La cybercriminalité n’a depuis longtemps plus rien à voir avec l’image du hacker solitaire enfermé dans une chambre obscure. Ceux qui pensent encore aujourd’hui que les cyberattaques sont le fait de geeks isolés tentant, au petit bonheur la chance, de s’introduire dans quelques systèmes, sous-estiment profondément la réalité. La cybercriminalité a évolué vers un véritable modèle économique professionnel, avec ses équipes spécialisées, sa répartition claire des tâches, ses formules par abonnement et une logique économique aussi efficace que celle des entreprises légitimes. 

Cette prise de conscience progresse peu à peu dans les entreprises belges. La plupart des organisations comprennent désormais que le cyber-risque n’est plus un problème théorique, mais une menace bien concrète. Les entreprises investissent dans l’authentification multifactorielle, forment leurs collaborateurs à reconnaître les courriels de phishing et segmentent leurs réseaux bien mieux qu’il y a dix ans. Ces progrès sont réels. 

Mais, parallèlement, une erreur fondamentale de raisonnement persiste : les entreprises continuent trop souvent à traiter leur cyber-risque comme s’il était comparable à celui de leurs homologues sectoriels. En particulier lorsqu’il s’agit de cyber-assurance. Et c’est précisément là que le bât blesse. 

Une cyber-assurance n’est pas un exercice de benchmarking 

Personne ne souscrit une assurance automobile en demandant d’abord à ses voisins quel niveau de couverture ils ont choisi. Pourtant, c’est exactement ce qui se passe en permanence avec les cyber-assurances. 

Les entreprises observent leurs pairs, comparent les capitaux assurés et tentent de se caler sur une moyenne. Or, les cyber-risques sont, par définition, uniques. Deux entreprises d’un même secteur peuvent subir un impact financier et opérationnel totalement différent face à un incident pourtant identique. 

Malgré cela, beaucoup d’entreprises continuent encore à raisonner d’abord en fonction du montant de la prime qu’elles souhaitent payer, plutôt qu’à partir de l’impact financier et opérationnel qu’un incident grave pourrait entraîner. Les entreprises belges présentent en outre une vulnérabilité supplémentaire : leurs comptes annuels sont accessibles au public, contrairement à ce qui se pratique dans plusieurs autres pays européens. Les cybercriminels peuvent ainsi évaluer relativement facilement la capacité financière d’une entreprise et estimer le niveau de pression qu’ils pourraient exercer. 

Cybercrime-as-a-service 

La professionnalisation de la cybercriminalité rend cette erreur de raisonnement encore plus dangereuse. 

Aujourd’hui, les cybercriminels fonctionnent comme des entreprises modernes. Certains développent des malwares, d’autres se spécialisent dans les campagnes de phishing ou les manipulations par ingénierie sociale. Il existe même des négociateurs dont l’unique mission consiste à gérer les discussions liées aux rançons. Des modèles de collaboration ont également vu le jour, dans lesquels des infrastructures ou des logiciels sont mis à disposition d’autres groupes criminels moyennant paiement : c’est ce que l’on peut appeler le cybercrime-as-a-service. 

Le modèle économique qui sous-tend cette activité est particulièrement attractif. Les gains potentiels sont énormes, tandis que les risques restent relativement limités. Un voleur traditionnel doit être physiquement présent. Un cybercriminel, lui, peut opérer à des milliers de kilomètres, souvent derrière des identités volées ou via des comptes piratés. 

Et l’intelligence artificielle accélère encore cette évolution. 

Il y a trois ans, les courriels de phishing étaient encore souvent reconnaissables à leur amateurisme : traductions douteuses, expéditeurs suspects et mise en page maladroite. Aujourd’hui, l’IA est capable d’imiter parfaitement le style d’écriture d’un collègue, jusque dans le ton, le vocabulaire et le contexte interne. Une attaque qui fonctionne contre une entreprise peut ensuite être reproduite à très grande vitesse auprès de centaines d’autres organisations. Le jeu du chat et de la souris entre les entreprises et les cybercriminels devient ainsi de plus en plus déséquilibré. 

Le temps c’est de l’argent 

Cela ne signifie pas pour autant que les entreprises sont impuissantes. 

La plus grande erreur qu’une organisation puisse commettre est de croire que la cybersécurité constitue un objectif définitif. Comme si un investissement réalisé aujourd’hui suffisait à garantir une protection pour les années à venir. En réalité, la cybersécurité est un processus permanent d’adaptation. 

Mais il est tout aussi essentiel de se préparer pour le moment où, malgré tout, les choses tourneraient mal. 

Lors d’attaques majeures par ransomware, tout se joue dans la rapidité de réaction. Plus une organisation parvient rapidement à redevenir opérationnelle, plus le pouvoir de négociation des cybercriminels diminue. Une entreprise qui a déjà rétabli 80 pour cent de ses activités après trois semaines se trouve dans une position bien plus forte qu’une société totalement paralysée. Cela modifie le rapport de force. 

Les cybercriminels misent sur la panique, la pression du temps et les pertes économiques pour contraindre leurs victimes à payer. Les organisations préparées, qui ont prévu des processus alternatifs et qui sont capables de redémarrer plus vite, réduisent considérablement cette pression. 

La cybersécurité, un véritable sujet de bonne gouvernance 

Trop de dirigeants considèrent encore la cybersécurité comme un dossier purement technique relevant du département IT. C’est une erreur. 

Aujourd’hui, la cybercriminalité touche le cœur même de chaque entreprise : la production, le chiffre d’affaires, la réputation, les relations clients et la propriété intellectuelle. Il n’est donc plus seulement question de pare-feu et de mises à jour logicielles, mais bien de gestion stratégique des risques. 

Et c’est précisément pour cette raison que les entreprises doivent cesser de se comparer à leur voisin. 

Les cybercriminels, eux non plus, ne traitent pas leurs victimes selon des moyennes. Ils analysent leurs vulnérabilités individuelles, leur capacité financière et leurs dépendances opérationnelles. Les entreprises belges devraient organiser leur défense selon la même logique. 

Dans un monde où les cybercriminels fonctionnent comme de véritables entreprises, il ne suffit plus de se protéger comme si l’on faisait encore face à des amateurs. 

Marco Salvatore, spécialiste des cyber-risques chez AON