Cyberassurance pour entrepôts : après un ransomware sur le WMS, trois factures arrivent

Nous avions un client, un 3PL dans l'est de la Chine qui exploitait une installation de 40,000 mètres carrés pour des marques de grande consommation. Un mardi matin de septembre 2024, leur écran de connexion au WMS s'est transformé en demande de rançon. Les attaquants étaient entrés par un serveur d'impression qui n'avait pas été corrigé depuis des années, avaient chiffré la base de données et exigeaient $350,000 en bitcoin : payer sous 72 heures, sinon la clé de déchiffrement serait supprimée.

La première question du propriétaire pour moi : « Susan, nous avons souscrit une cyberassurance l'an dernier, est-ce qu'elle paie maintenant ? » Je lui ai dit : doucement. Additionnons d'abord les trois factures, puis regardons la police.

Facture un : la rançon : payer ou ne pas payer

Voici un secret de polichinelle du côté fournisseur : parmi les entreprises qui paient la rançon, moins de la moitié reçoivent un outil de déchiffrement pleinement fonctionnel. Le FBI et toutes les agences nationales de cybersécurité disent « ne payez pas », mais la réalité est que de nombreuses entreprises ont discrètement payé en 2024, parce que l'arrêt coûtait plus cher.

Ce client n'a pas payé. Pourquoi ? Son équipe informatique externalisée a évalué que, si la base de données était chiffrée, le WCS (système de contrôle d'entrepôt) et l'équipement automatisé se trouvaient sur un segment de réseau séparé, intacts. Le picking pouvait avancer tant bien que mal avec des tickets papier. Payer $350,000, c'était acheter un outil de déchiffrement qui pourrait fonctionner ; ne pas payer, c'était serrer les dents pendant quelques jours d'exploitation manuelle. Cet arbitrage est différent pour chaque entrepôt : plus votre installation est automatisée, moins « on tournera en manuel quelques jours » est une option. Quand le WMS d'un AS/RS entièrement automatisé tombe, tout le bâtiment n'est plus que du rayonnage en acier très cher.

Et voici le point contre-intuitif : la plupart des gens supposent que le ransomware, c'est du vol de données. Pour un entrepôt, le tueur, c'est le chiffrement des systèmes de production. Des données clients divulguées, c'est un problème juridique et d'image ; un WMS chiffré, c'est un problème qui brûle de l'argent chaque minute.

Facture deux : le temps d'arrêt : ce que coûte vraiment un jour d'arrêt

Du mardi 8h, découverte de l'attaque, au dimanche soir, retour des systèmes, ils sont restés arrêtés six jours pleins. Je les ai aidés à faire le calcul :

Regardez bien : $350,000 de rançon contre $1,030,000 de pertes d'arrêt. Le chiffre de la demande de rançon n'est jamais le plus gros chiffre. Le temps d'arrêt, lui, l'est. C'est pourquoi certaines entreprises paient discrètement : $350,000 pour stopper une hémorragie de $1,030,000, c'est une bonne arithmétique, même si personne ne l'avoue en public.

Nous avions un autre client, début 2025, un entrepôt de e-commerce transfrontalier dans le sud de la Chine, une histoire plus typique. Pas une attaque ciblée : un employé administratif a cliqué sur un e-mail de phishing déguisé en « facture », le malware s'est propagé latéralement et, deux jours plus tard, le système financier et le WMS étaient chiffrés. Petite installation, 3,000 commandes par jour, quatre jours d'arrêt, environ $150,000 de pertes. Le propriétaire m'a dit : « Susan, je pensais que les hackers ne s'en prenaient qu'aux grandes entreprises. » Les hackers se moquent de la taille de votre entrepôt. Ils scannent automatiquement des plages d'IP et les essaient une par une. S'ils entrent, ils entrent.

Facture trois : la reprise des données : si vos sauvegardes vous sauvent dépend de trois choses

Beaucoup de gens achètent des sauvegardes et dorment tranquilles. J'ai vu trop de « nous avions des sauvegardes mais impossible de restaurer » : des sauvegardes sur le même segment de réseau, chiffrées en même temps que la production ; des sauvegardes tournant depuis trois ans mais jamais testées une seule fois, et le jour de la restauration révèle des fichiers corrompus ; une fenêtre de rétention de 7 jours alors que les attaquants rôdaient depuis 20 jours, donc chaque sauvegarde contenait déjà le malware.

Que la reprise vous sauve dépend de trois choses, toutes non négociables :

1. Isolé et hors site : les sauvegardes doivent être physiquement isolées du réseau de production : bande hors ligne ou stockage immuable. Une sauvegarde posée à côté de la production n'est pas une sauvegarde.
2. Des exercices réguliers : faites un exercice de restauration complète chaque trimestre, chronomètre en main. Un exercice vous dit si votre « reprise en 4 heures » fait vraiment 4 heures ou 4 jours.
3. Une rétention suffisante : au moins 30 jours, idéalement 90. La durée de présence du ransomware se mesure en semaines. Une fenêtre de rétention de 7 jours, c'est du théâtre.

Ce client a fini par dépenser $110,000 en reprise et reconstruction : une société de sécurité externe pour nettoyer le réseau, réinstaller les serveurs, restaurer depuis une sauvegarde hors ligne vieille de 40 jours, puis ressaisir manuellement six jours d'exploitation papier. $110,000 pour une leçon très chère.

Revenons à la police : vous avez souscrit une cyberassurance, est-ce qu'elle paie vraiment ?

Revenons maintenant à la question initiale du propriétaire. La cyberassurance couvre généralement trois choses : la rançon elle-même (certaines polices), les pertes d'exploitation et les coûts de reprise des données. Ça a l'air génial. Mais voici la partie d'initié que seul le côté fournisseur connaît : il y a deux mines enterrées dans les exclusions.

La mine un, c'est le « défaut de maintien d'une sécurité raisonnable ». Presque toutes les polices l'ont. Traduit en langage humain : si vous n'avez jamais corrigé et que votre mot de passe était encore admin123, l'assureur peut invoquer la faute lourde et refuser le sinistre. Pour le client ci-dessus, ce serveur d'impression non corrigé a failli devenir le motif de refus : le courtier a fermement soutenu que la gestion des correctifs avait été externalisée au prestataire informatique, brouillant la ligne de responsabilité, et a obtenu un paiement partiel.

La mine deux, c'est l'« exclusion de guerre et d'acteurs étatiques ». Certaines polices récentes excluent les attaques « attribuables à des acteurs étatiques », et l'attribution elle-même est un gâchis que personne ne peut prouver proprement. L'assureur dit que ça ressemble à une opération étatique ; bon courage pour prouver le contraire.

Donc mon verdict : la cyberassurance n'est pas une arnaque, mais c'est un produit à paiement conditionnel. Les primes annuelles tournent autour de 1%–3% du montant de couverture : une police de $2 million coûte $20,000–$60,000 par an. Face à $1,030,000 de pertes d'arrêt, c'est de l'argent bien dépensé, mais seulement si votre sécurité de base est déjà assez bonne pour que les clauses d'exclusion ne puissent pas vous toucher. Sinon, ce que vous avez acheté n'est pas une assurance, c'est un placebo.

La prochaine fois que vous négociez un contrat, posez ces trois questions

Que vous négociiez la police avec l'assureur ou la clause de responsabilité sécurité d'un contrat d'entreposage 3PL avec votre client, posez ces trois questions :

1. « Au titre du "défaut de maintien d'une sécurité raisonnable", qu'est-ce qui compte précisément ? » Faites-les-en dresser la liste point par point. Une exclusion qu'ils ne peuvent pas énumérer, c'est juste de l'intimidation.
2. « Pour l'interruption d'activité, payez-vous les pertes réelles ou un montant journalier fixe ? » Si ce sont les pertes réelles, demandez quelles preuves ils exigent. Si c'est un montant journalier, vérifiez qu'il couvre votre dépense quotidienne réelle.
3. « Les exercices de sauvegarde et de restauration sont-ils inscrits dans les conditions de couverture ? » Certaines polices exigent des exercices trimestriels avec dossiers archivés : si vous les manquez, votre couverture se réduit. Demandez avant, pas après le sinistre.

Et un mot honnête du côté fournisseur : chers clients, les dépenses de sécurité ressemblent toujours à un pur coût, jusqu'au jour où elles ressemblent à l'argent qui vous a sauvé. N'attendez pas que votre écran de connexion au WMS se transforme en demande de rançon pour demander à Susan si elle connaît un bon courtier en assurance.

Par Susan, Directrice des ventes 3PL

Traduit de l'anglais. En cas de divergence, la version anglaise fait foi.