Страховое правоПрисяжный адвокат Олави-Юри Луйк, PhD
Главная / Классификация страхования и страховые услуги: формы, виды и продукты / Страхование от убытков: самые распространенные страховые услуги и их содержание / Страхование crime: мошенничество работника, с платежами и CEO / Страхование crime: компьютерное мошенничество и переводы

Страхование crime: компьютерное мошенничество и переводы

Автор: Олави-Юри Луйк (Olavi-Jüri Luik), PhD, присяжный адвокат (WIDEN)

Содержание

Коротко. Страховая защита от компьютерного мошенничества возмещает ущерб, возникающий, когда кто-либо использует компьютер либо вводит, изменяет или удаляет данные в системе застрахованного лица с целью перевести деньги или имущество. Страховая защита от мошенничества с денежными переводами возмещает ущерб, возникающий из мошеннического указания банку, которое выглядит исходящим от застрахованного лица. Самый спорный вопрос состоит в том, возник ли ущерб «непосредственно» из использования компьютера, если мошенническое электронное письмо побудило работника самого совершить платеж. Международная судебная практика по этому вопросу разделилась, и результат зависит от точной формулировки. В эстонском уголовном праве этому явлению соответствует компьютерное мошенничество, однако понятие в договоре crime является договорным.

1. Два разных компонента

1.1. Компьютерное мошенничество (computer fraud)

Типичная формулировка покрывает ущерб, возникающий непосредственно из использования компьютера для того, чтобы мошенническим образом вызвать перевод денег, ценных бумаг или иного имущества из владения застрахованного лица лицу или в место вне контроля застрахованного лица. Некоторые формулировки требуют, чтобы мошенник использовал компьютерную систему застрахованного лица (ввел, изменил или удалил данные или программы). Другая формулировка шире и охватывает любое использование компьютера.

1.2. Мошенничество с денежными переводами (funds transfer fraud)

Этот компонент покрывает ситуацию, в которой мошенник дает банку электронное или иное указание перевести деньги со счета застрахованного лица, и указание выглядит исходящим от застрахованного лица, но дано без его ведома и согласия. Страховая защита предназначена для мошенничества, совершаемого через банк. Если работник застрахованного лица сам дает банку указание, будучи обманутым, это не указание, данное «без ведома застрахованного лица». Это главная причина, по которой страховая защита от мошенничества с денежными переводами обычно не покрывает социальную инженерию (см. социальная инженерия).

2. Основной вопрос: прямая причинная связь

Оговорка о компьютерном мошенничестве требует, чтобы ущерб возник непосредственно из использования компьютера (resulting directly from). Если мошенник отправляет поддельное электронное письмо и работник на его основании совершает платеж, в причинной цепи присутствует решение человека. Суды ответили на этот вопрос по-разному.

Узкий подход. Апелляционный суд США пятого округа в 2016 году указал, что электронное письмо было в мошенничестве второстепенным: мошенничество состояло из телефонного звонка, электронного письма, собственной контрольной процедуры предприятия и решения работников оплатить счета за фактические поставки на новый счет, поэтому ущерб не возник непосредственно из использования компьютера.1

Широкий подход. Апелляционный суд США второго округа в 2018 году указал, что мошеннические электронные письма, оформленные так, что система электронной почты отображала их как письма руководителя предприятия, представляли собой изменение данных системы, и ущерб возник непосредственно из них.2 Шестой округ в том же году по делу о перенаправлении счетов указал, что мошеннические электронные письма причинили ущерб непосредственно, хотя в промежутке имели место действия работников.2

Иные решения. Суд провинции Альберта (Канада) в 2017 году указал, что страховая защита от мошенничества с денежными переводами не применялась, если работник предприятия на основании телефонного звонка мошенника изменил банковские реквизиты поставщика и предприятие совершило платеж само.3

Аналитический вывод для эстонского права: эстонский суд толковал бы условие так, как его понимало бы разумное лицо, а при сомнении в ущерб лицу, использующему условие.4 Если оговорка требует использования «компьютерной системы застрахованного лица», ее трудно распространить на отправку внешнего электронного письма. Если оговорка говорит о «любом использовании компьютера» и о «прямом» ущербе, у застрахованного лица есть сильный аргумент в пользу того, что мошенничество по электронной почте охвачено. Однако для страхователя единственным надежным решением является отдельная страховая защита от социальной инженерии.

3. Манипулирование системой

Классической сферой компьютерного мошенничества является манипулирование самой системой:

  • злоумышленник получает доступ к учетной записи интернет-банка или ERP-системы и инициирует платеж;
  • вредоносная программа изменяет номер счета получателя в платежном файле перед отправкой в банк;
  • злоумышленник изменяет банковские реквизиты в базе данных поставщиков;
  • работник изменяет данные в системе расчета заработной платы (в этом случае может применяться и страховая защита от нечестного деяния работника).

В этих ситуациях причинная связь обычно ясна. Спор может возникнуть на границе кибердоговора и договора crime: кибердоговор покрывает восстановление систем и форензику, договор crime утраченные деньги (см. взаимодействие с киберстрахованием).

4. Связь с уголовным правом

Пенитенциарный кодекс рассматривает компьютерное мошенничество как отдельный состав.5 Однако «компьютерное мошенничество» в договоре crime не является уголовно-правовым понятием: страховая защита по договору не предполагает, что кто-либо был осужден, или что деяние точно соответствует составу по KarS. Тем не менее уголовное производство полезно для сбора доказательств: полиция может потребовать от банков информацию о движении денег, которую застрахованное лицо само получить не может.

5. Что страховая защита от компьютерного мошенничества обычно не охватывает

  • ущерб, возникающий из данных, введенных уполномоченным пользователем застрахованного лица (работником), за исключением случая, когда работник действовал с целью мошенничества (тогда речь идет о нечестном деянии работника);
  • расходы на восстановление систем;
  • косвенный ущерб, перерыв в деятельности и упущенную выгоду;
  • мошенничество с кредитными картами, если оно исключено отдельно;
  • ущерб, возникающий из предоставленного застрахованным лицом кредита или товара, поставленного мошеннику (например, заказ от имени поддельного клиента), если договор это исключает.

6. Выкуп как компьютерное мошенничество

Высшая судебная инстанция штата Индиана (Indiana Supreme Court) в 2021 году указала, что захват систем в ходе атаки программы-вымогателя и совершенный вследствие этого платеж в криптовалюте могли подпадать под оговорку о компьютерном мошенничестве в договоре crime, поскольку платеж был прямым следствием взлома.6 Решение важно, но не поддается обобщению: результат зависел от формулировки оговорки, и дело было направлено на новое рассмотрение.

7. Контрольные вопросы

  1. Требует ли оговорка о компьютерном мошенничестве использования системы застрахованного лица или охватывает любой компьютер?
  2. Охватывает ли страховая защита от мошенничества с денежными переводами указания, данные обманутым работником?
  3. Имеется ли отдельно страховая защита от социальной инженерии?
  4. Как определен «прямой ущерб»?
  5. Исключен ли выкуп в договоре crime или покрывается?

Часто задаваемые вопросы

Является ли мошенническое электронное письмо компьютерным мошенничеством?

Это зависит от формулировки договора и технических обстоятельств. Если мошенник манипулировал системой застрахованного лица (например, изменил отображение электронного письма или проник в почтовый ящик), аргумент в пользу компьютерного мошенничества сильнее. Если электронное письмо было обычным сообщением, на основании которого работник сам решил совершить платеж, многие суды рассматривают это как социальную инженерию, для которой нужна отдельная страховая защита.

Покрывается ли захват учетной записи интернет-банка?

Если мошенник вошел в интернет-банк с украденными паролями и инициировал платеж, это типичный случай компьютерного мошенничества или мошенничества с денежными переводами. Одновременно по праву платежных услуг это, вероятно, неавторизованный платеж, при котором у банка может быть обязанность возврата. Предприятию следует предъявить требование как банку, так и страховщику и уведомить каждого из них о другом.

Покрывает ли договор crime восстановление систем?

Как правило, нет. Восстановление систем, форензика и перерыв в деятельности относятся к киберстрахованию. Договор crime может покрывать расходы на расследование для установления размера ущерба, нередко в пределах сублимита.

Являются ли криптовалюты «деньгами» или «иным имуществом»?

Договоры crime определяют покрываемое имущество (деньги, ценные бумаги, иное имущество). Подход к криптовалютам зависит от определения; некоторые более новые договоры упоминают их отдельно либо как покрываемое, либо как исключенное имущество. Если предприятие хранит криптоактивы, это необходимо отдельно обсудить со страховщиком.

Связанные страницы

Примечания

  1. Apache Corp. v. Great American Insurance Co., U.S. Court of Appeals for the Fifth Circuit, 2016 (неопубликованное решение). – https://www.ca5.uscourts.gov/Opinions/unpub/15/15-20499.0.pdf; вторичный источник: Simpson Thacher & Bartlett, 29.11.2016. – https://www.stblaw.com/about-us/publications/view/2016/11/29/fifth-circuit-rules-that-computer-fraud-provision-does-not-encompass-fraudulently-induced-wire-transfer-claims ↩

  2. Medidata Solutions Inc. v. Federal Insurance Co., U.S. Court of Appeals for the Second Circuit, 2018; American Tooling Center Inc. v. Travelers Casualty and Surety Co. of America, U.S. Court of Appeals for the Sixth Circuit, 2018. Вторичный источник: Simpson Thacher & Bartlett, 06.08.2018. – https://www.stblaw.com/about-us/publications/view/2018/08/06/two-federal-circuit-courts-rule-that-fraudulent-wire-transfer-losses-are-covered-by-liability-policy ↩↩

  3. The Brick Warehouse LP v. Chubb Insurance Company of Canada, Alberta Court of Queen's Bench, 2017. Вторичный источник: Slaw. Cyber Security: When Social Engineering Fraud Is Not Covered Under Your Insurance Policy, 23.08.2017. – https://www.slaw.ca/2017/08/23/cyber-security-when-social-engineering-fraud-is-not-covered-under-your-insurance-policy/ ↩

  4. VÕS § 39 (RT I, 20.06.2026, 18; в силе с 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S ↩

  5. KarS § 213 (RT I, 09.07.2026, 28; в силе с 01.10.2026). – https://www.riigiteataja.ee/akt/KarS ↩

  6. G&G Oil Co. of Indiana v. Continental Western Insurance Co., Indiana Supreme Court, 2021. Вторичный источник: Simpson Thacher & Bartlett, 30.04.2021. – https://www.stblaw.com/about-us/publications/view/2021/04/30/indiana-supreme-court-rules-that-ransomware-losses-may-be-subject-to-computer-fraud-coverage ↩