KindlustusõigusVandeadvokaat Olavi-Jüri Luik, PhD
Avaleht / Kindlustuse jagunemine ja kindlustusteenused: vormid, liigid ja tooted / Kahjukindlustus: levinumad kindlustusteenused ja nende sisu / Crime-kindlustus: töötaja pettus, maksepettus ja CEO-pettus / Arvutipettus ja rahaülekande pettus crime-kindlustuses

Arvutipettus ja rahaülekande pettus crime-kindlustuses

Autor: Olavi-Jüri Luik, PhD, vandeadvokaat (WIDEN)

Sisukord

Lühidalt. Arvutipettuse kate hüvitab kahju, mis tekib, kui keegi kasutab arvutit või sisestab, muudab või kustutab andmeid kindlustatu süsteemis eesmärgiga kanda raha või vara üle. Rahaülekande pettuse kate hüvitab kahju, mis tekib petturlikust juhisest pangale, mis näib pärinevat kindlustatult. Kõige vaidlusalusem küsimus on, kas kahju tulenes arvutikasutusest „otseselt“, kui petturlik e-kiri pani töötaja ise makset tegema. Rahvusvaheline kohtupraktika on selles jagunenud ning tulemus sõltub täpsest sõnastusest. Eesti karistusõiguses vastab nähtusele arvutikelmus, kuid crime-lepingu mõiste on lepinguline.

1. Kaks erinevat komponenti

1.1. Arvutipettus (computer fraud)

Tüüpiline sõnastus katab kahju, mis tuleneb otseselt arvuti kasutamisest, et petturlikult põhjustada raha, väärtpaberite või muu vara ülekandmine kindlustatu valdusest isikule või kohta väljaspool kindlustatu kontrolli. Mõni sõnastus nõuab, et pettur oleks kasutanud kindlustatu arvutisüsteemi (sisestanud, muutnud või kustutanud andmeid või programme). Teine sõnastus on laiem ja hõlmab mis tahes arvuti kasutamist.

1.2. Rahaülekande pettus (funds transfer fraud)

See komponent katab olukorra, kus pettur annab pangale elektroonilise või muu juhise kanda raha kindlustatu kontolt, ja juhis näib pärinevat kindlustatult, kuid on antud ilma kindlustatu teadmise ja nõusolekuta. Kate on mõeldud panga kaudu toimuva pettuse jaoks. Kui kindlustatu töötaja ise annab pangale juhise, olles petetud, ei ole tegemist „kindlustatu teadmata“ antud juhisega. See on peamine põhjus, miks rahaülekande pettuse kate ei kata tavaliselt sotsiaalset manipulatsiooni (vt sotsiaalne manipulatsioon).

2. Põhiküsimus: otsene põhjuslik seos

Arvutipettuse klausel nõuab, et kahju tuleneks arvutikasutusest otseselt (resulting directly from). Kui pettur saadab võltsitud e-kirja ja töötaja teeb selle põhjal makse, on põhjusahelas inimese otsus. Kohtud on sellele küsimusele vastanud erinevalt.

Kitsas lähenemine. USA viienda ringkonna apellatsioonikohus leidis 2016. aastal, et e-kiri oli pettuse juures kõrvaline: pettus koosnes telefonikõnest, e-kirjast, ettevõtte enda kontrolltoimingust ja töötajate otsusest tasuda tegelike tarnete arved uuele kontole, mistõttu kahju ei tulenenud otseselt arvuti kasutamisest.1

Lai lähenemine. USA teise ringkonna apellatsioonikohus leidis 2018. aastal, et petturlikud e-kirjad, mis olid kujundatud nii, et e-posti süsteem kuvas need ettevõtte juhi omadena, kujutasid endast süsteemi andmete muutmist ning kahju tulenes neist otseselt.2 Kuues ringkond leidis samal aastal arvete ümbersuunamise kaasuses, et petturlikud e-kirjad põhjustasid kahju otseselt, kuigi vahepeal oli töötajate tegevus.2

Muud lahendid. Kanada Alberta osariigi kohus leidis 2017. aastal, et rahaülekande pettuse kate ei rakendunud, kui ettevõtte töötaja muutis petturi telefonikõne põhjal tarnija pangarekvisiidid ja ettevõte tegi makse ise.3

Analüütiline järeldus Eesti õiguse jaoks: Eesti kohus tõlgendaks tingimust mõistliku isiku arusaama järgi ja kahtluse korral kasutaja kahjuks.4 Kui klausel nõuab „kindlustatu arvutisüsteemi“ kasutamist, on seda raske laiendada välise e-kirja saatmisele. Kui klausel räägib „mis tahes arvuti kasutamisest“ ja „otsesest“ kahjust, on kindlustatul tugev argument, et e-posti pettus on hõlmatud. Kindlustusvõtja jaoks on aga ainus kindel lahendus eraldi sotsiaalse manipulatsiooni kate.

3. Süsteemi manipuleerimine

Arvutipettuse klassikaline ala on süsteemi enda manipuleerimine:

  • ründaja saab ligipääsu internetipanga või ERP-süsteemi kontole ja algatab makse;
  • pahavara muudab maksefailis saaja kontonumbrit enne pangale saatmist;
  • ründaja muudab tarnijate andmebaasis pangarekvisiite;
  • töötaja muudab palgasüsteemis andmeid (sel juhul võib kohalduda ka töötaja ebaausa teo kate).

Neis olukordades on põhjuslik seos tavaliselt selge. Vaidlus võib tekkida küberlepingu ja crime-lepingu piiril: küberleping katab süsteemide taastamise ja forensika, crime-leping kaotatud raha (vt koostoime küberkindlustusega).

4. Seos karistusõigusega

Karistusseadustik käsitleb arvutikelmust eraldi koosseisuna.5 Crime-lepingu „arvutipettus“ ei ole aga karistusõiguslik mõiste: lepingu kate ei eelda, et kedagi oleks süüdi mõistetud, ega seda, et tegu vastaks täpselt KarS-i koosseisule. Kriminaalmenetlus on siiski kasulik tõendite kogumiseks: politsei saab nõuda pankadelt teavet raha liikumise kohta, mida kindlustatu ise kätte ei saa.

5. Mida arvutipettuse kate tavaliselt ei hõlma

  • kahju, mis tuleneb kindlustatu volitatud kasutaja (töötaja) sisestatud andmetest, välja arvatud juhul, kui töötaja tegutses pettuse eesmärgil (siis on tegemist töötaja ebaausa teoga);
  • süsteemide taastamise kulusid;
  • kaudset kahju, ärikatkestust ja saamata jäänud tulu;
  • krediitkaardipettust, kui see on eraldi välistatud;
  • kahju, mis tuleneb kindlustatu poolt pakutud krediidist või kaubast, mis tarniti petturile (nt tellimus võltsitud kliendi nimel), kui leping seda välistab.

6. Lunaraha arvutipettusena

Indiana ülemkohus leidis 2021. aastal, et lunavararünnakus süsteemide ülevõtmine ja selle tagajärjel krüptorahas tehtud makse võisid kuuluda crime-lepingu arvutipettuse klausli alla, sest makse oli häkkimise otsene tagajärg.6 Lahend on oluline, kuid mitte üldistatav: tulemus sõltus klausli sõnastusest ja asi saadeti uueks arutamiseks.

7. Kontrollküsimused

  1. Kas arvutipettuse klausel nõuab kindlustatu süsteemi kasutamist või hõlmab mis tahes arvutit?
  2. Kas rahaülekande pettuse kate hõlmab juhiseid, mille andis petetud töötaja?
  3. Kas sotsiaalse manipulatsiooni kate on eraldi olemas?
  4. Kuidas on määratletud „otsene kahju“?
  5. Kas lunaraha on crime-lepingus välistatud või kaetud?

Korduma kippuvad küsimused

Kas petturlik e-kiri on arvutipettus?

See sõltub lepingu sõnastusest ja tehnilistest asjaoludest. Kui pettur manipuleeris kindlustatu süsteemi (nt muutis e-kirja kuvamist või sisenes postkasti), on argument arvutipettuse kasuks tugevam. Kui e-kiri oli tavaline sõnum, mille põhjal töötaja ise otsustas makse teha, käsitlevad paljud kohtud seda sotsiaalse manipulatsioonina, mis vajab eraldi katet.

Kas internetipanga konto ülevõtmine on kaetud?

Kui pettur logis internetipanka varastatud paroolidega ja algatas makse, on see tüüpiline arvutipettuse või rahaülekande pettuse juhtum. Samal ajal on see makseteenuse õiguses tõenäoliselt autoriseerimata makse, mille korral võib pangal olla tagastamiskohustus. Ettevõte peaks esitama nõude nii pangale kui ka kindlustusandjale ning teavitama mõlemat teineteisest.

Kas crime-leping katab süsteemide taastamise?

Tavaliselt mitte. Süsteemide taastamine, forensika ja ärikatkestus kuuluvad küberkindlustusse. Crime-leping võib katta uurimiskulusid kahju suuruse kindlakstegemiseks, sageli alamlimiidiga.

Kas krüptoraha on „raha“ või „muu vara“?

Crime-lepingud määratlevad kaetud vara (raha, väärtpaberid, muu vara). Krüptoraha käsitlus sõltub definitsioonist; mõned uuemad lepingud mainivad seda eraldi kas kaetud või välistatud varana. Kui ettevõte hoiab krüptovarasid, tuleb see kindlustusandjaga eraldi läbi rääkida.

Seotud lehed

Viited

  1. Apache Corp. v. Great American Insurance Co., U.S. Court of Appeals for the Fifth Circuit, 2016 (avaldamata lahend). - https://www.ca5.uscourts.gov/Opinions/unpub/15/15-20499.0.pdf; teisene allikas: Simpson Thacher & Bartlett, 29.11.2016. - https://www.stblaw.com/about-us/publications/view/2016/11/29/fifth-circuit-rules-that-computer-fraud-provision-does-not-encompass-fraudulently-induced-wire-transfer-claims ↩

  2. Medidata Solutions Inc. v. Federal Insurance Co., U.S. Court of Appeals for the Second Circuit, 2018; American Tooling Center Inc. v. Travelers Casualty and Surety Co. of America, U.S. Court of Appeals for the Sixth Circuit, 2018. Teisene allikas: Simpson Thacher & Bartlett, 06.08.2018. - https://www.stblaw.com/about-us/publications/view/2018/08/06/two-federal-circuit-courts-rule-that-fraudulent-wire-transfer-losses-are-covered-by-liability-policy ↩↩

  3. The Brick Warehouse LP v. Chubb Insurance Company of Canada, Alberta Court of Queen's Bench, 2017. Teisene allikas: Slaw. Cyber Security: When Social Engineering Fraud Is Not Covered Under Your Insurance Policy, 23.08.2017. - https://www.slaw.ca/2017/08/23/cyber-security-when-social-engineering-fraud-is-not-covered-under-your-insurance-policy/ ↩

  4. VÕS § 39 (RT I, 20.06.2026, 18; jõust. 01.09.2026). - https://www.riigiteataja.ee/akt/V%C3%95S ↩

  5. KarS § 213 (RT I, 09.07.2026, 28; jõust. 01.10.2026). - https://www.riigiteataja.ee/akt/KarS ↩

  6. G&G Oil Co. of Indiana v. Continental Western Insurance Co., Indiana Supreme Court, 2021. Teisene allikas: Simpson Thacher & Bartlett, 30.04.2021. - https://www.stblaw.com/about-us/publications/view/2021/04/30/indiana-supreme-court-rules-that-ransomware-losses-may-be-subject-to-computer-fraud-coverage ↩

Märksõnad: Crime-kindlustus Küberkindlustus