Le département Cyber-Risques de GESCO tire la sonnette d’alarme !

Avec la crise sanitaire, nous avons constaté un quadruplement des attaques informatiques.
Cybercriminalité, atteinte à l’image, espionnage, sabotage, quelles que soient les formes qu’elles prennent, elles menacent toutes la santé financière de nos assurés, en entraînant notamment des pertes de données, une immobilisation de l’activité, extorsions de fonds et autres…

Si notre travail de courtier consiste principalement à étudier et mettre en place des solutions assurantielles permettant de garantir au mieux les risques de pertes financières, au meilleur prix, nous, GESCO, pensons que cet objectif doit, pour plus d’efficacité, faire partie d’une démarche de gestion de risques (Risk Management), dont nous rappelons les principales étapes préalables :

• Identification des scénarii,
• Evaluation des conséquences financières,
• Prévention.

C’est la raison pour laquelle nous, GESCO, en partenariat avec des experts spécialisés, proposons aux entreprises de les aider à mieux maîtriser ces risques difficiles à appréhender, et dont nous résumons ci-après les principaux.

LA CYBERCRIMINALITE

La cybercriminalité vise principalement à obtenir des informations personnelles – telles les données bancaires ou bien les identifiants de connexion à des sites Internet – afin de les exploiter ou de de les revendre.
Parmi les méthodes employées, nous avons plus particulièrement remarqué :

• L’hameçonnage (phishing) qui consiste, pour le cybercriminel, à « se déguiser » en un tiers de confiance (banque, administration, fournisseur d’accès à Internet, …) en diffusant un mail frauduleux ou contenant une pièce jointe piégée, et en incitant les destinataires à mettre à jour leurs informations.
• Le Rançongiciel (ransomware).  Il s’agit de programmes informatiques malveillants. Parmi ceux-ci : Cryptolocker, TeslaCrypt, Locky, … que les cybercriminels téléchargent sur l’ordinateur et qui cryptent les données personnelles. Devenus inaccessibles, les fichiers ne seront déchiffrés que moyennant le paiement d’une rançon qui donnera – en principe – accès à une clé de déchiffrement.

Exemple : Une association a reçu d’un des EHPAD qu’elle gère un e-mail communiquant des informations à consulter d’urgence. Le logiciel malveillant a crypté un grand nombre de données, devenues inaccessibles. Une rançon de 10 000 € a été réclamée pour les débloquer.

ATTEINTE A L’IMAGE

De l’exfiltration de données personnelles à l’exploitation de vulnérabilité, ces attaques de déstabilisation se font :

• Par déni de service, l’objectif étant de rendre le site indisponible,
• Par défiguration. Plus souvent réalisées à des fins politiques ou idéologiques, et généralement revendiquées par des hacktivistes, elles consistent à modifier l’apparence ou le contenu du site Internet.

Citons également l’ESPIONNAGE et SABOTAGE, qui, s’ils visent plutôt les grandes organisations, le fonctionnement de la Nation, voire la vie des personnes.

Et enfin des actions visant simplement à nuire à l’entreprise, sans but lucratif :
Tel l’ancien DSI d’une société de logiciel et infogérance qui, après avoir été licencié, s’est introduit dans la S.I. et a reformaté les disques durs, d’où une perte de données ayant entraîné :

• 80 000 € d’interventions d’experts pour éviter les pertes d’exploitation,
• Une notification auprès des personnes ayant vu leurs données personnelles diffusées, pour un coût de 140 000 €. 

Nous rappelons donc aux dirigeants qu’au regard de la nature différentes des risques, la multiplicité des scénarii et l’amplitude des conséquences financières,  ils doivent apporter à ces sujets une attention toute particulière.
Nous avons ainsi connu un directeur financier ayant trop eu confiance dans les propos rassurants de son DSI !

Cela implique :

• Une prise de conscience, non seulement de la direction générale, mais également de tous les utilisateurs,
• L’étude des aspects financiers,
• Des actions de prévention, non seulement en amont, mais également après la survenance d’un événement. Telle l’entreprise qui, ayant restauré son système, restaure également… ses failles !

En ce qui concerne les solutions assurantielles proprement dites, le département CYBER de GESCO propose des contrats comportant non seulement des garanties permettant une indemnisation des pertes, mais également la mise en place d’actions nécessaires pour limiter les impacts, et ceci à trois niveaux :

• Lors de la gestion de l’incident, en garantissant les frais et dépenses tels que :
  • Conseils juridiques
  • Expert informatique,
  • Atteinte à la réputation,
  • Restauration des données,
  • Frais de notification,
  • Frais de monitoring et de surveillance.
• Les dommages subis par l’assuré :
  • Enquêtes et sanctions administratives,
  • Cyber extorsions,
  • Pertes d’exploitation et frais supplémentaires d’exploitation.
• Les conséquences de la Responsabilité Civile, telles que le manquement à l’obligation de notification.

Rappelons enfin, à destination des grandes entreprises et ETI, que certains financements dits « alternatifs », tels que les captives de réassurance, peuvent apporter des solutions intéressantes. GESCO peut vous y aider.