Страховое правоПрисяжный адвокат Олави-Юри Луйк, PhD
Главная / Классификация страхования и страховые услуги: формы, виды и продукты / Страхование от убытков: самые распространенные страховые услуги и их содержание / Страхование crime: мошенничество работника, с платежами и CEO / Дела по страхованию crime: компьютер, электронная почта, работник

Дела по страхованию crime: компьютер, электронная почта, работник

Автор: Олави-Юри Луйк (Olavi-Jüri Luik), PhD, присяжный адвокат (WIDEN)

Содержание

Коротко. Споры по страхованию crime вращаются вокруг трех вопросов: укладывается ли мошенничество в какую-либо часть страховой защиты (компьютерное мошенничество, мошенничество с денежными переводами, мошенническое указание), был ли ущерб «прямым» и прервали ли собственные действия работника причинную связь. Судебная практика США и Канады неоднородна, однако ясно, что единственной надежной защитой от социальной инженерии является отдельная, четко сформулированная страховая защита. Дела изложены своими словами на основе публичных источников; эстонские примеры обобщены и не касаются какого-либо конкретного общества.

1. Medidata v Federal Insurance: поддельное письмо руководителя (США, 2018)

Обстоятельства. Бухгалтер компании-разработчика программного обеспечения получила электронное письмо, которое выглядело отправленным президентом компании и ссылалось на конфиденциальную сделку по приобретению. Затем позвонил «адвокат» и попросил сделать перевод. Компания перевела около 4,8 миллиона долларов США. Страховщик отказал на основании оговорки о компьютерном мошенничестве в договоре crime, поскольку платеж совершили сами работники.

Решение. Апелляционный суд США второго округа указал, что мошенники манипулировали кодом электронного письма так, что система электронной почты компании отображала письмо как письмо президента; это было вводом и изменением данных в компьютерной системе, и ущерб возник непосредственно из этого, поскольку действия работников не прервали причинную связь.1

Урок. Широкая оговорка о компьютерном мошенничестве может покрывать мошенничество по электронной почте, если мошенничество технически использовало систему. Результат зависел от формулировки и технических обстоятельств.

2. American Tooling Center v Travelers: перенаправление счетов (США, 2018)

Обстоятельства. Производственное предприятие оплатило счета китайского поставщика на счет мошенника после электронных писем, которые выглядели отправленными поставщиком и сообщали о новых банковских реквизитах. Ущерб составил около 800 000 долларов США. Страховщик счел, что ущерб не был прямым, поскольку в промежутке имели место собственные действия предприятия (утверждение счетов и платеж).

Решение. Апелляционный суд США шестого округа указал, что ущерб возник непосредственно из мошеннических электронных писем и что промежуточные внутренние действия не сделали его косвенным.1

Урок. Два решения одного судебного года подтвердили широкое толкование, но не устранили противоположную практику (см. п. 3).

3. Apache v Great American: электронное письмо как второстепенное обстоятельство (США, 2016)

Обстоятельства. Нефтяной компании позвонило лицо, выдававшее себя за представителя поставщика, и попросило изменить банковские реквизиты. Компания потребовала письменного запроса, получила электронное письмо с письмом от имени поставщика и проверила его, позвонив по указанному в письме номеру, который принадлежал мошеннику. Компания оплатила счета по фактическим поставкам на новый счет; чистый ущерб составил около 2,4 миллиона долларов США.

Решение. Апелляционный суд США пятого округа указал, что электронное письмо было в многоступенчатой цепи мошенничества второстепенным и ущерб не возник «непосредственно» из использования компьютера; оговорка о компьютерном мошенничестве не применялась.2

Урок. Если в мошенничестве несколько человеческих шагов (телефонный звонок, проверка, решение), суд может счесть использование компьютера второстепенным по отношению к последствию. Не помогла и собственная контрольная процедура компании, поскольку она проводилась через канал, предоставленный мошенником.

4. Principle Solutions v Ironshore: мошенническое указание покрыто (США, 2019)

Обстоятельства. Контролер компании получил электронное письмо, которое выглядело отправленным руководителем, с просьбой сделать перевод в связи с конфиденциальным приобретением; затем последовал звонок «адвоката». Платеж составил около 1,7 миллиона долларов США.

Решение. Апелляционный суд США одиннадцатого округа указал, что ущерб покрывался договором crime и возник непосредственно из мошенничества, хотя работники компании сами подтвердили платеж.3

Урок. Аргумент страховщика о том, что свободное решение работника прерывает причинную связь, не всегда успешен. Тем не менее это не заменяет четкой страховой защиты от социальной инженерии.

5. The Brick v Chubb: пределы страховой защиты от мошенничества с денежными переводами (Канада, 2017)

Обстоятельства. Работник продавца мебели изменил банковские реквизиты поставщика после телефонного звонка мошенника, и предприятие совершило несколько платежей на счет мошенника, всего более 300 000 канадских долларов.

Решение. Суд Альберты указал, что оговорка о мошенничестве с денежными переводами, покрывающая указания банку, данные без ведома и согласия застрахованного лица, не применялась, поскольку предприятие само дало банку указания и знало о платежах.4

Урок. Страховая защита от мошенничества с денежными переводами предназначена для ситуации, в которой мошенник дает указание банку от имени застрахованного лица, а не для ситуации, в которой обманут сам застрахованный. В эстонском праве платежных услуг этому соответствует различие между авторизованным и неавторизованным платежом (см. ответственность банка).

6. G&G Oil v Continental Western: выкуп (США, 2021)

Криптовалюта, уплаченная в ходе атаки программы-вымогателя, по оценке высшей судебной инстанции штата Индиана могла подпадать под оговорку о компьютерном мошенничестве в договоре crime; дело было направлено на новое рассмотрение.5 См. атака программы-вымогателя и выкуп.

7. Обобщенные сценарии из эстонской практики

Фиктивный поставщик бухгалтера. Бухгалтер создал в системе поставщика, счет которого принадлежал его сожительнице, и в течение четырех лет оплачивал небольшие счета. Мошенничество было обнаружено после запроса аудитора. Договор crime был основан на наступлении ущерба; ущерб прежних лет покрывался только благодаря оговорке о предыдущем страховании, поскольку страховая защита была непрерывной (см. принцип обнаружения и принцип наступления ущерба).

Поручение от имени исполнительного директора. Финансовый директор на основании электронного письма, отправленного от имени исполнительного директора, сделал срочный платеж за границу. В договоре crime страховая защита от социальной инженерии имела сублимит 100 000 евро; платеж составил 380 000 евро. В отношении непокрытой части возник спор об ответственности правления, поскольку двойного подтверждения не было.

Изменение данных о заработной плате. Мошенник направил в отдел кадров электронное письмо от имени работника с новым номером счета, и зарплата за один месяц была переведена мошеннику. Ущерб был небольшим и не превышал собственную ответственность; урок касался процесса, а не страхования.

8. Выводы

  1. Проверьте, есть ли в договоре отдельная страховая защита от мошеннического указания и социальной инженерии; не полагайтесь на широкое толкование оговорки о компьютерном мошенничестве.
  2. Сублимит должен соответствовать размеру фактических платежей.
  3. Проверка должна проводиться по независимому, заранее известному каналу.
  4. При длительном мошенничестве непрерывность страховой защиты так же важна, как лимит.

Как эти же вопросы решил бы эстонский суд

Эстонский суд при толковании договора исходил бы из понимания разумного страхователя, а при сомнении толковал бы условие в ущерб лицу, его использующему. Этот принцип скорее поддерживает широкое толкование в случае, если оговорка о компьютерном мошенничестве прямо не говорит, что должна быть использована компьютерная система застрахованного лица. С другой стороны, эстонский суд оценивал бы причинную связь по общим правилам гражданского права: был ли ущерб следствием мошенничества и охватывался ли он защитной целью договора. Если в договоре есть отдельная страховая защита от социальной инженерии с сублимитом, суд, вероятно, истолковал бы общую оговорку о компьютерном мошенничестве так, что она не покрывает тот же риск без ограничений, поскольку иначе сублимит утратил бы смысл. Это аналитический вывод, который практика Государственного суда еще не подтвердила.

Практическое резюме для переговоров о договоре

На основе дел при переговорах о договоре стоит требовать следующего: оговорки о компьютерном мошенничестве, охватывающей любое использование компьютера и манипулирование информацией, отображаемой в системе застрахованного лица; отдельной страховой защиты от мошеннического указания и социальной инженерии, охватывающей указания, данные по электронной почте, по телефону и в видеозвонке; четкого определения «прямого ущерба», которое не считает промежуточные действия работника застрахованного лица прерыванием причинной связи; а также требования о проверке, соответствующего фактическому процессу предприятия.

Связанные страницы

Примечания

  1. Medidata Solutions Inc. v. Federal Insurance Co., U.S. Court of Appeals for the Second Circuit, 2018; American Tooling Center Inc. v. Travelers Casualty and Surety Co. of America, U.S. Court of Appeals for the Sixth Circuit, 2018. Вторичный источник: Simpson Thacher & Bartlett, 06.08.2018. – https://www.stblaw.com/about-us/publications/view/2018/08/06/two-federal-circuit-courts-rule-that-fraudulent-wire-transfer-losses-are-covered-by-liability-policy ↩↩

  2. Apache Corp. v. Great American Insurance Co., U.S. Court of Appeals for the Fifth Circuit, 2016 (неопубликованное решение). – https://www.ca5.uscourts.gov/Opinions/unpub/15/15-20499.0.pdf ↩

  3. Principle Solutions Group LLC v. Ironshore Indemnity Inc., U.S. Court of Appeals for the Eleventh Circuit, 2019. Вторичный источник: Simpson Thacher & Bartlett, 19.12.2019. – https://www.stblaw.com/about-us/publications/view/2019/12/19/eleventh-circuit-rules-that-crime-policy-covers-email-phishing-scheme-resulting-in-fraudulent-wire-transfer ↩

  4. The Brick Warehouse LP v. Chubb Insurance Company of Canada, Alberta Court of Queen's Bench, 2017. Вторичный источник: Slaw, 23.08.2017. – https://www.slaw.ca/2017/08/23/cyber-security-when-social-engineering-fraud-is-not-covered-under-your-insurance-policy/ ↩

  5. G&G Oil Co. of Indiana v. Continental Western Insurance Co., Indiana Supreme Court, 2021. Вторичный источник: Simpson Thacher & Bartlett, 30.04.2021. – https://www.stblaw.com/about-us/publications/view/2021/04/30/indiana-supreme-court-rules-that-ransomware-losses-may-be-subject-to-computer-fraud-coverage ↩