Les assureurs s’attendent à une vague de demandes d’indemnisation après la défaillance du système informatique

Les assureurs peuvent s’attendre à une vague de demandes d’indemnisation de la part des entreprises après la défaillance des systèmes informatiques, influencée par des mises à jour des programmes de protection contre la cybersécurité, des opérations hospitalières perturbées, un trafic aérien arrêté et des opérations bancaires perturbées, avertissent les experts.

Vendredi matin, peu après sept heures, heure d’Europe centrale, la société américaine de cybersécurité CrowdStrike a envoyé un avertissement à ses clients que son programme ‘Falcon Sensor’ ‘plantait’ Windows, ce qui se manifeste sur les ordinateurs par un ‘écran bleu de la mort’.

La société a expliqué dans l’avertissement comment les utilisateurs peuvent résoudre le problème ‘manuellement’, rapporte Reuters, citant des informations du communiqué de CrowdStrike.

Le système d’exploitation de Microsoft est intégré dans les systèmes informatiques du monde entier, donc son plantage dû à la mise à jour du programme de CrowdStrike a perturbé les opérations hospitalières, arrêté le trafic aérien et la diffusion télévisée, et perturbé les opérations bancaires.

– Les assureurs se préparent à des centaines, voire des milliers, de demandes d’indemnisation de la part des organisations touchées par l’incident lié à CrowdStrike – a déclaré Ryan Griffin, partenaire chez McGill et Partners responsable des cyberattaques.

Cependant, toutes les entreprises ne recevront pas d’indemnisation pour le temps et l’argent perdus.

Une police d’interruption d’activité standard dans le cadre d’un programme d’assurance commerciale régulier ne couvre pas les pertes causées par la défaillance du système à la fin de la semaine dernière, a déclaré Marcos Alvarez, responsable de l’assurance chez DBRS Morningstar. Il est probable que toutes les polices d’assurance cybernétique, que les entreprises achètent séparément, ne les couvrent pas non plus.

– Certaines polices d’assurance cybernétique excluent les incidents qui ne résultent pas d’une intention de causer des dommages – explique Nir Perry, PDG de la plateforme d’assurance des risques cybernétiques CyberWrite.

Dans de tels cas, les dommages économiques peuvent être mesurés en dizaines de milliards de dollars, souligne Perry, notant que l’événement de la fin de la semaine dernière pourrait déclencher une ‘catastrophe d’assurance’.

L’incident pourrait également inciter à des actions en justice contre CrowdStrike et Microsoft.

CrowdStrike et Microsoft n’ont pas immédiatement répondu à la demande de commentaires de Reuters sur les allégations du secteur de l’assurance.

Les experts des compagnies d’assurance soulignent que la défaillance du système à la fin de la semaine dernière ne peut pas être classée comme ‘force majeure’. Une telle clause dégage les entreprises de leur responsabilité pour une catastrophe imprévisible et inévitable qui les a empêchées de remplir leurs obligations contractuelles.

– Cela devrait être couvert par l’assurance cybernétique… Un tel événement n’est pas hors de notre contrôle – explique Meredith Schnur, responsable de la pratique cybernétique aux États-Unis et au Canada chez la société de courtage Marsh.