Les assureurs deviennent des cibles de choix pour les cyberattaques
Quelques semaines après l’attaque contre April, le groupe Adelaïde a annoncé avoir subi une tentative d’intrusion. Les assureurs doivent se mettre au niveau.
Bertrand De Meyer
Le passage de la probabilité aux faits est parfois bien rapide. Quelques mois après l’attaque contre Axa qui soulignait le risque cyber planant sur le secteur financier, trois courtiers en assurance ont communiqué en l’espace de quelques mois sur des attaques. AssurOne, courtier d’assurance digitale filiale du groupe Prévoir, a confirmé une tentative de rançongiciel du groupe de hackers Ragnarok en août. Début novembre, c’est April qui a reconnu avoir été la victime d’une tentative d’intrusion dans son système d’information. Enfin, le groupe Adelaïde, qui regroupe Verlingue, Génération et Cocoon, indique sur son site internet avoir subi «une tentative d’intrusion de ses systèmes informatiques le 27 novembre 2021».
Les mutuelles ne sont pas épargnées. En juillet 2020, les systèmes de MMA ont été particulièrement touchés lors d’une «tentative d’acte malveillant» ciblant les entités du groupe Covéa. Le fonctionnement de la Mutuelle nationale des hospitaliers (MNH) a lui été perturbé de longues semaines en février à la suite d’une attaque.
Conséquences opérationnelles
A l’exception d’Axa, aucune société n’a pour le moment indiqué avoir perdu des données ou payé une cyber rançon pour retrouver une situation normale. Mais les conséquences sont opérationnelles. «Afin de garantir l’intégrité de l’ensemble des systèmes et données ainsi que d’effectuer les analyses techniques, il a été décidé d’interrompre toute activité informatique a minima pendant les 48 prochaines heures. Ainsi, l’ensemble des extranets et sites de services clients ont été déconnectés», précise par exemple sur son site Adelaïde. «Les conséquences sont forcément opérationnelles puisque l’on peut être amené à fermer le système d’information, ce qui affecte le fonctionnement de l’entreprise», résume Michaël Bittan, responsable des activités cybersécurité d’Accenture en France.
La majorité des groupes dispose toutefois de processus qui permettent de réagir vite et de relancer l’activité. «Les premières heures ont été décisives. Comme l’attaque était très circonscrite à un site, nous avons été capables de cantonner l’attaque sur ce seul site et de continuer l’activité grâce à la mise en place d’un plan de continuité en fournissant de nouveaux ordinateurs tout en signalant l’attaque à la Cnil et en déposant plainte au commissariat», décrit à L’Agefi une porte-parole d’AssurOne, dont le site de Pont-Audemer dans l’Eure a été visé par les pirates. En dix jours, les collaborateurs et clients avaient à nouveau accès à 95% des activités de la société.
Des assureurs ciblés…
Au-delà des conséquences, c’est la multiplication des attaques qui questionne. «Il existe des raisons philosophiques et éthiques qui justifient que les hackers s’attaquent aux assurances. Mais aussi économiques avec un potentiel de gains important», explique Sarah Duyndam, responsable de la France pour le spécialiste de la sécurité informatique Infoblox. Les assureurs disposent de données rares qui pourront nourrir plus tard des attaques ciblées : elles sont donc mieux valorisées à la revente et permettent de demander des rançons plus élevées.
Des raisons techniques rentrent aussi en jeu. «Dans le secteur de la finance, la banque s’est beaucoup renforcée, obligeant les attaquants à chercher des portes d’entrées plus faibles. Les assureurs font parfois office d’acteurs moins sécurisés même si l’entreprise visée est souvent un maillon faible par lequel on souhaite en réalité remonter la chaîne», décrypte Michaël Bittan. Des vulnérabilités qui se sont accrues avec la pandémie, rappelle Sarah Duyndam : «La crise sanitaire a changé la méthodologie de travail – notamment avec la mise en place du télétravail – ce qui expose les réseaux, auparavant très fermés, et crée des opportunités pour les cyberattaquants.»
… et pas au niveau
L’Autorité de contrôle prudentiel et de résolution (ACPR) avait lancé l’alerte au mois de juillet, appelant les organismes d’assurance à mieux appréhender ce risque en pleine explosion. «Dans le courtage, les acteurs qui sont le plus souvent des agents intermédiaires n’ont pas forcément les niveaux de sensibilisation au risque nécessaire, ou ne le matérialisent pas», confirme Sarah Duyndam. Les attaques sont d’ailleurs souvent l’occasion d’une prise de conscience : « Cette attaque a accéléré les processus de modernisation déjà entamés, notamment concernant le basculement des derniers serveurs du site attaqué vers nos serveurs situés dans des data centers protégés. Et où le système de sécurité avait été optimisé. Nous restons humbles : on peut tous y passer voire y repasser», décrit-on chez AssurOne.
«La prise de conscience a eu lieu et on observe une volonté de s’aligner sur les attentes», relève Michaël Bittan. «Le régulateur tente de pousser vers un niveau d’Opérateurs de services essentiels (OSE) mais cela peut alourdir le coût de l’IT et donc peser sur la compétitivité, notamment à l’international», ajoute le consultant. Le niveau OSE caractérise des acteurs fournissant un service essentiel dont l’interruption aurait un impact significatif sur le fonctionnement de l’économie ou de la société. A la suite de la directive Network and Information Security (NIS), il élargit à de nombreuses entreprises l’obligation de renforcer leur cybersécurité dans la veine de la loi de programmation militaire (LPM). Une question vitale pour les organismes d’assurance.
Un évènement L’AGEFI
RECOUVREMENT & TECH, LE NOUVEAU DUO GAGNANT ?
Plus d'articles du même thème
-
Les actions restent plébiscitées dans les portefeuilles des gérants
Les actifs risqués pèsent toujours 51% des allocations du Panel, même si un tiers des gestions ont renforcé leur poids, pour un quart d'entre elles qui l’ont allégé. -
PARTENARIAT
Boom de l’IA, turbulence dans les semi-conducteurs et crise chez Apple : comment les géants de la tech se battent pour l’avenir
Des milliards de dollars sont injectés dans le développement et l'entraînement des modèles de langage, et les grands acteurs du cloud – Microsoft, Amazon, Google et Meta – ont relevé leurs budgets d'investissement à un niveau historique, entre 400 et 450 milliards de dollars par an. Mais que signifie cette course à l’innovation pour les investisseurs ? -
Boeing essaie de contourner la grève en cours dans ses activités de défense
Un mois après le début de ce conflit, l’avionneur a lancé le recrutement de salariés permanents pour assurer la continuité de sa production.
ETF à la Une
L'ETF d'Ark Invest, le casse estival de l'IPO de «Bullish»
L’introduction en Bourse de la plateforme crypto, cet été à Wall Street, a donné lieu à un tour de «passe-passe» peu glorieux, avec le recours à une mécanique légale mais déséquilibrée propre aux ETF, explique Denis Alexandre, fondateur de DAA Advisor.
Les plus lus
- A la Société Générale, les syndicats sont prêts à durcir le ton sur le télétravail
- Revolut s’offre les services de l’ancien patron de la Société Générale
- Le Crédit Agricole a bouclé l'acquisition de Banque Thaler
- Les dettes bancaires subordonnées commencent à rendre certains investisseurs nerveux
- Les émetteurs français de dette bravent la crise politique
Contenu de nos partenaires
A lire sur ...
-
Anthropic règle un litige majeur sur le droit d’auteur en IA avec un accord à 1,5 milliard de dollars
New York - La start-up américaine d’intelligence artificielle (IA) Anthropic a accepté de verser au moins 1,5 milliard de dollars à un fonds d’indemnisation d’auteurs, ayants droit et éditeurs qui poursuivaient l’entreprise pour avoir téléchargé illégalement des millions de livres, selon un document de justice publié vendredi. Cet accord à l’amiable, d’un montant colossal, constitue une étape marquante dans le débat sur l’utilisation de données pour développer et entraîner les grands modèles d’IA générative. «Cet accord historique est le plus élevé pour une affaire de droits d’auteur», a commenté auprès de l’AFP l’avocat des détenteurs de droits, Justin Nelson, du cabinet Susman Godfrey. «C’est le premier de son genre dans l'ère de l’IA». Fin juin, le juge californien saisi du dossier avait néanmoins estimé que le fait d’alimenter un logiciel d’IA générative avec des oeuvres en théorie protégées par le droit d’auteur ne constituait pas une infraction. Il avait seulement retenu contre Anthropic le téléchargement et le stockage de livres issus de librairies pirates en ligne, reconnaissant la société californienne coupable de ne pas avoir acheté ces ouvrages. «Nous sommes en désaccord avec l’opinion du tribunal selon laquelle on peut séparer le téléchargement d’une oeuvre de son utilisation», a indiqué une porte-parole d’Anthropic. Mais «nous pensons que cet accord va nous permettre de nous concentrer sur notre mission essentielle, plutôt que sur un long contentieux», a-t-elle ajouté. Le montant sur lequel se sont accordées les parties sera au minimum de 1,5 milliard de dollars et pourrait augmenter si la liste définitive des livres concernés, qui n’est pas encore arrêtée, dépassait 500.000, auquel cas Anthropic verserait 3.000 dollars de plus par ouvrage. L’accord doit encore être homologué par le juge William Alsup. Une audience est prévue lundi au tribunal fédéral de San Francisco. «Un début» Cette transaction permet à Anthropic d'éviter un procès, qui devait démarrer début décembre pour déterminer le montant des dommages et intérêts. La start-up risquait d'être condamnée à débourser une somme bien supérieure à celle décidée avec les détenteurs de droit, au point de mettre en péril son existence même. L’accord «va assurer à chaque (plaignant) une indemnisation significative», a fait valoir Justin Nelson, «et il établit un précédent en matière de paiement des détenteurs de droits.» De nombreux autres dossiers sont encore en cours devant des tribunaux américains, initiés par des écrivains, musiciens ou éditeurs de presse pour utilisation non autorisée de leur production. Vendredi, deux écrivains ont lancé un recours, qu’ils souhaitent collectif, contre Apple, accusant le géant de la Silicon Valley d’avoir utilisé des oeuvres contenues dans des bibliothèques pirates pour entraîner les modèles d’IA intégrés dans ses appareils. La plupart des grands acteurs de l’IA générative s’appuient sur la notion juridique d’utilisation équitable («fair use» en anglais), susceptible de limiter l’application du droit de propriété intellectuelle. Dans sa décision de juin, le juge Alsup avait estimé qu’en entraînant ses modèles d’IA, baptisés Claude, avec des milliers de livres, Anthropic s’inscrivait dans le cadre de l’utilisation équitable. «Le principe juridique selon lequel le développement de l’IA sur des oeuvres protégées relève d’une utilisation équitable demeure intact», a souligné la porte-parole d’Anthropic. Cet accord «ne fait que régler un différend sur la façon dont certains documents ont été obtenus», a-t-elle poursuivi. En juin, dans une autre affaire de ce type, concernant Meta, devant la même juridiction, un autre magistrat fédéral avait donné raison au géant des réseaux sociaux, mais tout en expliquant que les plaignants auraient pu soulever des arguments recevables. Les créateurs de contenu, qu’il s’agisse de musique, de livres ou d’articles, s’inquiètent de voir la valeur marchande de leur travail s’effondrer avec l'émergence des interfaces d’IA générative. «Nous espérons qu’il s’agisse du premier exemple d’une longue série de sociétés d’IA à qui on demande des comptes pour le vol de contenu créatif», a réagi l’organisation Human Artistry Campaign, qui milite pour un développement responsable de l’IA. «Ce n’est qu’un début», a écrit l’association sur X, «mais il est marquant et historique.» Thomas URBAIN © Agence France-Presse -
Donald Trump rebaptise le Pentagone en « ministère de la Guerre » pour afficher la puissance américaine
Washington - Donald Trump a signé vendredi un décret visant à rebaptiser le ministère américain de la Défense en «ministère de la Guerre», ajoutant qu’il voulait par là envoyer un «message de victoire» et «de force» au reste du monde. Le président américain a laissé entendre qu’il pouvait se passer d’un vote du Congrès pour procéder à ce changement d’appellation. «Les mots comptent», a dit le chef du Pentagone Pete Hegseth, présent aux côtés de Donald Trump dans le Bureau ovale, assurant que cette nouvelle appellation devait permettre de «restaurer une éthique guerrière». Formellement, il s’agit pour l’instant d’une appellation «supplémentaire», selon un document distribué dès jeudi par la Maison Blanche. Un haut responsable du ministère a indiqué que le coût de cette opération, potentiellement très dispendieuse, deviendrait «plus clair» au fur et à mesure de sa mise en place. Peu après la signature du décret présidentiel, les mots «ministère de la Défense» ont été immédiatement retirés d’un mur dans le Pentagone, devant des caméras de télévision. Le site du ministère a été renommé et Pete Hegseth se présente désormais comme «ministre de la Guerre» sur X. «Nous allons soumettre (ce changement de nom) au Congrès», a prévenu Donald Trump. «Je ne sais pas (si les parlementaires voteront en ma faveur, ndlr), nous verrons bien, mais je ne suis pas sûre qu’ils aient besoin de le faire». «Trop défensif» Ce n’est pas la première fois que le républicain de 79 ans impose ses idées sans passer par la case législative. Son second mandat est marqué par une volonté assumée d'étendre le pouvoir présidentiel, à coups de décrets et de décisions empiétant sur les prérogatives du Congrès. Il a signé vendredi son 200e décret depuis son retour à la Maison Blanche en janvier. Le président des Etats-Unis avait déjà fait part de ce projet qui restaurerait une appellation ayant existé de 1789 à 1947. «Défense, c’est trop défensif, et nous voulons aussi être offensifs», avait-il déclaré. Depuis son retour à la Maison Blanche en janvier, Donald Trump a mobilisé l’armée pour imposer une image de puissance spectaculaire et combler son appétit de fastes militaires. Il a organisé un rare défilé le jour de son anniversaire, déployé la Garde nationale dans des villes dirigées par ses opposants, et ordonné une frappe exceptionnelle sur un bateau dans les Caraïbes dans le cadre de la lutte affichée contre le narcotrafic. Les démocrates dénoncent régulièrement ce recours aux militaires, révélateur selon eux d’une dérive autoritaire. Contre le «politiquement correct» Le président américain avait eu pendant son premier mandat une relation plutôt contrariée avec l’armée. Son ancien chef d'état-major, le général Marc Milley, l’a qualifié d’"aspirant dictateur». Des articles de presse avaient également attribué à Donald Trump des propos méprisants pour des militaires américains morts au combat. Cette fois, le dirigeant républicain a remanié l'état-major américain pour s’entourer de hauts gradés choisis par ses soins, et a nommé en la personne de Pete Hegseth un ministre à la loyauté farouche. Le chef du Pentagone, adepte d’un discours viriliste et d’opérations de communication musculeuses, a dit vendredi que l’objectif de l’armée américaine était d’atteindre «une létalité maximale, pas une létalité tiède». Il a dit vouloir aller à l’encontre du «politiquement correct». Aurélia END © Agence France-Presse -
Australie : la chasse à l’homme d’un « citoyen souverain » recherché pour le meurtre de deux policiers
Sydney - Les autorités australiennes ont promis samedi une récompense de plus de 500.000 euros pour toute information pouvant mener à l’arrestation du meurtrier présumé de deux policiers, un adepte des théories du complot dont la cavale depuis près de deux semaines tient le pays en haleine. Desmond Freeman, 56 ans, est recherché par plus de 450 policiers dans le bush australien depuis une fusillade mortelle le 26 août lors d’une perquisition à son domicile dans la petite ville de Porepunkah, dans le sud-est du pays-continent. Après avoir multiplié les appels à la reddition et interrogé ses proches, la police de l’Etat de Victoria a annoncé qu’elle paierait un million de dollars australiens (environ 560.000 euros) en échange d’informations permettant de le retrouver, un montant sans précédent pour cette force. «Cette somme reflète la gravité de ce crime violent et notre engagement à localiser Freeman dès que possible afin qu’il cesse de représenter un risque pour la population», a expliqué l’inspecteur Dean Thomas, insistant sur une récompense «susceptible de changer une vie». Freeman est soupçonné d’avoir abattu Neal Thompson, 59 ans et Vadim De Waart, 35 ans, qui faisaient partie d’une équipe de de dix agents venus perquisitionner chez lui dans une affaire non précisée, et d’en avoir blessé un troisième. Les victimes appartiennent à une section de la police chargée des délits et crimes à caractère sexuels et pédophiles. Ces faits sont exceptionnels dans un pays où les armes automatiques et semi-automatiques sont interdites depuis qu’un tireur isolé a massacré 35 personnes, en 1996, sur l'île de Tasmanie. Le monument national qui rend hommage aux policiers tués en service liste le dernier cas de décès par balle en 2023. «Terrain difficile» La police considère que Desmond Freeman, en fuite dans une zone de forêt dense, est lourdement armé. Les médias australiens décrivent le suspect comme un adepte de théories du complot radicalisé, qui a fait état de sa haine envers la police. Selon eux, il ferait partie de la mouvance complotiste des «citoyens souverains», dont les membres refusent l’autorité de l’Etat et de se soumettre aux lois. Sa femme Amalia Freeman et leur fils adolescent ont été brièvement placés en garde à vue par les enquêteurs, avant d'être relâchés. L'épouse du suspect a lancé un appel public pour qu’il se rende. "À ce stade, rien n’indique que Freeman soit assisté par une personne spécifique, néanmoins, compte tenu du terrain difficile et des besoins de s’approvisionner, cela reste une possibilité», a souligné la police samedi dans un communiqué, n’excluant pas non plus l’hypothèse d’un décès. Apparue aux Etats-Unis dans les années 1970, la mouvance des «citoyens souverains» se répand aujourd’hui en ligne, notamment sur Facebook dans des groupes où se côtoient des activistes mais aussi des opportunistes cherchant par exemple un moyen de s’affranchir du règlement de certaines factures. En France, ses adeptes estiment que l’Etat n’existerait pas en tant qu’entité publique mais serait en réalité une entreprise de droit privé créée en 1947, à laquelle ils n’auraient pas à se soumettre sans consentement. L’un deux a été condamné en avril à cinq mois de prison pour avoir refusé un contrôle de gendarmerie. © Agence France-Presse
