Indemnisation des victimes de Ransomware en France

Les ransomwares, ces logiciels qui permettent aux cybercriminels d’éliminer tout intermédiaire numérique sont une véritable aubaine pour ces derniers. Fini de hacker des données et les revendre sur le Dark Web au plus offrant, que ce soit de petites sommes soutirées aux internautes lambdas ou des centaines de millions aux géants, le moins que l’on puisse dire est que les ransomware rapportent beaucoup d’argent nous sommes loins d’en avoir fini avec ce type d’attaques. Entre bonnes pratiques préconisées par les experts en sécurité, les solutions de sécurité et les textes de loi, dur de savoir où donner de la tête. Voici quelques éclaircissements pour mieux appréhender le paysage français en termes d’attaques rancongicielles.

Qu’est-ce qu’un Rançongiciel ?

De l’anglais Ransomware, un rançongiciel n’est autre qu’un logiciel malveillant utilisé par les cybercriminels afin de bloquer votre ordinateur et vos fichiers en otage. Les victimes sont contraints de payer une rançon pour espérer obtenir à nouveau accès à leurs précieux documents. Il existe de nombreuses manières d’identifier et de prévenir les attaques rançongicielles, mais dans la plupart des cas, le ransomware s’infiltre dans l’ordinateur des victimes suite à l’ouverture d’une pièce jointe ou un lien frauduleux. Les cybercriminels exploitent les canaux suivants : 

• • • • • Courriels
        • Sites Internet compromis (généralement non sécurisés)
        • Vulnérabilités logicielles
        • Logiciels obsolètes (absence de correctifs)

Que nous dit la loi ?

Ce type d’agissement relève non pas de l’escroquerie, mais bien d’extorsion de fonds puisque les victimes sont forcées à verser des fonds pour débloquer leur ordinateur. Dans certains cas, les internautes ne pourront même pas payer la dite rançon en raison des dommages causés et en l’absence de recouvrement des données infectées.

En France, le paiement des rançons ne constitue pas une infraction à la loi, mais le gouvernement décourage les internautes de céder aux chantages des cybercriminels, qui ne sont d’ailleurs pas les seuls pointés du doigt. En effet, les assureurs seraient dans le viseur de l’État en raison de ses garanties et indemnisations précipitées des victimes, qui encourageraient indirectement les cybercriminels à poursuivre leurs agissements et les victimes à céder. 

Des accusations qui ont poussé de nombreuses assurances à annoncer dès 2021, la suspension du recouvrement des paiements de rançons, mais réclamant des précisions autour du cadre légal. L’objectifs ? Encourager le développement d’assurances cyber jusque-là plébiscitées en majorité par les grands groupes dont les 84 % disposent de contrats les protégeant face aux attaques rançongicielles, contrairement aux moyennes et petites entreprises, parfois démunies face à ce phénomène grandissant. 

Second volet et non des moindres, les données liées au nombre d’attaques par ransomwares fournies par les pouvoirs publics. Des chiffres en décalage avec la réalité en raison de l’absence de signalement des victimes de rançongiciels et le paiement parfois hâtif des rançons. Une estimation essentielle pour les compagnies d’assurance dans le calibrage des offres.

Le compromis de Bercy

7 Septembre 2022, le verdict tombe, avec l’approbation du ministère de l’Économie d’une indemnisation par les assurances des rançons. Une manière pour Bercy d’officialiser l’indemnisation des victimes avec toutefois pour condition de porter plainte. 

Une mesure qui semble aux antipodes de toutes les recommandations prônées par les organismes et experts en cybersécurité. Si l’intention première du gouvernement consistait à lever cette ambiguïté entre assureurs et assurés, elle fait l’impasse sur le principe même des rançongiciels, à savoir la prise en otage et le chantage. 

Raison pour laquelle dans ce même rapport, le gouvernement précise : « le paiement ne garantit pas l’obtention d’un moyen de déchiffrement, incite les cybercriminels à poursuivre leurs activités, entretient ce système frauduleux, est susceptible de contribuer au financement du terrorisme [et que] l’Anssi recommande aux victimes de ne pas payer la rançon. ».

Prévenez les rançongiciels

Conséquences de l’indemnisation de rançons

Décriée par les experts en sécurité, cette mesure d’indemnisation pourrait engendrer de nombreux effets pervers parmi lesquels :

• • • • • Affaiblissement des efforts de sécurisation
        • Indemnisation des dégâts occasionnés sans les empêcher
        • Moins de réticence à céder aux hackers
        • Incitation des hackers à multiplier les attaques rançongicielles
        • Augmentation des sommes exigées par les hackers
        • Développement de cibles privilégiées (petites entreprises, individus)

Quel est le donc le but du gouvernement ?

Face à autant de dérives, la question que l’on se pose est de savoir pourquoi institutionnaliser le remboursement de rançons ? Si l’on en tient aux déclarations de la direction générale du Trésor, il s’agirait au contraire d’éveiller les consciences. 

Les entreprises PME/TPE n’auraient, semble-t-il, pas conscience de l’ampleur des cyberattaques. Ce serait donc une manière de les inciter à se tourner vers des compagnies d’assurances pour se prémunir contre les attaques rançongicielles. 

Un argument difficile à entendre en dehors du cadre purement économique, puisque d’un point de vue sécuritaire, souscrire un contrat d’assurance ne protège pas les entreprises à proprement parler, mais leur offre un filet de sécurité en cas de paiement de rançon. Loin de s’en cacher, le gouvernement affirme que le marché est tel que l’absence d’offres sur le territoire français, inciterait tout simplement les entreprises à se tourner vers des assurances étrangères.

Et ailleurs, ça se passe comment ?

Aux États-Unis, où les turbulences numériques sont quotidiennes, la tendance est au refus. L’objectif étant de mettre un terme à ces cyberattaques, qui, rappelons-le, ne survivent que du chantage. La plupart du temps, les fichiers endommagés ne sont jamais restitués et les hackers n’hésitent pas à revenir à la charge comme ont pu le constater de nombreuses mairies de France dont celle de Saint-Paul-en-Jarez. Si de telles mesures ne permettent pas d’éradiquer les rançongiciels, les États-Unis sont parvenus à réduire le rendement de ces attaques.

Le meilleur moyen de lutter contre les attaques rançongicielles demeure la prévoyance. Aucune solution de sécurité ne vous permettra de contrer une demande de rançon une fois l’infection présente. Parmi ces réflexes, on retiendra par exemple l’installation d’un logiciel antivirus pour à la fois détecter la présence de programmes malveillants (tels que les rançongiciels) et empêcher leur lancement aux travers d’applications par exemple. 

CyberGhost VPN vous permet à travers sa suite de sécurité Internet Security Suite de profiter d’un VPN et d’un antivirus intégré. Vous cryptez votre connexion et votre trafic et protégez ainsi toutes vos données. Pensez par ailleurs à sauvegarder vos données et à verrouiller vos comptes en privilégiant une authentification à double facteur lorsque possible.

Foire aux questions