KindlustusõigusVandeadvokaat Olavi-Jüri Luik, PhD
Avaleht / Kindlustuse jagunemine ja kindlustusteenused: vormid, liigid ja tooted / Kahjukindlustus: levinumad kindlustusteenused ja nende sisu / Crime-kindlustus: töötaja pettus, maksepettus ja CEO-pettus / Crime-kindlustuse kaasused: arvutipettus, e-posti pettus, töötaja

Crime-kindlustuse kaasused: arvutipettus, e-posti pettus, töötaja

Autor: Olavi-Jüri Luik, PhD, vandeadvokaat (WIDEN)

Sisukord

Lühidalt. Crime-kindlustuse vaidlused keerlevad kolme küsimuse ümber: kas pettus mahub mõne katteosa alla (arvutipettus, rahaülekande pettus, petturlik juhis), kas kahju oli „otsene“ ja kas töötaja enda tegevus katkestas põhjusliku seose. USA ja Kanada kohtupraktika ei ole ühtne, kuid on selge, et ainus kindel kaitse sotsiaalse manipulatsiooni vastu on eraldi selgelt sõnastatud kate. Kaasused on esitatud avalike allikate põhjal ümbersõnastatult; Eesti näited on üldistatud ega puuduta ühtegi konkreetset ühingut.

1. Medidata v Federal Insurance: võltsitud juhi e-kiri (USA, 2018)

Asjaolud. Tarkvaraettevõtte raamatupidaja sai e-kirja, mis näis pärinevat ettevõtte presidendilt ja viitas konfidentsiaalsele omandamistehingule. Seejärel helistas „advokaat“ ja palus teha ülekande. Ettevõte kandis välja ligikaudu 4,8 miljonit USA dollarit. Kindlustusandja keeldus crime-lepingu arvutipettuse klausli alusel, sest makse tegid töötajad ise.

Lahend. USA teise ringkonna apellatsioonikohus leidis, et petturid manipuleerisid e-kirja koodi nii, et ettevõtte e-posti süsteem kuvas kirja presidendi omana; see oli andmete sisestamine ja muutmine arvutisüsteemis ning kahju tulenes sellest otseselt, sest töötajate tegevus ei katkestanud põhjuslikku seost.1

Õppetund. Lai arvutipettuse klausel võib katta e-posti pettuse, kui pettus kasutas süsteemi tehniliselt. Tulemus sõltus sõnastusest ja tehnilistest asjaoludest.

2. American Tooling Center v Travelers: arve ümbersuunamine (USA, 2018)

Asjaolud. Tootmisettevõte maksis Hiina tarnija arved petturi kontole pärast e-kirju, mis näisid pärinevat tarnijalt ja teatasid uutest pangarekvisiitidest. Kahju oli umbes 800 000 USA dollarit. Kindlustusandja leidis, et kahju ei olnud otsene, sest vahepeal oli ettevõtte enda tegevus (arvete kinnitamine ja makse).

Lahend. USA kuuenda ringkonna apellatsioonikohus leidis, et kahju tulenes petturlikest e-kirjadest otseselt ja et vahepealsed sisemised toimingud ei muutnud seda kaudseks.1

Õppetund. Sama kohtuaasta kaks lahendit kinnitasid laia tõlgendust, kuid ei kõrvaldanud vastupidist praktikat (vt p 3).

3. Apache v Great American: e-kiri kui kõrvaline asjaolu (USA, 2016)

Asjaolud. Naftaettevõttele helistas isik, kes esines tarnija esindajana ja palus muuta pangarekvisiite. Ettevõte nõudis kirjalikku taotlust, sai e-kirja koos tarnija nimelise kirjaga ja kontrollis seda helistades kirjal märgitud numbrile, mis kuulus petturile. Ettevõte maksis tegelikest tarnetest tulenevad arved uuele kontole; netokahju oli umbes 2,4 miljonit USA dollarit.

Lahend. USA viienda ringkonna apellatsioonikohus leidis, et e-kiri oli pettuse mitmeastmelises ahelas kõrvaline ning kahju ei tulenenud arvuti kasutamisest „otseselt“; arvutipettuse klausel ei rakendunud.2

Õppetund. Kui pettuses on mitu inimlikku sammu (telefonikõne, kontroll, otsus), võib kohus pidada arvutikasutust tagajärje suhtes kõrvaliseks. Ka ettevõtte enda kontrolltoiming ei aidanud, sest see tehti petturi antud kanali kaudu.

4. Principle Solutions v Ironshore: petturlik juhis kaetud (USA, 2019)

Asjaolud. Ettevõtte kontroller sai e-kirja, mis näis pärinevat juhilt ja palus teha ülekande seoses konfidentsiaalse omandamisega; järgnes kõne „advokaadilt“. Makse oli umbes 1,7 miljonit USA dollarit.

Lahend. USA üheteistkümnenda ringkonna apellatsioonikohus leidis, et kahju oli crime-lepingu alusel kaetud ja tulenes pettusest otseselt, kuigi ettevõtte töötajad ise kinnitasid makse.3

Õppetund. Kindlustusandja argument, et töötaja vaba otsus katkestab põhjusliku seose, ei ole alati edukas. Siiski ei asenda see selget sotsiaalse manipulatsiooni katet.

5. The Brick v Chubb: rahaülekande pettuse piirid (Kanada, 2017)

Asjaolud. Mööblimüüja töötaja muutis tarnija pangarekvisiidid pärast petturi telefonikõnet ja ettevõte tegi mitu makset petturi kontole, kokku üle 300 000 Kanada dollari.

Lahend. Alberta kohus leidis, et rahaülekande pettuse klausel, mis katab pangale antud juhiseid, mis on antud kindlustatu teadmata ja nõusolekuta, ei rakendunud, sest ettevõte ise andis pangale juhised ja teadis maksetest.4

Õppetund. Rahaülekande pettuse kate on mõeldud olukorraks, kus pettur annab juhise pangale kindlustatu nimel, mitte olukorraks, kus kindlustatu ise on petetud. Eesti makseteenuste õiguses vastab see autoriseeritud ja autoriseerimata makse eristusele (vt panga vastutus).

6. G&G Oil v Continental Western: lunaraha (USA, 2021)

Lunavararünnakus makstud krüptoraha võis Indiana ülemkohtu hinnangul kuuluda crime-lepingu arvutipettuse klausli alla; asi saadeti uueks arutamiseks.5 Vt lunavara ja lunaraha.

7. Üldistatud stsenaariumid Eesti praktikast

Raamatupidaja fiktiivne tarnija. Raamatupidaja lõi süsteemi tarnija, mille konto kuulus tema elukaaslasele, ja maksis neli aastat väikeseid arveid. Pettus avastati audiitori päringu järel. Crime-leping oli kahju toimumise põhine; varasemate aastate kahju oli kaetud ainult eelmise kindlustuse klausli tõttu, sest kate oli olnud katkematu (vt avastamise ja kahju toimumise põhimõte).

Tegevjuhi nimel antud korraldus. Finantsjuht tegi tegevjuhi nimel saadetud e-kirja alusel kiirmakse välisriiki. Crime-lepingus oli sotsiaalse manipulatsiooni kate alamlimiidiga 100 000 eurot; makse oli 380 000 eurot. Katmata osa üle tekkis vaidlus juhatuse vastutuse üle, sest topeltkinnitust ei olnud.

Palgaandmete muutmine. Pettur saatis personaliosakonnale töötaja nimel e-kirja uue kontonumbriga ja ühe kuu palk kanti petturile. Kahju oli väike, kuid alla omavastutuse; õppetund puudutas protsessi, mitte kindlustust.

8. Järeldused

  1. Kontrolli, kas lepingus on eraldi petturliku juhise ja sotsiaalse manipulatsiooni kate; ära looda arvutipettuse klausli laiale tõlgendusele.
  2. Alamlimiit peab vastama tegelike maksete suurusele.
  3. Kontroll peab toimuma sõltumatu, varem teadaoleva kanali kaudu.
  4. Pikaajalise pettuse puhul on katte järjepidevus sama oluline kui limiit.

Kuidas Eesti kohus samu küsimusi lahendaks

Eesti kohus lähtuks lepingu tõlgendamisel mõistliku kindlustusvõtja arusaamast ja kahtluse korral tingimuse kasutaja kahjuks. See põhimõte toetab pigem laia tõlgendust juhul, kui arvutipettuse klausel ei ütle selgelt, et kasutatud peab olema kindlustatu arvutisüsteemi. Teisalt hindaks Eesti kohus põhjuslikku seost tsiviilõiguse üldreeglite järgi: kas kahju oli pettuse tagajärg ja kas see kuulus lepingu kaitse-eesmärgi alla. Kui lepingus on eraldi sotsiaalse manipulatsiooni kate alamlimiidiga, tõlgendaks kohus tõenäoliselt üldist arvutipettuse klauslit nii, et see ei kata sama riski piiramatult, sest vastasel korral kaotaks alamlimiit mõtte. See on analüütiline järeldus, mida Riigikohtu praktika ei ole veel kinnitanud.

Praktiline kokkuvõte lepingu läbirääkimiseks

Kaasuste põhjal tasub lepingu läbirääkimisel nõuda järgmist: arvutipettuse klausel, mis hõlmab mis tahes arvuti kasutamist ja kindlustatu süsteemis kuvatava teabe manipuleerimist; eraldi petturliku juhise ja sotsiaalse manipulatsiooni kate, mis hõlmab e-posti, telefoni ja videokõnes antud juhiseid; selge „otsese kahju“ määratlus, mis ei loe kindlustatu töötaja vahepealset tegevust põhjusliku seose katkestajaks; ning kontrollinõue, mis on kooskõlas ettevõtte tegeliku protsessiga.

Seotud lehed

Viited

  1. Medidata Solutions Inc. v. Federal Insurance Co., U.S. Court of Appeals for the Second Circuit, 2018; American Tooling Center Inc. v. Travelers Casualty and Surety Co. of America, U.S. Court of Appeals for the Sixth Circuit, 2018. Teisene allikas: Simpson Thacher & Bartlett, 06.08.2018. - https://www.stblaw.com/about-us/publications/view/2018/08/06/two-federal-circuit-courts-rule-that-fraudulent-wire-transfer-losses-are-covered-by-liability-policy ↩↩

  2. Apache Corp. v. Great American Insurance Co., U.S. Court of Appeals for the Fifth Circuit, 2016 (avaldamata lahend). - https://www.ca5.uscourts.gov/Opinions/unpub/15/15-20499.0.pdf ↩

  3. Principle Solutions Group LLC v. Ironshore Indemnity Inc., U.S. Court of Appeals for the Eleventh Circuit, 2019. Teisene allikas: Simpson Thacher & Bartlett, 19.12.2019. - https://www.stblaw.com/about-us/publications/view/2019/12/19/eleventh-circuit-rules-that-crime-policy-covers-email-phishing-scheme-resulting-in-fraudulent-wire-transfer ↩

  4. The Brick Warehouse LP v. Chubb Insurance Company of Canada, Alberta Court of Queen's Bench, 2017. Teisene allikas: Slaw, 23.08.2017. - https://www.slaw.ca/2017/08/23/cyber-security-when-social-engineering-fraud-is-not-covered-under-your-insurance-policy/ ↩

  5. G&G Oil Co. of Indiana v. Continental Western Insurance Co., Indiana Supreme Court, 2021. Teisene allikas: Simpson Thacher & Bartlett, 30.04.2021. - https://www.stblaw.com/about-us/publications/view/2021/04/30/indiana-supreme-court-rules-that-ransomware-losses-may-be-subject-to-computer-fraud-coverage ↩

Märksõnad: Crime-kindlustus