Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juin 2016 - n°414 - 219

doctrine

Cybercriminalité

Le ransomware est-il assurable ?
Analyse de cette nouvelle forme de cybercriminalité
et des pratiques assurancielles des premiers
contrats l'appréhendant spécifiquement.

a cause licite et morale des
garanties d'assurance de
sommes extorquée à une
entreprise par un pirate informatique divise les assureurs, avec une
appréciation différente selon que ces
assureurs sont continentaux ou anglosaxons. L'argument habituellement
opposé à l'assurabilité est celui qu'une
telle garantie inciterait la commission
d'une infraction que pourrait favoriser
la collusion frauduleuse entre l'assuré
et l'auteur de l'extorsion.

La réponse à cette question pourrait
procéder par analogie avec d'autres
garanties dont la licéité est également
controversée, particulièrement la
garantie des rançons consécutives à
un enlèvement. Il est donc utile de poser
le débat au regard de la réalité du
phénomène « ransomware » et d'analyser les pratiques assurancielles des
premiers contrats d'assurance qui
appréhendent spécifiquement cette
nouvelle cybercriminalité.

LA RÉALITÉ DU
PHÉNOMÈNE
« RANSOMWARE »
Un ransomware (virus d'extorsion)
est un dispositif logiciel utilisé par un
cybercriminel ou une organisation
criminelle issue du crime organisé
(mafias, triades, mouvements terroristes). L'attaque consiste à bloquer un
ordinateur et à demander une rançon
pour le débloquer. Les ransomwares peuvent se présenter sous deux
formes. Les ransomwares, d'une part,
sont fondés sur la peur qui relèvent de

l'ingénierie sociale. Appelés « virus
gendarmerie », ils font croire à la
découverte d'activités illicites dans
l'ordinateur bloqué et imposent le
paiement d'une amende. D'autre part,
les ransomwares, appelés cryptowares, cryptent la totalité des fichiers de
données de l'utilisateur.
Ces attaques, utilisant un chiffrement
de haut niveau, peuvent s'avérer
irréversibles.
Sans entrer dans un débat technique,
l'ordinateur est infecté en exploitant
une faille de sécurité pouvant exister au sein d'une application ou en
ouvrant une pièce jointe d'un courriel.
D'autres attaques avec demande de
rançon consistent à bloquer l'accès
d'un site marchand, par exemple
en utilisant un botnet et en submergeant le serveur de requêtes afin qu'il
ne puisse plus en satisfaire aucune
(attaques en DDoS - Déni de service
distribué).
En juin 2015, le FBI a lancé un avertissement à propos de Cryptowall 4.0,
le décrivant comme le ransomware
le plus « actif et menaçant, visant
les particuliers et entreprises américaines ». L'étude de Bitdefender a mis
en évidence que 61,8% des attaques de
malwares via e-mails aux Etats-Unis
ont diffusé du ransomware (la plupart
du temps Cryptowall et Cryptolocker).
Ces chiffres montrent que les donneurs
d'ordre de ces ransomwares ont fait
des Etats-Unis leur priorité parce que
ce pays représente un marché hautement profitable pour ce type d'attaque. En effet, en 2015, les créateurs

EXPERTISES JUIN 2016

du ransomware CryptoWall ont extorqué plus de 325 millions de dollars aux
victimes américaines, selon diverses
études.
En France, en avril 2016, l'AMRAE a
relayé les informations de plusieurs
entreprises et de la gendarmerie nationale concernant trois ransomwares
particulièrement virulents (Locky,
Crysis et Ke.Ranger ou Keyranger).
Enfin, l'inquiétude grandit dans
les milieux de la sécurité face au
développement du modèle RaaS
(Ransomware as a Service) qui est un
concept émergent consistant, pour les
auteurs de ransomware, à proposer à
des « diffuseurs » des versions personnalisées à la demande. La rançon est
alors perçue par l'auteur du malware,
qui la partage avec le diffuseur.
Dans
le
modèle
RaaS,
l'auteur du ransomware ne perçoit
qu'une petite partie des fonds (5 à
25%) tandis que le reste va au diffuseur (l'affilié). L'auteur reçoit la rançon
de la victime en bitcoins. Le diffuseur
a la promesse de toucher sa part
via l'adresse bitcoin anonyme avec
laquelle il s'est enregistré. Ce modèle,
qui repose sur le réseau TOR et les
bitcoins, est conçu pour masquer
l'identité de l'auteur et du diffuseur
aux autorités.

LA CAUSE LICITE ET
MORALE DU CONTRAT
D'ASSURANCE
En droit des assurances comme en
droit des contrats, la cause est un outil
permettant de contrôler la licéité du

219

Table des matières de la publication Expertises des Systèmes d'information - Le mensuel du droit de l'informatique et du multimédia - Juin 2016 - n°414