents externes les plus coûteux
Les attaques informatiques contre les entreprises provoquent les sinistres cyber les plus coûteux, mais ce sont les erreurs humaines et les problèmes techniques qui causent le plus grand nombre de sinistres cyber. C’est le constat du nouveau rapport d’Allianz Global Corporate & Specialty (AGCS) publié le 19 novembre 2020.
Intitulée “Managing the impact of increasing interconnectivity : trends in cyber risk“, l’étude analyse 1 736 sinistres cyber, d’un montant total de 660 millions d’euros, déclarés auprès d’AGCS et d’autres assureurs entre 2015 et 2020.
Augmentation des sinistres cyber
Le nombre de sinistres cyber déclarés à AGCS est en constante progression depuis quelques années. Il est passé de 77 en 2016, lorsque l’assurance cyber était relativement nouvelle, à 809 en 2019. AGCS a déjà enregistré 770 demandes d’indemnisation lors des trois premiers trimestres de 2020. Cette augmentation continue est en partie due à la croissance du marché mondial de l’assurance cyber, actuellement estimé à 7 milliards de dollars, selon Munich Re.
Le rapport révèle également une hausse de 70% du coût moyen de la cyber-délinquance pour les entreprises sur les cinq dernières années, atteignant aujourd’hui 13 millions de dollars, et une augmentation de 60% du nombre moyen de violations de sécurité.
Le contexte des cyber-risques ne devrait pas s’améliorer dans l’avenir, selon les estimations du rapport, avec un durcissement de la réglementation, une augmentation des litiges, et l’expression des conflits politiques dans le cyberespace sous la forme d’attaques financées par les États.
Incidents cyber externes coûteux vs incidents internes fréquents
Toujours selon le rapport, les incidents externes, tels que les attaques en “déni de service distribué”, les campagnes de phishing ou de ransomware et malware entraînent les sinistres cyber les plus coûteux. Ils représentent la majorité du montant des sinistres analysés (85%). Les actions internes malveillantes sont peu fréquentes (9%), mais souvent coûteuses.
Les incidents internes sont les plus fréquents, même si leur impact financier est plus faible. Ainsi, les erreurs humaines pendant le travail, les pannes de systèmes ou de plateformes, les problèmes de migration informatique ou encore la perte de données représentent plus de la moitié des sinistres cyber analysés (54%), mais leur impact financier est généralement limité par rapport à la cyber-délinquance. Les pertes peuvent néanmoins augmenter rapidement en cas d’incidents plus graves.
Zoom sur les ransomwares
Déjà fréquentes, les campagnes de ransomware causent des dommages plus importants, ciblant davantage les grandes entreprises par des attaques sophistiquées et des tentatives d’extorsions considérables. L’année dernière, près d’un demi-million d’incidents de ce type ont été déclarés dans le monde et ont coûté aux entreprises au moins 6,3 milliards de dollars de rançon. Le coût total lié à la gestion de ces incidents devrait dépasser largement les 100 milliards de dollars.
« Les outils de piratage haut de gamme sont plus facilement disponibles avec la “commercialisation” croissante du cyber-piratage, explique Marek Stanislawski, directeur mondial du risque cyber chez AGCS. De plus en plus souvent, les hackeurs vendent des logiciels malveillants à d’autres hackeurs, qui attaquent ensuite les entreprises pour exiger une rançon. »
Augmentation des interruptions d’activité
L’interruption d’activité (en incluant les coûts d’atténuation et de responsabilité civile) est le principal facteur de coûts des sinistres cyber, avant les violations de données. Elle représente environ 60% du montant total des sinistres analysés.
« Qu’elle soit due à une attaque de ransomware, à une erreur humaine ou à une défaillance technique, la perte de systèmes ou de données critiques peut mettre une entreprise à genoux, dans notre économie aujourd’hui numérisée, observe Jérôme Chartrain, responsable cyber chez AGCS France. L’impossibilité d’accéder aux données pendant une période prolongée peut avoir de graves conséquences sur le chiffre d’affaires, par exemple si l’entreprise ne peut plus gérer les commandes. De manière similaire, si une plateforme en ligne n’est plus disponible en raison d’un incident technique ou d’une cyberattaque, les entreprises qui l’utilisent peuvent subir des pertes importantes, compte tenu de la dépendance croissante aux ventes en ligne et aux chaînes d’approvisionnement numériques. »
L’impact du Covid-19
Le développement du télétravail, lié à la pandémie de Covid-19, soulève un autre problème. En effet, l’isolement du personnel offre de nouvelles occasions aux cyber-délinquants d’accéder aux réseaux et aux informations sensibles. Les attaques par ransomware et malware auraient déjà augmenté de plus d’un tiers depuis le début de l’année 2020, tandis que les arnaques en ligne et les campagnes de phishing sur fond de coronavirus continuent de proliférer. Parallèlement, l’impact potentiel des erreurs humaines ou des défaillances techniques pourrait aussi augmenter.
Malgré la hausse des expositions, il est encore impossible de dire si la pandémie est la cause directe de certains sinistres cyber. AGCS en a déjà enregistré quelques-uns qui pourraient lui être attribués indirectement, notamment des attaques par ransomware profitant de la mise en place du télétravail. Il est cependant trop tôt pour constater l’existence d’une tendance plus large.
À lire également
Spécialisé en assurance des grands risques industriels et l’une des principales entités du groupe Allianz, AGCS fournit de l’aide à la gestion des risques, solutions d’assurance des dommages et transfert alternatif des risques pour un large éventail de risques commerciaux, industriels et spéciaux avec dix branches dédiées.
Les plus lus…
L'arrêté du 4 novembre 2024 relatif aux meilleures techniques disponibles (MTD) - applicables aux installations du secteur de la…
Le risque est-il singulier, pluriel ou les deux ? Plusieurs approches existent pour évaluer les risques, les quantifier et les…
-
Un décret portant application de l'article 40 de la loi n° 2023-175 du 10 mars 2023 relative à l'accélération…
Au cours de la vie professionnelle, les travailleurs peuvent être victimes d’un accident. Dans ce cas, des démarches doivent être…
Cette fiche réflexe a été créée dans un contexte où la menace drone est trop souvent ignorée, et où…
-
La société Rolland, spécialisée dans la conception et la fabrication de sprinkleurs pour les réseaux de protection incendie, obtient…
