L'abonnement à l'Informé est à usage individuel
Un autre appareil utilise actuellement votre compte
Continuer la lectureCyberattaque : Bouygues Construction poursuit ses assureurs
Après avoir été victime du rançongiciel Maze en 2020, le groupe français réclame plus de 20 millions d’euros à Zurich Assurance et Liberty. Un bras de fer technique et financier s’est engagé.
C’est le genre de contentieux qui risquent de devenir un classique. Trois ans après avoir été victime d’un rançongiciel, Bouygues Construction cherche à obtenir réparation devant la justice. Selon nos informations, le groupe de BTP a saisi le tribunal de commerce de Paris à l’encontre de ses assureurs Zurich et Liberty, estimant ne pas avoir été suffisamment indemnisé. Un dossier intéressant alors que ce type d’affaires se multiplie : selon une étude du cabinet Asterès, le coût des cyberattaques pour les entreprises françaises aurait avoisiné les 2 milliards d’euros l’an dernier et cette menace est le troisième plus fort risque identifié par Axa dans son rapport annuel de prospective. Juste après le réchauffement climatique et l’instabilité géopolitique depuis la guerre en Ukraine.
Chez Bouygues Construction, on se souvient très bien de ce 30 janvier 2020. Ce jour-là, la société est ciblée par le rançongiciel Maze, un programme malveillant qui bloque les systèmes informatiques en chiffrant les données. Les auteurs réclament alors le paiement d’une rançon de 10 millions d’euros contre la remise de la clef de déchiffrement nécessaire au déblocage rapide de la situation. Le groupe ne cède pas au chantage et communique rapidement : « aucun chantier n’a été arrêté et l’ensemble des données qui sortent de l’entreprise vers l’extérieur fait l’objet d’une procédure de sécurisation renforcée ». Il peut compter sur l’aide du cyberpompier de l’État, l’Agence nationale de la sécurité des systèmes d’information (Anssi) et, en parallèle, porte plainte.
Affaire réglée ? Pas vraiment. Dans les mois qui suivent, Bouygues Construction évalue le coût de cet incident à 37,5 millions d’euros ! Cette facture salée comprend la restauration des systèmes informatiques, le remplacement du matériel endommagé et des logiciels à réinstaller, la reconstitution des données et l’intervention de prestataires externes dont celle de sa filiale Bouygues Construction IT. Son expert, Gras Savoye, valide partiellement ce calcul à hauteur de 24,5 millions d’euros et poursuit son instruction sur le solde. Mais voilà, de leur côté, les assureurs contestent ce montant et Zurich s’est dit prêt à débourser 3,77 millions d’euros seulement pour solder le dossier. Insuffisant pour la société française qui décide, avant la fin des discussions à l’amiable, de saisir la justice et réclame donc 23 millions d’euros au total, soit 13 millions à Zurich et 10 millions à Liberty.
Pour le duo, hors de question de céder. La raison ? Ils estiment avoir « été confrontés à une insuffisance générale de preuve » sur les répercussions de l’attaque et notent que les pièces communiquées depuis le serveur de Bouygues Construction sont « pour l’essentiel des tableurs Excel abondants mais non justifiés ». Les différents postes de préjudice « prêtent à confusion » et « aucune justification permettant d’apprécier les prestations réalisées et le temps passé n’a été communiquée ». Enfin, ils affirment ne pas avoir été « étroitement associés au déroulement des opérations de restauration du système et ont été surpris d’en découvrir l’ampleur et la durée ».
Surtout, Zurich soulève un autre problème. Dès le mois de mai 2019, soit sept mois avant le sinistre, Gastier, filiale canadienne du groupe de BTP, avait déjà été victime d’un rançongiciel similaire « point d’entrée du virus dans le (...) sinistre » de 2020. En clair, Bouygues Construction aurait mal géré ce premier incident et laissé, sans le vouloir, les assaillants avancer en profondeur dans les réseaux de la multinationale.
Si la justice n’a pas retenu cet élément, elle a toutefois décidé de nommer deux experts judiciaires pour faire la lumière sur cette affaire. Afin d’évaluer les dégâts techniques et leurs coûts, ils travaillent depuis plus d’un an avec les spécialistes mandatés par les assureurs, (les cabinets CNC Expertise et GM Consultant), et celui de Bouygues Construction (Gras Savoye).
Les conclusions devaient initialement aboutir ce printemps mais elles prennent plus de temps que prévu. Contactés, Bouygues Construction et Zurich n’ont pas souhaité faire de commentaires sur une affaire en cours tandis que Liberty n’a pas répondu à nos sollicitations. Quant au groupe Maze, il a annoncé publiquement dans un message sa dissolution fin 2020 après avoir extorqué entre 50 et 70 millions de dollars. Depuis, d’autres malfrats ont pris le relais.
