// CLUBIC — CYBERSECURITY
Victime d'un rançongiciel, son assurance refuse de payer, la justice tranche un litige de cyber-risque d'entreprise
Un éditeur de logiciels français, victime d'un ransomware, réclamait la garantie de son assureur pour indemniser ses clients. Le tribunal judiciaire de Lyon a rendu sa décision le 20 août, riche d'enseignements pour les professionnels de la cybersécurité.
C'est une affaire mêlant rançongiciel, exclusion de garantie et responsabilité civile professionnelle, sur fond d'assurance donc, que le tribunal judiciaire de Lyon a dû étudier pour rendre sa décision du 20 août 2026. En juin 2021, les serveurs d'un éditeur de logiciels de gestion furent paralysés par une attaque informatique ayant provoqué la perte de données chez quatorze de ses clients. Le problème, c'est que son assureur avait refusé de couvrir le sinistre, ce qui fut le vrai point de départ de ce litige. Un cas plus qu'intéressant de cyber-risque en entreprise, que vous dévoile Clubic.
En mai 2020, la société Galaxity* souscrit auprès de la Caisse régionale d'assurances mutuelles agricoles Rhône-Alpes Auvergne (la structure juridique officielle de Groupama dans la région) un contrat de responsabilité civile pour ses activités informatiques. Ce contrat couvre notamment sa filiale Software, dont le métier consiste à accompagner ses clients dans le déploiement de logiciels de gestion, qu'il s'agisse de suivi client, de commerce ou de comptabilité, avec un hébergement des solutions selon différentes formules.
Puis vient la nuit du 24 au 25 juin 2021. Les serveurs de Software, qui hébergent les plateformes permettant à ses clients d'accéder à leurs logiciels de gestion, sont frappés par un ransomware, ou rançongiciel en français. Le programme malveillant chiffre les fichiers présents sur les serveurs, les rend illisibles, et exige une rançon en échange de la clé permettant de les déverrouiller. Si l'accès aux plateformes elles-mêmes finit par être rétabli, les données que quatorze clients y avaient enregistrées, elles, restent perdues Il leur est impossible de les déchiffrer sans payer, et aucune copie de secours n'existait pour les récupérer autrement. Le sinistre est déclaré à l'assureur dès le 29 juin 2021.
Coup de théâtre, deux mois plus tard, par lettre du 23 août 2021, la Caisse régionale d'assurances mutuelles agricoles Rhône-Alpes Auvergne refuse purement et simplement de prendre en charge le sinistre. Elle se base sur une clause du contrat, en disant que celui-ci obligeait la société Software à réaliser une sauvegarde externalisée de toutes les données de ses clients, c'est-à-dire une copie de secours conservée sur un autre site que les serveurs piratés, le principe même qui aurait permis de tout récupérer sans céder au chantage des pirates. Or, cette sauvegarde n'existait pas pour les données perdues, ce qui active, selon l'assureur, une clause d'exclusion. En clair, il dit être ici sur un cas où le contrat prévoit explicitement qu'il ne couvre pas le sinistre. Pendant ce temps, plusieurs clients lésés assignent directement l'éditeur de logiciels devant le tribunal de commerce de Lyon pour obtenir réparation. Un scénario de plus en plus fréquent, puisqu'on rappelle que la France figurait au premier semestre 2026 dans le top 6 mondial des pays les plus ciblés par les rançongiciels.
Pour les entreprises Galaxity et Software, la position de leur assureur est infondée. Elles l'assignent à leur tour en novembre 2022, mais cette fois devant le tribunal judiciaire de Lyon, juridiction distincte de celle où les clients les poursuivent. Leur addition dépasse 155 000 euros, d'après le dossier. D'abord, elles réclament 34 718,09 euros, correspondant à ce qu'elles ont déjà été condamnées à verser à l'un de leurs clients devant le tribunal de commerce ; une somme encore incertaine, puisque cette première décision fait l'objet d'un appel dont le résultat définitif n'est pas connu. Ensuite, il y a 120 555 euros de frais engagés pour reconstituer manuellement les données perdues. Les deux sociétés demandent aussi que l'assureur s'engage à couvrir, à l'avenir, toutes les autre