Cyberattaque NotPetya : l'assureur Zurich devant la justice

Filiale américaine de la compagnie d’assurance suisse Zurich, Zurich American Insurance Company a été attaqué en justice par l’un de ses clients, Mondelēz International, multinationale agroalimentaire américaine. En cause, le refus de l’assureur d’indemniser son client suite à la cyberattaque NotPetya. Coup de projecteur.  

Une première indemnisation refusée

Dans le cadre de son recours judiciaire intenté devant la Cour de l’Etat de l’Illinois, le groupe Mondelēz réclame la bagatelle de 100 millions de dollars (environ 88 millions d’euros) à Zurich American Insurance Company au titre du préjudice causé par la cyberattaque NotPetya le 27 juin 2017.

Pour indemniser les dommages subis, Zurich avait à l’origine proposé une indemnisation de 10 millions de dollars (environ 8,7 millions d’euros).

Devant le refus de Mondelēz, l’assureur a ensuite rejeté toute indemnisation se prévalant d’une clause d’exclusion du contrat d’assurance professionnelle.

1 700 serveurs et 24 000 ordinateurs endommagés

Selon le groupe Mondelēz International, il s’agit là d’une prise de position « sans précédent » de la part d’un assureur alors que l’entreprise agroalimentaire a subi la perte de 1 700 serveurs et dû composer avec l’infection de 24 000 ordinateurs à cause du ver informatique NotPetya.

Pourtant, la formule d’assurance dommages aux biens souscrite par l’entreprise prévoit notamment l’indemnisation pour « tous les risques de pertes physiques ou dégâts matériels » ainsi que les « pertes physiques ou dommages » imputables à des « programmes », à des « logiciels » ou à des « données électroniques » résultant de l’« introduction malveillante d’une instruction ou d’un code générés par une machine ».

S’il n’est pas fait droit à l’action intentée par Mondelēz, il ne fait aucun doute que de nombreuses entreprises voudront revoir leurs contrats d’assurance dommages pour être couvertes dans une situation semblable. Il se peut aussi que cette affaire suscite un intérêt accru des entreprises pour la souscription d’une cyberassurance.