La police est restée sur le bureau du directeur financier pendant trois ans, renouvelée discrètement à 2,3 millions de dollars par an, une couverture de sécurité financière qui s'est avérée être en papier de soie.
Lorsqu'un groupe de ransomware lié à la Corée du Nord a bloqué la société de logistique Meridian Freight Partners, basée à Baltimore, en février 2026, cryptant 14 téraoctets de données opérationnelles et exigeant 47 millions de dollars en Monero, l'assureur cyber-risques de la société a fait quelque chose qui a choqué l'industrie : il n'a rien payé. Zéro. Invoquant une « clause d'exclusion pour acteur étatique » enfouie dans la section 14(b) des petites lignes de la police, l'assureur s'est retiré sans encombre — et en toute légalité.
Meridian Freight n'est pas la seule. Aux États-Unis et en Europe de l'Ouest, une catastrophe silencieuse se déroule simultanément dans les conseils d'administration et les tribunaux. Le modèle de la cyber-assurance, autrefois célébré comme la colonne vertébrale financière de la résilience des entreprises, se fracture sous le poids d'une menace qu'il n'a jamais été conçu pour absorber.
La clause d'exclusion qui a dévoré l'industrie
Le problème n'est pas apparu du jour au lendemain. Lloyd's de Londres a d'abord exigé que ses syndicats excluent les cyberattaques parrainées par des États des polices commerciales standard en août 2022. En 2024, ce langage avait migré dans le modèle de pratiquement tous les grands assureurs — Chubb, AIG, Beazley, Travelers — chacun rédigeant sa propre variante de ce que l'industrie appelle désormais froidement « l'exclusion de guerre ».
La logique était actuariellement saine : les assureurs ne peuvent pas modéliser, tarifer ou absorber un risque systémique au niveau étatique comme ils peuvent absorber une attaque de ransomware par un collectif criminel opérant d'Europe de l'Est à des fins lucratives. Lorsqu'un gouvernement déploie des cyberarmes comme instrument de politique étrangère, le potentiel de dommages en cascade à l'échelle de l'économie ressemble davantage à une catastrophe naturelle qu'à un incident corporatif discret.
Le problème est l'attribution — et c'est là que toute la structure s'effondre pour les assurés.
« Les clauses d'exclusion sont rédigées avec une ambiguïté extraordinaire », déclare le Dr Priya Venkataramaiah, économiste du cyber-risque à la Brookings Institution. « Les assureurs ne sont pas tenus de prouver l'implication d'un État au-delà de tout doute raisonnable. Ils sont seulement tenus de l'affirmer de manière plausible, et dans l'environnement de menace actuel, presque tout groupe de ransomware sophistiqué peut être vaguement lié à un acteur étatique avec suffisamment de preuves circonstancielles. »
L'attribution est le nouveau champ de bataille juridique
En 2025, l'Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a formellement attribué 61 % des incidents de ransomware à fort impact à des groupes ayant des liens « confirmés ou probables » avec la Russie, la Chine, l'Iran ou la Corée du Nord. Cette statistique, destinée à éclairer la politique de sécurité nationale, a fourni aux assureurs une arme juridique redoutable.
Considérez le calcul du point de vue d'un assureur. Si la majorité des attaques importantes portent une mention d'attribution liée à un État, l'exclusion peut théoriquement s'appliquer à la majorité des réclamations les plus importantes et les plus coûteuses. Le résultat est un instrument financier qui perçoit des primes par beau temps et évacue le bâtiment lorsque la tempête frappe.
Trois procès fédéraux distincts déposés au premier trimestre 2026 — impliquant un réseau hospitalier du Texas, un fabricant de semi-conducteurs californien et une chambre de compensation financière basée à Chicago — contestent tous des décisions de refus de couverture basées sur des exclusions d'acteurs étatiques. Les analystes juridiques s'attendent à ce que ces affaires atteignent les cours d'appel d'ici fin 2027, mais pour les entreprises qui ont besoin de liquidités maintenant, le litige est une maigre consolation.
Le paradoxe des primes
Voici l'ironie cruelle qui déchire les budgets de risque des entreprises : alors même que la couverture diminue, les primes n'ont pas fait de même.
Les tarifs de la cyber-assurance ont augmenté en moyenne de 34 % en 2025, selon l'enquête annuelle de benchmarking de la Risk & Insurance Management Society. Les assureurs justifient ces augmentations en soulignant la fréquence croissante des incidents et le coût croissant de la réponse aux incidents, des enquêtes forensiques et de la défense réglementaire — des coûts qui restent couverts même lorsque la rançon principale et le paiement de récupération sont exclus.
Ce que les entreprises achètent maintenant, en termes pratiques, est une police coûteuse qui couvre le transport en ambulance mais pas le séjour à l'hôpital.