Selon Reuters, « des initiés du secteur et des experts » estiment que les assureurs sont amenés à examiner si les clients du secteur des cryptomonnaies présentent des vulnérabilités face à des vols informatiques, comme l’opération présumée attribuée à la Corée du Nord qui a emporté 6,3 milliards de dollars sur l’échange mondial Binance la semaine dernière.
Jacqueline Quintal, responsable des institutions financières et du secteur des actifs numériques chez Marsh, le courtier en assurance, a confié à l’agence qu’elle ne voudrait pas être la personne qui renouvelle ou rédige une police d’assurance pour une entité crypto juste pour voir un autre vol massif. La capacité d’assurance, les tarifs et la couverture ne devraient pas changer, a-t-elle ajouté, mais les questions de sécurité persisteront. Il est facile d’imaginer que cela pourrait se traduire par des obstacles plus élevés pour les polices ou par davantage de refus de réclamations. Des experts ont déclaré à Reuters que les polices couvrant des pertes aussi importantes que celles de Binance n’existent pas encore, et que l’industrie des cryptomonnaies, évaluée à plus de 2,5 billions de dollars, sera soumise à un examen plus rigoureux lors du renouvellement des polices (généralement annuellement).
Bloomberg avait auparavant rapporté que Binance assure certains cadres pour leur responsabilité personnelle, mais « contrairement à d’autres sociétés de cryptomonnaies », manquait d’assurance cyber.
« Une perte d’une telle ampleur pousse les assureurs à réexaminer l’ensemble de leur portefeuille crypto, et pas seulement l’assuré touché, en réévaluant l’exposition globale, les formulations et les sous-plafonds à travers le portefeuille », a déclaré Alan Lyons, codirigeant du groupe assurance chez le cabinet d’avocats Herrick, à Reuters.
Selon Cybersecurity Dive, la tendance générale pour les grandes entreprises et l’assurance cybersécurité a été une diminution de la fréquence des sinistres mais une flambée des indemnités, reflétant le fait que les attaques qui franchissent les défenses ont tendance à être fortement perturbatrices ou dommageables. L’Association nationale des commissaires à l’assurance (NAIC) a écrit dans un nouveau rapport que la taille moyenne des sinistres pour les entreprises réalisant au moins 1 milliard de dollars de revenus annuels était de 4,4 millions de dollars en 2025, soit une hausse de 586 % depuis 2021. Le Financial Times a évoqué cette année des inquiétudes selon lesquelles le marché global de l’assurance pourrait être sous-évalué par rapport au risque réel, pointant du doigt les primes d’assurance cyber qui ont diminué depuis 2022 malgré une augmentation des attaques.
Laurent Rousseau, de Marsh, a déclaré au quotidien qu’il existe parfois « un écart considérable entre la performance financière du secteur et la tarification des risques sous-jacents ».
Les assureurs devraient exiger que les entreprises crypto corrigent les vulnérabilités liées au fiasco Binance, selon Reuters. La vigilance pourrait aussi s’étendre aux mesures de sécurité plus globales des sociétés crypto, et les polices pourraient comporter de nouvelles exclusions (situations où un assureur refusera de payer). Lyons a déclaré à Reuters qu’un resserrement du libellé et des exclusions plus claires était une issue probable.
Marcos Alvarez, directeur général des notations des institutions financières mondiales chez Morningstar DBRS, a déclaré à Reuters qu’il restait à déterminer si les assureurs crypto paieront dans le cadre d’un incident du type Binance. Le marché mondial de l’assurance Lloyd’s exige généralement que les polices cyber comportent des exclusions pour les attaques soutenues par un État depuis 2023, par exemple.
« Si une attaque est attribuée à un État, les assureurs peuvent contester ou refuser les demandes d’indemnisation », a déclaré Alvarez. « L’efficacité de ces exclusions dans le cadre d’une perte majeure, déclenchée par des enjeux géopolitiques, reste à tester. »
« Cette combinaison d’une fréquence plus faible mais d’une gravité nettement plus élevée au sommet du marché pourrait suggérer qu’une meilleure sélection des risques et des contrôles de sécurité réduisent le nombre d’incidents qui aboutissent à une réclamation », a écrit la NAIC dans le rapport, ajoutant que les incidents qui se produisent encore deviennent « nettement plus coûteux à résoudre. »
« Bien que les attaquants alimentés par l’IA signifient que les ratios de pertes peuvent se détériorer, en particulier pour les assurés qui dépendent de piles logicielles courantes », a ajouté la NAIC, le problème central restant les chaînes d’approvisionnement — l’immense réseau de composants logiciels et matériels mal catalogués qui composent l’architecture technologique de toute organisation. Alors que le piratage de Binance aurait impliqué une fausse entrevue d’embauche et un logiciel malveillant dans une publicité, le vol de 1,4 milliard de dollars chez Bybit l’année dernière a été causé par une machine de développeur tierce compromise dans la chaîne d’approvisionnement de la plateforme d’échange.
L’IA intervient également dans l’assurance cyber à un autre niveau, aussi : l’échelle. Le Financial Times a noté que les assureurs se montrent préoccupés par le fait que le déploiement de l’IA introduit un risque systémique, et il n’est pas difficile d’imaginer comment ces inquiétudes pourraient aussi se traduire par des cyberattaques.
« L’industrie de l’assurance peut se permettre de payer une perte de 400 millions de dollars, ou 500 millions de dollars, à une seule entreprise qui a déployé une IA qui a tarifé incorrectement les vols, ou qui a donné un diagnostic médical erroné », a déclaré à Reuters Kevin Kalinich, courtier chez Aon, au journal. « Ce qu’elle ne peut pas se permettre de payer, c’est si un fournisseur d’IA commet une erreur qui se traduit par 1 000 ou 10 000 pertes — un risque systémique, corrélé et agrégé. »
