Rédigé par Jean-Georges NANOT, le 13 mai 2026
Sommaire
- Comprendre le ransomware en 2026
- Ce que couvre vraiment l’assurance cyber face au ransomware
- Exclusions et conditions de souscription 2026
- Process sinistre ransomware : les 48 heures critiques
- Conclusion : payer ou non, l’assurance reste la dernière ligne
- Cas-type : ransomware ETI distribution, décision de ne pas payer
- Questions fréquentes
Introduction
Selon le panorama de la cybermenace 2025 de l’ANSSI, le ransomware reste la première menace cyber en France en volume et en impact pour les entreprises. Plus de 1 200 incidents significatifs ont été traités par les équipes de l’État sur l’année, dont 60 % visaient des ETI et des PME. Le montant moyen des rançons demandées a augmenté de 38 % entre 2023 et 2025, et le coût total moyen d’un sinistre ransomware atteint désormais 4,17 M€ en France selon le rapport IBM Cost of a Data Breach 2024.
Face à cette menace, l’assurance cyber est devenue un outil de gouvernance financière incontournable. Mais les polices ont évolué : ce qu’elles couvrent en 2026 n’est plus ce qu’elles couvraient en 2020. Les conditions de souscription se sont durcies, les exclusions se sont précisées, et la sanctions clause OFAC encadre strictement le paiement de rançon. CBE Consulting accompagne les directions financières et DSI dans la structuration de leur couverture cyber face au ransomware. Cet article décrit la menace, ce que couvre vraiment une police cyber moderne, les exclusions à surveiller, et le process opérationnel en cas de sinistre.
1. Comprendre le ransomware en 2026
Évolution des menaces et techniques
Le ransomware de 2026 n’a plus grand-chose à voir avec le ransomware des années 2017-2019 (WannaCry, NotPetya). Trois transformations majeures :
Professionnalisation des attaquants : les groupes criminels opèrent en mode “ransomware-as-a-service” (RaaS). Les développeurs de logiciels malveillants louent leurs outils à des affiliés qui exécutent les attaques. Cette spécialisation rend les attaques plus sophistiquées, mieux ciblées, et plus difficiles à détecter en amont.
Double extorsion systématique : depuis 2020, les attaquants exfiltrent les données avant de les chiffrer. Si l’entreprise refuse de payer la rançon, les données sont publiées sur des sites publics ou vendues. Cette double menace (chiffrement plus divulgation) augmente la pression psychologique et financière sur les dirigeants.
Ciblage des supply chains et fournisseurs IT : les attaquants compromettent un prestataire IT (hébergeur cloud, MSP, infogérant) puis propagent l’attaque à ses clients. Cas emblématiques : Kaseya (2021), MOVEit (2023). Une ETI peut être touchée par ransomware sans avoir été elle-même la cible initiale.
Profils d’attaquants et écosystème criminel
Trois grandes familles d’acteurs structurent le paysage 2026 :
- Groupes criminels structurés : LockBit (jusqu’à son démantèlement partiel en 2024), Black Basta, Cl0p, Akira, Play. Logique purement lucrative. Ciblent les ETI et les grands comptes en fonction de leur capacité estimée à payer.
- Affiliés indépendants : pirates utilisant les outils RaaS loués aux groupes principaux. Profils variés, moins prévisibles.
- Acteurs étatiques : groupes liés à des États (Russie, Corée du Nord, Iran, certaines factions chinoises) utilisant le ransomware comme outil de financement ou de déstabilisation. Plus rares mais plus complexes à traiter (sanctions clause).
L’écosystème criminel inclut aussi des négociateurs spécialisés (souvent les mêmes pour chaque groupe), des fournisseurs de cryptomonnaies pour le paiement, et des plateformes de divulgation sur le dark web.
Coût moyen et impact
Selon l’IBM Cost of a Data Breach Report 2024 et les données ANSSI :
- Coût moyen total d’un sinistre ransomware pour une ETI française : 4,17 M€
- Durée moyenne d’arrêt opérationnel : 18 à 28 jours
- Composantes du coût : pertes d’exploitation 45 à 55 %, forensic et reconstitution 25 à 35 %, frais juridiques RGPD 8 à 12 %, communication de crise 5 à 8 %, rançon (si payée) 5 à 15 %
- Taux d’entreprises qui paient la rançon : en baisse, de 50 % en 2020 à environ 25 % en 2025
Le coût économique total dépasse de 5 à 8 fois le montant de la rançon demandée. Ne pas payer la rançon n’élimine pas le sinistre, c’est seulement une décision parmi plusieurs.
2. Ce que couvre vraiment l’assurance cyber face au ransomware
Les cinq garanties activables
Une police cyber moderne activée en cas de ransomware couvre cinq grandes composantes :
1. Frais d’investigation et de forensic : prise en charge par une équipe spécialisée (Mandiant, Kivu, Arete, Crowdstrike, NTT Security) mandatée par l’assureur. Investigation des vecteurs d’entrée, périmètre compromis, données exfiltrées. Coût typique 50 à 250 K€ pour une ETI.
2. Reconstitution du SI et des données : remplacement des matériels compromis, réinstallation des systèmes, restauration des sauvegardes, audit de sécurité post-incident. Coût 100 à 400 K€ pour une ETI.
3. Pertes d’exploitation : indemnisation de la perte de revenus pendant l’arrêt opérationnel, sur la période d’indemnisation négociée (typiquement 6 à 12 mois). Souvent le poste le plus important du sinistre.
4. Cyber-extorsion : couvre, sous strictes conditions, le paiement de la rançon, les honoraires du négociateur agréé, les frais annexes (cryptomonnaies, achat de Bitcoin sur plateformes régulées).
5. Frais juridiques et notifications RGPD : avocats spécialisés, notifications CNIL et personnes concernées (4 200 personnes affectées dans un cas type récent), défense contre actions civiles, frais d’expertise judiciaire.
Notre guide sur l’assurance cyber détaille l’ensemble des sept garanties d’une police cyber moderne, ainsi que leurs sous-limites.
Le mécanisme de paiement de rançon
Le paiement de la rançon par l’assureur cyber suit un protocole strict en 2026 :
- Étape 1 : déclaration immédiate à l’assureur via la hotline 24/7
- Étape 2 : mobilisation du négociateur agréé (Coveware, Kivu, Mandiant Negotiations, Arete Negotiation Services)
- Étape 3 : analyse de la qualité technique du chiffrement (le déchiffrement post-paiement est-il fiable ?)
- Étape 4 : vérification de la sanctions clause OFAC : le bénéficiaire de la rançon est-il sur une liste de sanctions ?
- Étape 5 : recommandation de l’assureur et du négociateur (payer ou non)
- Étape 6 : décision finale de l’entreprise (l’assureur n’oblige jamais à payer)
- Étape 7 : si paiement, exécution via canaux régulés (cryptomonnaies depuis exchanges agréés, traçabilité fiscale)
Ce protocole prend généralement 5 à 15 jours selon la complexité, période pendant laquelle l’entreprise opère en mode dégradé.
Sanctions OFAC : la clause limitante
L’OFAC (Office of Foreign Assets Control, agence du Trésor américain) publie une liste de personnes et entités sanctionnées (SDN List) avec lesquelles tout paiement est illégal pour les acteurs sous juridiction américaine. Plusieurs groupes de ransomware ont été ajoutés à cette liste depuis 2020 : Evil Corp (2019), TrickBot, Conti (en partie), certaines factions de LockBit.
Si l’attaquant identifié figure sur la SDN List, le paiement de la rançon est illégal et non couvert par l’assurance. La sanctions clause de la police active automatiquement cette exclusion. L’entreprise doit alors gérer sans paiement de rançon : reconstitution depuis sauvegardes ou abandon partiel des données.
Cette dimension explique en partie la baisse du taux de paiement depuis 2020. La pression réglementaire et la sanctions clause incitent fortement à reconstituer plutôt que payer.
3. Exclusions et conditions de souscription 2026
War exclusion étendue
Depuis les jurisprudences Merck v. ACE (2022) et Mondelez v. Zurich (2023), les tribunaux ont confirmé que les cyberattaques attribuées à un État peuvent être exclues au titre de la war exclusion des polices cyber. Cette décision a poussé les assureurs à durcir leur formulation : exclusion de tout cyber-acte attribuable à un acteur étatique ou para-étatique.
À négocier finement avec l’assureur : une formulation trop large (excluant toute attaque “originaire” d’un pays donné) crée un risque majeur car l’attribution étatique est souvent contestée. La formulation à privilégier exige une attribution officielle par les autorités américaines ou européennes (CISA, ANSSI), pas une simple présomption.
Négligence grave et défauts de patch
Les assureurs cyber excluent désormais explicitement les sinistres causés par une négligence grave : non-application de patchs critiques connus depuis plusieurs mois, absence totale de MFA sur les accès privilégiés, pratiques manifestement insuffisantes. Cette exclusion ne s’applique pas aux défaillances raisonnables mais aux manquements caractérisés.
Pour limiter l’application de cette exclusion, deux mesures : disposer d’un programme de patch management documenté (politique, fréquence, exceptions documentées) et démontrer que les pratiques en place sont conformes aux référentiels (NIST CSF, ANSSI guide PSSI).
Exigences techniques minimales
En 2026, les assureurs n’accordent plus de couverture cyber sans un socle minimal de cyber-sécurité :
- MFA généralisée sur les accès distants et privilégiés
- EDR (Endpoint Detection and Response) ou antivirus nouvelle génération
- Sauvegardes immuables (offline ou cloud isolé non modifiable)
- Plan de réponse aux incidents documenté et testé annuellement
- ** Gestion des comptes à privilèges (PAM, vault de mots de passe)
- Patch management documenté
Le questionnaire de souscription compte 60 à 120 questions. Pour les ETI, un audit préalable par un préventionniste mandaté est devenu standard. Notre guide sur l’audit des risques entreprise intègre le volet cyber dans une démarche globale.
Diagnostic gratuit de votre couverture ransomware
Vous avez une police cyber souscrite il y a plus de 18 mois, ou pas de couverture cyber actuellement ? CBE Consulting réalise un diagnostic gratuit de votre exposition ransomware et de votre couverture. 30 minutes en visioconférence, sans engagement.
Demander un diagnostic → · 09 80 43 16 34 · secretariat@cbeconsulting.fr
4. Process sinistre ransomware : les 48 heures critiques
Détection et déclaration
Les premières heures suivant la détection d’une compromission ransomware conditionnent largement l’issue du sinistre. Six actions à mener en parallèle dans les 6 premières heures :
- Activer la cellule de crise interne (DG, DSI, RSSI, juridique, communication, RH)
- Isoler les systèmes compromis pour éviter la propagation (déconnexion réseau, ne pas éteindre)
- Préserver les preuves (logs, mémoire RAM, indicateurs de compromission)
- Contacter la hotline cyber de l’assureur (numéro inscrit en page de garde de la police)
- Ne pas tenter de négociation autonome avec les attaquants
- Préparer la communication initiale (interne et externe selon le périmètre touché)
La rapidité de la déclaration à l’assureur conditionne souvent le succès de la résolution. Une déclaration tardive de plus de 48 heures peut entraîner des restrictions de couverture.
Forensic et préservation des preuves
L’équipe forensic mandatée par l’assureur intervient dans les 24 à 48 heures, généralement à distance d’abord, sur site ensuite si nécessaire. Trois objectifs :
- Identifier le vecteur d’entrée : phishing, exploit, compromission prestataire, accès distant
- Mesurer le périmètre compromis : machines touchées, comptes utilisés, données accédées
- Évaluer l’exfiltration : quelles données ont été sorties, vers quelle destination, qualifier le RGPD applicable
Le forensic produit un rapport technique qui sert de base à toutes les décisions suivantes : paiement ou non, reconstitution, notifications, défense juridique.
Décision sur la rançon et reconstitution
Au-delà du forensic, la décision majeure est de payer ou non. Critères de décision typiques :
- Qualité des sauvegardes : si les sauvegardes immuables sont intactes et exploitables, la reconstitution est préférable
- Périmètre exfiltré : si des données sensibles ont été exfiltrées, payer ne supprime pas le risque de divulgation (même promesse rompue côté attaquants)
- Vérification sanctions OFAC : si interdiction, pas de choix
- Position de l’État français : depuis 2024, la position officielle est de ne pas payer
- Calcul coût-bénéfice : rançon vs coût de reconstitution depuis sauvegardes
En 2025, environ 75 % des entreprises françaises touchées choisissent désormais de ne pas payer. La reconstitution depuis sauvegardes immuables a démontré son efficacité quand le dispositif est correctement préparé en amont.
5. Conclusion : payer ou non, l’assurance reste la dernière ligne
Le ransomware reste en 2026 la première cyber-menace pour les ETI françaises. L’assurance cyber bien dimensionnée couvre 70 à 95 % du préjudice d’un sinistre ransomware, à condition que les exigences techniques de souscription soient respectées en amont, que la déclaration soit rapide en cas de sinistre, et que la décision de payer ou non soit prise en pleine information. Pour engager un audit personnalisé de votre couverture cyber face au ransomware, contactez les équipes CBE Consulting via la page contact.
6. Cas-type : ransomware ETI distribution, décision de ne pas payer
Contexte : ETI française de distribution B2B (CA 140 M€, 320 salariés, 4 entrepôts logistiques, ERP central). Police cyber souscrite 2 mois avant l’attaque : plafond 2 M€, franchise 50 K€, garantie cyber-extorsion incluse.
Détection et déclaration (mai 2024) :
- Lundi 6h00 : DSI découvre que l’ERP est chiffré, message de rançon affiché
- Lundi 9h00 : déclaration à l’assureur cyber via hotline 24/7
- Lundi 12h00 : équipe forensic Mandiant sur site
Investigation forensic (jour 1 à 5) :
- Vecteur identifié : phishing ciblé sur un comptable il y a 6 jours
- Élévation de privilèges en 4 jours, déploiement du ransomware le jour 5
- Exfiltration de 220 Go de données (clients, financier, RH)
- Groupe identifié : Black Basta (non sanctionné OFAC, paiement légalement possible)
Demande de rançon : 1,8 M€ en Bitcoin, déchiffrement promis sous 24h après paiement
Décision prise vendredi (jour 5) :
- Sauvegardes immuables intactes (vérifiées par le forensic) : reconstitution possible
- Données exfiltrées : risque de divulgation maintenu même si paiement
- Position de l’État français : recommandation de ne pas payer
- Décision : ne pas payer, reconstituer depuis sauvegardes
Reconstitution (jour 5 à 17) :
- Jour 6 à 10 : reconstruction des serveurs critiques
- Jour 11 à 14 : restauration progressive de l’ERP en mode dégradé
- Jour 15 à 17 : reprise complète des opérations
Coûts finaux :
- Forensic : 85 K€
- Reconstitution SI (équipe externe et heures internes) : 240 K€
- Communication de crise : 45 K€
- Pertes d’exploitation pendant 17 jours d’arrêt partiel : 1,2 M€
- Frais juridiques RGPD et notifications CNIL (4 200 personnes) : 35 K€
- Total préjudice : 1,605 M€
Indemnisation assurance :
- Plafond police 2 M€ ✓
- Franchise 50 K€
- Sous-limites respectées
- Indemnisation finale : 1,480 M€ (92 % du préjudice couvert)
- Reste à charge : 125 K€
Enseignement : la rapidité de la déclaration (3 heures après détection) et la qualité des sauvegardes immuables (mises en place 6 mois plus tôt sur recommandation d’un audit cyber) ont permis d’éviter le paiement de la rançon. Sans police cyber, ce sinistre aurait amputé l’EBITDA de l’année à hauteur de 1,6 M€, soit 11 % de l’EBITDA 2023.
Cas-type construit à partir des rapports ANSSI Panorama de la cybermenace 2024, Mandiant M-Trends 2024, et IBM Cost of a Data Breach 2024.
Faites diagnostiquer votre exposition ransomware par CBE Consulting
Nos consultants vous proposent :
- Un diagnostic gratuit de votre dispositif cyber-sécurité et de votre couverture assurance face au ransomware
- Une revue des exigences techniques pour optimiser vos conditions
- Une recommandation chiffrée d’évolution de votre couverture
Sans engagement, en visioconférence de 30 minutes.
Téléphone : 09 80 43 16 34 Email : secretariat@cbeconsulting.fr
7. Questions fréquentes
Faut-il payer une rançon en cas de ransomware ? La décision finale appartient à l’entreprise. En 2026, le taux de paiement est en baisse (environ 25 % vs 50 % en 2020). Plusieurs facteurs incitent à ne pas payer : position officielle de l’État français, qualité grandissante des sauvegardes immuables, risque de divulgation maintenu même après paiement, sanctions OFAC sur certains groupes. La rançon ne représente que 5 à 15 % du coût total d’un sinistre ransomware. Une bonne préparation (sauvegardes immuables, plan de réponse, assurance cyber) permet généralement de reconstituer sans payer.
L’assurance cyber paie-t-elle vraiment la rançon ? Oui, sous conditions strictes. Le contrat doit inclure une garantie cyber-extorsion (parfois optionnelle). Le paiement doit être validé par l’assureur et son négociateur agréé. La sanctions clause OFAC s’applique : si l’attaquant figure sur la SDN List, le paiement est illégal et non couvert. En pratique, l’assureur recommande très souvent de ne pas payer et couvre alors les coûts de reconstitution. Quand le paiement est effectué, il passe par des canaux régulés (cryptomonnaies depuis exchanges agréés).
Combien coûte un sinistre ransomware en moyenne ? Selon IBM Cost of a Data Breach 2024 et ANSSI, le coût moyen total pour une ETI française est de 4,17 M€. Composition : pertes d’exploitation 45 à 55 %, forensic et reconstitution 25 à 35 %, frais juridiques RGPD 8 à 12 %, communication de crise 5 à 8 %, rançon (si payée) 5 à 15 %. Le coût réel dépend fortement de la qualité de la préparation et de la rapidité de la réponse. Une entreprise bien préparée peut limiter le coût à 1 à 2 M€.
Combien coûte une assurance cyber capable de couvrir un ransomware ? Ordres de grandeur 2026 pour une ETI : 25 000 à 80 000 € par an pour un plafond de 5 à 10 M€ couvrant un sinistre ransomware complet. La prime varie selon le profil de risque, la qualité du dispositif cyber-sécurité, l’historique de sinistralité, le secteur. Une ETI mature en cyber-sécurité (MFA généralisée, EDR, sauvegardes immuables, formation annuelle) obtient des conditions 25 à 40 % meilleures qu’une ETI sans dispositif.
Quels sont les pré-requis techniques exigés par les assureurs ? Socle minimal 2026 : MFA généralisée sur les accès distants et privilégiés, EDR ou antivirus nouvelle génération, sauvegardes immuables (offline ou cloud isolé), plan de réponse aux incidents documenté et testé annuellement, formation phishing annuelle avec exercices, gestion des comptes à privilèges (PAM), patch management documenté. Sans ce socle, les assureurs refusent ou exigent des franchises et exclusions dissuasives. Un audit cyber préalable est devenu standard pour les ETI.
Que faire dans les premières heures suivant la détection d’un ransomware ? Six actions en parallèle dans les 6 premières heures : 1) activer la cellule de crise interne, 2) isoler les systèmes compromis sans les éteindre, 3) préserver les preuves (logs, mémoire), 4) contacter la hotline cyber de l’assureur, 5) ne pas tenter de négociation autonome, 6) préparer la communication initiale. La rapidité de la déclaration à l’assureur conditionne largement l’issue du sinistre. Une déclaration tardive de plus de 48 heures peut entraîner des restrictions de couverture.
À propos de l’auteur : Jean-Georges NANOT
Jean-Georges NANOT est courtier-conseil et fondateur de CBE Consulting, cabinet de courtage en assurances internationales basé en France. Il accompagne les ETI françaises à activité internationale et les filiales étrangères en France dans la structuration de leurs programmes d’assurance, l’audit de leurs risques et le pilotage de leurs sinistres.
ORIAS N° 15000172 LinkedIn : [à compléter] Voir tous les articles de l’auteur
À propos de cet article
Cet article a été rédigé par Jean-Georges NANOT pour vous apporter une vision experte sur le sujet traité. Les informations présentées sont d’ordre général et ne se substituent pas à un audit personnalisé. Chaque situation requiert une analyse spécifique de votre exposition aux risques. Pour une évaluation adaptée à votre entreprise, prenez contact avec nos équipes.
CBE Consulting, Cap de Bonne-Espérance Consulting, courtier d’assurances. ORIAS N° 15000172 Autorité de contrôle : ACPR, 4 place de Budapest, 75009 Paris.
Sources et références
- ANSSI, Panorama de la cybermenace 2024 et 2025
- Cybermalveillance.gouv.fr
- IBM Cost of a Data Breach Report 2024
- Mandiant M-Trends 2024
- ENISA Threat Landscape 2024
- OFAC SDN List, Treasury Department US
- CNIL, recommandations RGPD et incidents
- Coveware, Ransomware Quarterly Report
- ACPR, autorité de contrôle prudentiel et de résolution
Featured Industries
Become an Expert!
Get the latest insights from our newsletter.
Free 31 page Blueprint For Consultants
Complex situation, changing demands and dynamic market environment make today's business even more challenging.