Zero-day : la faille invisible qui coûte en moyenne 466 000 € aux PME

Qu’est-ce qu’une vulnérabilité zero-day et pourquoi représente-t-elle un risque pour ma TPE ou PME ?

Une vulnérabilité zero-day est une faille de sécurité présente dans un logiciel, un matériel ou un firmware, qui n’est pas connue du fournisseur ou de l’éditeur et pour laquelle aucun correctif n’existe encore. Les pirates peuvent exploiter cette faille avant même que des solutions ne soient disponibles.

Le terme « zero-day » vient du fait que le fabricant a eu zéro jour pour corriger la faille après sa découverte. Pour une petite entreprise, cela signifie un risque élevé de vol de données, d’interruption d’activité ou de pertes financières.

Exemples concrets d’attaques zero-day ayant touché des entreprises :

Ces exemples montrent que même les grandes entreprises sont touchées, mais pour une PME ou TPE, les conséquences peuvent être plus lourdes et mettre en péril la continuité de l’activité.

Que couvre une assurance cyber en cas d’exploitation d’une vulnérabilité zero-day ?

Une assurance cyber adaptée prend en charge plusieurs postes de dépenses liés à l’exploitation d’une faille zero-day :

• Réponse aux incidents : investigation de la faille et préconisations pour pallier à la faille.
• Récupération et restauration des systèmes et données : intervention de prestataires pour restaurer l’activité normale.
• Frais juridiques et réglementaires : assistance en cas de sanctions liées à la violation de données.
• Gestion de crise et responsabilité civile : communication, accompagnement des victimes et gestion des conséquences.
• Pertes d’exploitation : indemnisation du chiffre d’affaires perdu pendant l’interruption.

Tableau récapitulatif des garanties pour les PME/TPE :

Selon une étude réalisée par l'ANSSI en 2025, le coût moyen d’une attaque zero-day pour une PME est de 466 000 €, soit environ 10 % du chiffre d’affaires annuel.

Quelles sont les conditions pour être couvert contre les attaques zero-day ?

Les assureurs exigent une posture cyber proactive pour inclure la couverture zero-day :

• Mise en place de pare-feu, antivirus à jour et authentification multi-facteurs.
• Mises à jour régulières des systèmes et logiciels, correction rapide des vulnérabilités connues.
• Sauvegardes fréquentes et testées des données, plan de continuité et plan de reprise d’activité (PCA/PRA).
• Sensibilisation et formation du personnel, y compris exercices de phishing simulés.
• Audits et tests de pénétration pour identifier les vulnérabilités restantes.
• Absence de négligence avérée, comme des systèmes obsolètes ou non sécurisés.

Sans ces mesures, la couverture zero-day peut être limitée ou exclue.

Comment les assureurs évaluent-ils le risque zero-day avant de souscrire ?

Les assureurs analysent :

• La cartographie des risques cyber : inventaire des actifs et typologie des données sensibles.
• Les mesures de sécurité existantes : segmentation réseau, gestion des accès, outils de détection.
• L’historique des incidents : fréquence et gravité des sinistres antérieurs.
• La maturité des réponses aux incidents : plan de continuité et de réaction rapide.

Un historique sans incident peut réduire la prime, tandis que des attaques répétées peuvent l’augmenter de 20 à 50 %.

Quels sont les impacts d’une vulnérabilité zero-day sur une petite entreprise ?

Pour une TPE ou PME, les conséquences d’une attaque zero-day peuvent être lourdes :

• Fuites de données sensibles, compromission des clients et informations financières.
• Pertes financières importantes : rançons, frais de restauration, pertes d’exploitation.
• Interruption d’activité pouvant durer plusieurs jours ou semaines.
• Atteinte à la réputation, perte de confiance des clients et partenaires.

Les coûts indirects comme la dégradation de l’image ou la perte de clients peuvent dépasser le coût direct de l’attaque.

Comment documenter et déclarer un sinistre zero-day à votre assureur ?

Pour bénéficier de la couverture, il est nécessaire de fournir des preuves techniques et administratives :

• Rapport d’incident détaillé : nature de la faille, systèmes affectés, actions correctives.
• Journaux d’événements et sauvegardes : traces de l’attaque et restauration.
• Justificatifs financiers et opérationnels : factures, pertes d’exploitation, frais juridiques.
• Preuves de bonnes pratiques : mises à jour, audits, politiques de sécurité.

Le rapport doit respecter le modèle recommandé pour les experts d’assurance depuis l’arrêté du 24 janvier 2025, avec sections sur description, analyse technique, évaluation des dommages, recommandations et annexes.

Quelles mesures techniques minimales pour réduire l’impact d’une vulnérabilité zero-day ?

• Détection et prévention via solutions comportementales et intelligence artificielle.
• Segmentation réseau et principe du moindre privilège pour limiter la propagation.
• Plan de réponse aux incidents et surveillance continue via SIEM et outils EDR.
• Mises à jour régulières et veille sur les correctifs.

Ces pratiques permettent de détecter rapidement une attaque et de limiter les dégâts.

FAQ – Vulnérabilités Zero-Day et Assurance Cyber

• Une auto-entreprise peut-elle souscrire une couverture zero-day ?
  Oui, si elle respecte les bonnes pratiques de cybersécurité et dispose de systèmes à jour.
• Combien coûte en moyenne une couverture cyber zero-day pour une PME ?
  Les primes varient selon l’historique, la posture cyber, la taille et le secteur d'activité de l'entreprise. Un historique sans incident peut réduire la prime, tandis qu’une entreprise ayant déjà subi plusieurs attaques peut voir sa prime augmenter de 20 à 50 %.
• Quels sont les délais de déclaration à l’assureur ?
  Entre 5 et 15 jours ouvrés après la découverte, par lettre recommandée ou canal sécurisé. L’assureur répond dans un délai maximal de 60 jours après réception de tous les éléments.
• Quels documents fournir pour prouver un sinistre ?
  Logs, rapports de pentest, sauvegardes, preuves de mises à jour, factures et rapports d’expertise.
• Les petites entreprises françaises sont-elles souvent touchées ?
  Environ 49 % des PME françaises ont déjà été victimes d’une cyberattaque (rapport Hiscox 2024), avec une part significative liée à des vulnérabilités zero-day.