Microsoft 365 en panne plus d'une journée : ce que signifie une défaillance non malveillante pour qui porte le risque cyber

Analyse du 13 novembre 2026, panne toujours en cours · par cybercoverinsurance

Le jeudi 12 novembre 2026, vers 17 h 30 heure de Londres, Outlook, Exchange Online et d'autres services de Microsoft 365 ont cessé de fonctionner pour des millions d'utilisateurs, d'abord sur le continent américain puis dans d'autres régions. Le 13 novembre, le rétablissement était en cours mais pas achevé : Microsoft signalait des améliorations en Amérique du Nord et en Europe, tout en prévenant que des problèmes intermittents pouvaient persister. Selon Microsoft, rien n'indique une activité malveillante.

Pour le marché de l'assurance, le cas est un nouvel exemple de défaillance non malveillante d'un grand fournisseur, un peu plus de deux ans après CrowdStrike. La première estimation de Morningstar DBRS situe les pertes assurées mondiales entre 300 et 500 millions de dollars. La question pour qui porte le risque cyber est de savoir quelles polices répondent vraiment à un arrêt qui ne vient pas d'une attaque, et quel poids a la dépendance envers un fournisseur unique de messagerie et de collaboration.

Ce que l'on sait

Le début. Selon TechRadar, les signalements sur Downdetector ont augmenté vers 12 h 30 heure de la côte Est des États-Unis le 12 novembre, avec plus de 131 000 signalements pour Outlook au pic. La panne a touché au moins 74 pays. Microsoft a enregistré les incidents EX1550543 et MO1550821 dans le centre d'administration Microsoft 365 (TechRadar).

La cause annoncée. Microsoft a attribué le problème à une charge élevée sur plusieurs régions, due à un grand nombre de serveurs devenus inopinément indisponibles, et non à une hausse du trafic. L'entreprise a suspendu tous les déploiements, déplacé le trafic, redémarré les serveurs touchés et indiqué que certaines actions n'avaient pas apporté le soulagement attendu (ABC News). Selon ABC Australia, Microsoft a ensuite désigné un processus central des serveurs qui était submergé et annulé une récente modification de configuration réseau qu'elle jugeait possiblement liée (ABC Australia).

Les services. La page d'état de Microsoft mentionnait Exchange Online, Teams, SharePoint Online, Copilot pour Microsoft 365 et Defender XDR (TechRadar). ABC Australia cite aussi Planner, To Do, Intune, Purview, Power BI, Power Apps et Universal Print, l'accès direct aux fichiers SharePoint restant fonctionnel.

Les effets. Le service des urgences de la ville de New York a averti de possibles retards dans les services en ligne des administrations municipales (ABC News). En Australie, ont notamment été touchés la police fédérale, le tribunal en ligne des libérations sous caution de Nouvelle-Galles du Sud et Canberra Health Services, sans impact clinique connu ; le gouvernement australien a activé un accord avec Microsoft pour obtenir un support prioritaire (ABC Australia). Au Royaume-Uni, des conseils locaux et des forces de police ont demandé de téléphoner plutôt que d'écrire (TechRadar). À Toronto, le St. Michael's Hospital a déclenché un « code grey », l'alerte interne en cas de panne des infrastructures (Insurance Business).

Le rétablissement. Le 13 novembre, Microsoft a fait état de « progrès encourageants », la capacité n'étant pas encore revenue à la normale et le trafic étant réintroduit avec prudence. L'entreprise a porté à 48 heures le délai d'attente des courriels pour que les messages retardés ne soient pas perdus (TechRadar).

Ce que l'on ne sait pas. La durée totale, la cause définitive et le nombre d'organisations touchées ne sont pas encore connus.

Les polices cyber qui ne se déclenchent pas

Il faut une attaque, ou au moins un soupçon. Joe Hershewe, responsable sinistres de Bellrock Advisory à Sydney, observe que la plupart des polices cyber exigent une violation avérée ou suspectée pour s'activer, et doute que les assurés touchés franchissent ce seuil (Insurance Business). Une défaillance d'un fournisseur sans intrusion reste en dehors de la garantie principale.

La défaillance de système est une extension, pas la règle. Certaines polices couvrent aussi l'interruption due à une défaillance non malveillante, propre ou d'un prestataire. Joe Hershewe note que des garanties pour événements étendus existent, avec leurs propres critères, mais ne sont pas standard dans les contrats destinés aux entreprises de taille moyenne (même source). Pour qui porte le risque, le cas Microsoft est le moment de vérifier combien d'assurés disposent réellement de cette extension et avec quelles limites.

Le prestataire doit être couvert. La carence de fournisseur couvre l'arrêt d'un prestataire, mais souvent seulement pour des prestataires nommés ou des catégories précises, comme les prestataires de services informatiques. Un service cloud de messagerie et de collaboration entre en général dans la définition, mais le wording doit être lu : certaines polices excluent les pannes d'infrastructures publiques ou des grands fournisseurs cloud.

Le délai de carence et la quantification

Les heures comptent. Les garanties de perte d'exploitation prévoient un délai de carence, fixé en heures par la police, avant que l'arrêt ne devienne indemnisable. Morningstar DBRS rappelle que les délais de carence, les franchises et les sous-limites décideront de l'issue des sinistres (Actuarial Post). Une panne de plus d'une journée dépasse de nombreux délais de carence ; un rétablissement inégal, région par région, rend difficile de dire quand l'arrêt a pris fin.

Un arrêt partiel est difficile à mesurer. La perte de la messagerie n'arrête pas forcément l'activité : beaucoup d'entreprises ont continué à travailler par téléphone et avec des fichiers partagés. Pour la perte d'exploitation, l'assuré doit démontrer une baisse du chiffre d'affaires ou une hausse des coûts liée à la panne. Pour les cabinets de services professionnels, l'impact peut être élevé : un consultant cité par ABC Australia estime plus de 100 000 dollars par heure pour ces entreprises, une estimation non vérifiée (ABC Australia).

Les frais supplémentaires. Plus faciles à documenter sont les frais exceptionnels : heures supplémentaires, outils de remplacement, communications aux clients. De nombreuses polices les couvrent au titre des frais de limitation du dommage, même quand la perte d'exploitation est contestable.

Le cumul sur le fournisseur unique

Une estimation prudente. Morningstar DBRS estime les pertes assurées mondiales entre 300 et 500 millions de dollars, en dessous de la fourchette de 400 millions à 1,5 milliard estimée par CyberCube pour CrowdStrike en 2024. L'écart tient aux exclusions des défaillances technologiques non malveillantes. Selon la même source, si la panne durait plusieurs jours, l'événement pourrait devenir aussi grave que CrowdStrike, voire plus (Actuarial Post).

La concentration sur Microsoft 365. Messagerie, agenda, stockage des fichiers, authentification et sécurité des postes viennent souvent du même fournisseur. Une défaillance d'un composant commun arrête plusieurs fonctions à la fois. Parmi les services touchés figurait aussi Defender XDR (TechRadar) : quand l'outil de sécurité tombe, l'assuré est moins protégé au moment même où les fraudeurs exploitent l'événement.

L'escroquerie qui suit la panne. La banque ING a mis en garde ses clients contre des escrocs proposant de « réparer » la panne (ABC Australia). Une défaillance non malveillante peut entraîner des sinistres malveillants : hameçonnage, fraude aux paiements, accès de faux techniciens. Ces sinistres relèvent, eux, de la garantie cyber ordinaire.

Les données qui sortent du périmètre. Ali Yavari, professeur associé à la Swinburne University of Technology, signale le risque que des salariés utilisent des comptes personnels pour déplacer des données pendant la panne (Insurance Business, édition américaine). C'est une exposition de données qui peut apparaître des semaines plus tard, sous forme d'atteinte à la confidentialité.

Ce qu'il faut apporter aux renouvellements

Impact pour les assureursÉlevé

Une défaillance non malveillante de Microsoft 365, de plus d'une journée dans plusieurs régions, met à l'épreuve les garanties de défaillance de système et de carence de fournisseur dans tout le portefeuille, avec une première estimation de 300 à 500 millions de dollars de pertes assurées.

Côté portefeuille, le cas suggère de compter combien d'assurés disposent de l'extension pour défaillance de système des fournisseurs cloud et avec quels délais de carence, et d'intégrer aux tests de cumul un scénario de 24 à 72 heures sans Microsoft 365, en séparant les pertes dues à la panne seule de celles liées à la fraude et à l'hameçonnage qui suivent. L'estimation finale dépendra de la durée, encore ouverte.

Sources

• TechRadar – chronologie, services touchés, incidents et état du rétablissement
• ABC News – cause annoncée par Microsoft et effets aux États-Unis
• ABC Australia – chronologie en Australie, services, organisations touchées et escroqueries
• Insurance Business – pourquoi la plupart des polices cyber ne se déclenchent pas
• Insurance Business – hôpitaux, compagnies aériennes et administrations touchés
• Actuarial Post – l'estimation de Morningstar DBRS sur les pertes assurées