L'assureur Zurich poursuivi en justice pour son refus d’indemniser une cyberattaque

Quels dommages causés par une cyberattaque les compagnies d’assurance sont-elles tenues de dédommager? Une affaire judiciaire rapportée par le Financial Times porte la problématique sur le devant de la scène. Mondelez, multinationale agroalimentaire américaine notamment propriétaire de Toblerone, attaque Zurich Assurances en justice aux USA. Motif? L’assureur refuse de payer une indemnité de 100 millions de dollars pour les dommages causés par la cyberattaque de NotPetya. Pour rappel, cette attaque survenue en 2017 avait touché de nombreuses autres entreprises, dont le spécialiste danois du transport maritime Maersk et le géant français des matériaux Saint-Gobain.

«Il s'agira du premier différend juridique sérieux sur la façon dont les entreprises peuvent recouvrer les coûts d'une cyberattaque, alors que les groupes d'assurance cherchent à définir étroitement leurs responsabilités», fait observer le Financial Times. Se basant sur les documents juridiques déposés par Mondelez, le média américain souligne que Zurich Assurances a refusé de payer, invoquant une exclusion dans la police pour «acte hostile ou guerrier» de la part d'un gouvernement, d'une puissance souveraine ou de personnes agissant en leur nom.

Le marché des polices d'assurance couvrant spécifiquement les risques liés aux cybermenaces est en plein essor. En Suisse par exemple, Zurich Assurances, Allianz, Helvetia ou encore la Bâloise proposent des cyberassurances destinées aux PME. Mais dans le cas de la plainte visant aux Etats-Unis le groupe Zurich, Mondelez demande une indemnisation en lien à une police non spécifique aux cyber-risques. Selon des experts cités par le Financial Times, les assureurs s'inquiètent de l'ampleur de cette «cyber-exposition silencieuse» et dans cette affaire, la Zurich souhaiterait tester les tribunaux sur ce point.