Phishing et ransomware ne résument pas le risque cyber des entreprises
Face à des attaques de plus en plus variées, un contrat générique ne suffit pas : dresser la carte de ses risques réels guide le choix des garanties et des exclusions.
Par
Pierre Tramar
En bref
- Le risque cyber est le premier risque pour les entreprises, quelle que soit leur taille, selon le Baromètre Allianz 2026.
- Phishing et ransomware ne résument pas la menace : failles logicielles, DDoS, supply chain et fraudes par messagerie existent aussi.
- Des garanties de même nom peuvent couvrir des situations différentes selon sous-limites et exclusions.
- Les assureurs peuvent exiger MFA, sauvegardes immuables et plan de reprise d’activité testé.
Un dirigeant de TPE ou de PME qui signe une police cyber sans avoir identifié ce qu’il cherche à protéger prend le risque de découvrir ses limites le jour du sinistre. D’après le Journal du Net, beaucoup d’entreprises peinent à se représenter concrètement les menaces auxquelles elles sont exposées.
Un risque premier, des entreprises mal armées
Nombre d’entreprises choisissent une police qui ne couvre que les pertes d’argent. Pourtant, quand des données sont volées ou compromises, y compris sans valeur financière directe, les conséquences se propagent en chaîne. Les effets peuvent se prolonger sur plusieurs années et mettre en péril la survie de la société. On cite la fuite de données touchant la DGFiP comme illustration d’un incident aux retombées sociétales considérables.
Au-delà du phishing et du ransomware
Ramener la menace à ces deux techniques constitue une erreur courante. Chaque attaque se différencie par la manière dont elle opère, par l’objectif visé et par la facilité avec laquelle on la repère.
| Menace | Particularité |
|---|---|
| Exploitation de failles logicielles | Attaque pilotée sans interaction humaine |
| Attaque DDoS | Sature les ressources réseau ; visible en quelques secondes |
| Compromission de la supply chain | Passe par les fournisseurs |
| Piratage de messagerie professionnelle (BEC) | Mène à des fraudes aux virements ; aucune trace technique |
La croissance aggrave la situation : plus de collaborateurs ou de clients, empreinte internationale élargie, recours au cloud, réseau de fournisseurs étendu, volume croissant de transactions financières. À ce stade, le risque ne se résume plus à quelques cases à cocher.
Comment cartographier son exposition
Pour être utile, une cartographie doit être fine et nourrie par plusieurs sources. Elle prend en compte les menaces venues de l’intérieur comme de l’extérieur, notamment celles qui passent par les prestataires, la clientèle et l’ensemble de la chaîne de valeur. Elle concrétise ce qui paraîtrait sinon théorique : en repérant massivement des failles non corrigées, on peut par exemple prévenir plusieurs milliers de sites qui s’appuient sur une même technologie dépassée, avant toute attaque.
Cette carte s’inscrit dans une défense en profondeur : sécurisation des accès, gestion des correctifs, sauvegardes, formation continue, gestion de crise, et assurance cyber en complément. Celle-ci ne se limite plus à réparer : elle doit aussi renforcer la prévention. Pour une approche plus large des contrats, voir aussi l’assurance crédit pour une entreprise.
Lire le contrat de près
- Conditions de souscription : l’assureur peut imposer ou conseiller l’authentification multifacteur (MFA), des sauvegardes immuables et un plan de reprise d’activité testé, voire des standards comparables à NIS2.
- Garanties homonymes : la fraude, l’interruption d’activité ou l’atteinte aux données diffèrent d’un contrat à l’autre selon la définition retenue, les plafonds partiels, les exclusions et les modalités d’indemnisation. Se borner à comparer une liste de garanties est insuffisant.
- Exclusions : les assurés doivent lire leur rédaction avec une grande vigilance, car, lors d’un sinistre, la surprise vient rarement de ce qui est garanti, mais bien de ce qui ne l’est pas.
DORA et NIS2 obligent déjà les entreprises à plus de rigueur et de clarté. Il leur appartient désormais de réclamer à leurs assureurs une vraie transparence sur les exclusions, y compris pour les deepfakes et les menaces émergentes.
Photo : RDNE Stock project / Pexels
