Selon une étude statistique du cabinet d’études économiques Asterès, les attaques informatiques auraient coûté environ deux milliards d’euros aux organisations françaises en 2022. Un travail comptable bienvenu: comme le rappelle cette structure, la dernière estimation du coût agrégé des cyberattaques en France remontait à 2013, avec un chiffrage partiel et se limitant aux pertes de production.
Missionné par le Club des responsables d’infrastructure, de technologies et de production informatique (Crip), le cabinet estime ainsi à 887 millions d’euros le coût direct des cyberattaques réussies, à 888 millions d’euros de rançons payées et à 252 millions d’euros les pertes de production.
Estimations alarmistes
A première vue, ces chiffres ont l’air crédibles. Ils sont par exemple relativement modestes rapportés au PIB français (2642 milliards d’euros). Le chiffrage d’Asterès est ainsi bien moins tonitruant que les estimations de Cybersecurity Ventures. Cette entreprise diffuse les estimations les plus alarmistes – souvent les plus partagées -, comme celle d‘un coût de 6000 milliards de dollars en 2021, ce qui représenterait pourtant 6% du PIB mondial, un poids énorme qui paraît douteux.
L’estimation globale d’Asterès est enfin en ligne avec ce qui peut être vu ailleurs. Aux Etats-Unis, le dernier rapport de l’Internet Crime Complaint Center du FBI a dénombré 800 000 plaintes signalant un préjudice de dix milliards de dollars.
Terrain miné
Mais si personne n’avait tenté l’exercice de chiffrage ces dernières années, c’est sans doute aussi parce que le terrain est miné. Exemple avec le montant des rançons payées en France, estimées à un total de 888 millions d’euros par le cabinet Asterès. Pour arriver à ce chiffre, les auteurs de l’étude ont croisé l’estimation du montant moyen d’une rançon (données Coveware) avec la probabilité qu’une entreprise française paie une rançon (enquête Hiscox menée auprès de 921 représentants d’organisations françaises).
Une méthodologie qui peut donc être glissante. Ce calcul est également à mettre en balance avec les observations de Chainalysis, qui avait retracé 457 millions de dollars de rançons payées en 2022 dans le monde entier et 766 millions de dollars l’année précédente. Des montants bien inférieurs !
Données rares
Alors, qui a raison et qui a tort? Interrogé par ZDNET.fr, le cabinet Asterès estime que le spécialiste des investigations sur la blockchain pêche par sous-estimation. Mais “nous sommes conscients que dans ce domaine les données sont rares et tendent à diverger”, ajoute-t-il.
Avant de renvoyer à un dernier chiffre, celui de l’agence américaine spécialisée dans le suivi de la criminalité financière, la FinCEN, qui estime à 1,2 milliard de dollars le montant des rançons versées en 2021 aux États-Unis. Un montant cette fois-ci trop proche de celui des rançons payées en France calculées par Asterès… Autant de données qui rappellent finalement que ce genre d‘estimations doivent être prises avec des précautions.