Lunavararünnak ja lunaraha maksmine: õigus ja kindlustus

Lühidalt. Lunavararünnak on tänapäeval kõige kulukam küberintsidendi liik, sest see ühendab süsteemide seiskumise, andmete taastamise, ärikatkestuse ja sageli ka andmelekke (topeltväljapressimine). Eesti õigus ei keela lunaraha maksmist üldnormiga, kuid makse võib olla keelatud, kui saaja on sanktsioonide subjekt või tema kasuks tegutsev isik; sanktsiooni rikkuv tehing on tühine. Küberkindlustuse väljapressimise kate eeldab tavaliselt kindlustusandja eelnevat nõusolekut ja sanktsioonikontrolli. Lunaraha maksmine on juhatuse otsus, mida tuleb teha dokumenteeritult ja korraliku ettevõtja hoolsusega.

1. Lunavararünnaku anatoomia

Tüüpiline lunavararünnak kulgeb järgmiselt:

1. Sisenemine õngitsuskirja, varastatud paroolide, kaugtöölahenduse haavatavuse või teenusepakkuja kaudu.
2. Laienemine: ründaja omandab administraatoriõigused, kaardistab võrgu ja leiab varukoopiad.
3. Andmete väljaviimine: tundlikud andmed kopeeritakse ründaja serverisse.
4. Krüpteerimine: süsteemid ja varukoopiad krüpteeritakse, sageli nädalavahetusel või pühade ajal.
5. Väljapressimine: nõutakse krüptorahas makset dekrüpteerimisvõtme eest ja andmete avaldamata jätmise eest.

Õiguslikult tekib sellest korraga mitu probleemi: ettevõtte enda kahju, isikuandmetega seotud rikkumine, võimalik KüTS-i intsident, lepingupartnerite nõuded teenuse katkestuse eest ja küsimus, kas juhatus täitis hoolsuskohustust turvameetmete osas.

2. Kas lunaraha maksmine on lubatud

2.1. Üldine lähtekoht

Eesti õiguses ei ole sätet, mis keelaks ohvril väljapressijale makse tegemise üldiselt. Väljapressimine on kuritegu, kuid ohver ei pane makse tegemisega kuritegu toime. Teisalt ei ole makse ka „õiguslikult neutraalne“: see rahastab kuritegelikku tegevust ega taga, et andmed taastatakse või neid ei avalikustata.

2.2. Sanktsioonid

Suurim õiguslik risk on sanktsioonid. ELi sanktsioonimäärused keelavad rahaliste vahendite kättesaadavaks tegemise otseselt või kaudselt sanktsioonide subjektile või tema kasuks.¹ Rahvusvahelise sanktsiooni seaduse järgi on sanktsiooni rikkuv tehing tühine.² Kui lunavararühmitus või selle krüptorahakott on seotud sanktsioneeritud isikuga, võib makse kujutada endast sanktsiooni rikkumist. Ründaja identiteet on tavaliselt teadmata, mistõttu ohver peab tegema mõistliku kontrolli: kaasama spetsialiseerunud teenusepakkuja, kes analüüsib rühmituse ja krüptorahakoti seoseid sanktsiooninimekirjadega. Kontroll ja selle tulemus tuleb dokumenteerida.

USA sanktsioonide (OFAC) mõju võib ulatuda ka Eesti ettevõttele, kui makse liigub läbi USA finantssüsteemi või kindlustusandja kuulub USA kontserni. Kindlustusandjad kohaldavad seetõttu oma sisekorda ka siis, kui ELi õigus makset otsesõnu ei keela.

2.3. Muud piirangud

Rahapesu tõkestamise reeglid ja makseteenuse pakkuja hoolsusmeetmed võivad takistada suure krüptorahamakse tegemist. Kriitilise taristu ettevõtte puhul võivad lisanduda järelevalveasutuse ootused. Politseile tuleb esitada kuriteoteade, mis ei ole lunaraha maksmise eeldus, kuid on tavaliselt kindlustuslepingu tingimus.

3. Kindlustuskate

3.1. Väljapressimise moodul

Küberkindlustuse väljapressimise kate hõlmab tavaliselt:

• läbirääkimiste ja intsidendi lahendamise spetsialisti kulud;
• lunaraha, kui see on seaduslik ja kindlustusandja on andnud eelneva nõusoleku;
• krüptoraha omandamise ja tehingu kulud;
• mõnel juhul makse käigus tekkinud kahju (nt kaotsiläinud krüptoraha).

Kate on tihti alamlimiidiga. Paljud tingimused nõuavad, et kindlustatu tõendaks makse vajalikkust (alternatiivse taastamise kulu ja aeg) ning et otsuse teeks juhatus.

3.2. Kahju vähendamise kohustus

Kindlustusvõtja peab võimaluse korral kahju ära hoidma ja vähendama ning järgima kindlustusandja juhiseid.³ Lunaraha maksmise otsus on sisuliselt kahju vähendamise otsus: kui taastamine varukoopiatest võtab kolm nädalat ja maksmine võimaldab taastada tegevuse kolme päevaga, võib makse vähendada ärikatkestuse kahju. Teisalt ei saa kindlustusvõtja kohustada kindlustusandjat maksma ebaseaduslikku makset. Kindlustusandja juhis mitte maksta peab olema põhjendatud; kui juhis suurendab kahju, tekib küsimus, kes kahju suurenemise kannab.

3.3. Lunaraha crime-kindlustuses

Ka crime-kindlustuse arvutipettuse klausel võib teatud tingimustel katta lunaraha. USA Indiana osariigi ülemkohus leidis 2021. aastal, et süsteemide ülevõtmine ja krüptorahas tehtud makse võisid täita crime-lepingu arvutipettuse klausli tunnused, ning saatis asja uueks arutamiseks.⁴ Kaasus näitab, et küber- ja crime-lepingu koostoime tuleb läbi mõelda: kui küberlepingu väljapressimise alamlimiit on väike, võib kindlustatu otsida katet crime-lepingust ja vastupidi (vt koostoime küberkindlustusega).

3.4. Mida makse ei kata

Lunaraha maksmine ei lõpeta ülejäänud kahju. Isegi pärast makset tuleb süsteemid puhastada, haavatavused sulgeda ja andmed taastada. Andmete väljaviimine on isikuandmetega seotud rikkumine sõltumata sellest, kas ründaja lubab andmed kustutada. Teavitamiskohustused (GDPR, KüTS) kehtivad edasi (vt GDPR, andmeleke ja vastutus).

4. Juhatuse otsus

Lunaraha maksmine on juhatuse pädevuses olev äriotsus, mida hinnatakse korraliku ettevõtja hoolsuse standardi järgi. Juhatuse liige peab tõendama, et ta täitis kohustusi hoolsalt.⁵ Hea otsustusprotsess sisaldab:

1. tehnilist hinnangut taastamise alternatiividele (varukoopiad, aeg, kulud);
2. ärikatkestuse kahju prognoosi mõlema variandi korral;
3. sanktsioonikontrolli tulemust;
4. õigusnõustaja hinnangut teavitamiskohustustele ja võimalikule vastutusele;
5. kindlustusandja seisukohta ja nõusolekut;
6. riskihinnangut, et makse ei pruugi tagada andmete taastamist ega avalikustamata jätmist.

Otsus ja selle alused tuleb protokollida. Kui otsus tehakse ilma nende kaalutlusteta, võib see hiljem saada D&O-nõude aluseks nii juhul, kui makse tehti, kui ka siis, kui seda ei tehtud ja kahju suurenes.

5. Ennetus ja kindlustatavus

Kindlustusandjad seovad lunavarariski kindlustatavuse kindlate meetmetega: mitmikautentimine kaugligipääsul ja e-postis, varukoopiate eraldatus ja testimine, lõppseadmete tuvastus- ja reageerimislahendus, administraatoriõiguste haldus, tarkvarauuenduste õigeaegne paigaldamine. Kui leping seab need ohutusnõudeks ja kindlustusvõtja rikub neid, saab kindlustusandja vabanemisele tugineda üksnes siis, kui rikkumine oli süüline ja mõjutas kindlustusjuhtumi toimumist või kindlustusandja täitmise ulatust.⁶ Suurriskide lepingus võib see kaitse olla lepinguga piiratud.⁷

6. Kontrollnimekiri lunavararünnaku korral

1. Isoleeri süsteemid, ära lülita kõiki seadmeid välja ilma forensika nõuandeta.
2. Teavita kindlustusandjat ja kasuta paneelteenusepakkujaid.
3. Hinda kohe teavitamiskohustusi. Kui ettevõte kuulub küberturvalisuse seaduse kohaldamisalasse ja intsidendil on oluline või mõistlikult eeldatav oluline mõju, esita Riigi Infosüsteemi Ametile (RIA) esmane teade viivitamata, kuid hiljemalt 24 tunni jooksul teadasaamisest, ja intsidenditeade hiljemalt 72 tunni jooksul (usaldusteenuse osutajal 24 tunni jooksul). Isikuandmetega seotud rikkumise korral teavitab vastutav töötleja Andmekaitse Inspektsiooni (AKI) põhjendamatu viivituseta ja võimaluse korral 72 tunni jooksul, välja arvatud juhul, kui rikkumine tõenäoliselt ei ohusta inimeste õigusi ja vabadusi; volitatud töötleja teavitab põhjendamatu viivituseta vastutavat töötlejat. Tähtajad on ülempiirid, mitte ooteajad.⁸ Esita politseile kuriteoteade ja kontrolli, kas kindlustustingimused seda nõuavad.
4. Hinda varukoopiate terviklust ja taastamise aega.
5. Ära suhtle ründajaga ilma spetsialistita.
6. Tee sanktsioonikontroll ja dokumenteeri see.
7. Otsusta juhatuse tasandil, protokolli kaalutlused ja kindlustusandja seisukoht.

Korduma kippuvad küsimused

Kas kindlustusandja võib keelata lunaraha maksmise?

Kindlustusandja võib keelduda lunaraha hüvitamisest, kui leping seab eelneva nõusoleku tingimuseks ja nõusolekut ei antud, või kui makse oleks ebaseaduslik. Kindlustusandja ei saa ettevõttele makse tegemist keelata; otsus jääb juhatusele. Kui ettevõte maksab ilma nõusolekuta, kannab ta selle summa ise.

Kas lunaraha on maksustamisel kulu?

Maksuõiguslik käsitlus ei ole selle lehe teema ja seda tuleb hinnata eraldi. Kindlustusnõude seisukohast on oluline makse ja selle aluste dokumenteerimine.

Kas makse tegemine välistab GDPR-i teavitamise?

Ei. Kui andmed on välja viidud, on rikkumine toimunud sõltumata sellest, kas ründaja lubab need kustutada. Ründaja lubadusele ei saa tugineda.

Kas varukoopiad välistavad kahju?

Toimivad ja eraldatud varukoopiad vähendavad oluliselt taastamise aega ja kahju ning on sageli kindlustatavuse eeldus. Need ei kaitse andmete väljaviimise ja avaldamise eest.

Seotud lehed

• Mida küberkindlustus katab
• Intsidendile reageerimine ja teenusepakkujad
• Sanktsioonid ja kindlustus
• Küberkindlustuse välistused ja vaidlused
• Koostoime küber- ja crime-kindlustuse vahel

Viited