Социальная инженерия и CEO-мошенничество в страховании crime

Коротко. При мошенничестве с использованием социальной инженерии злоумышленник взламывает не систему, а доверие: работник сам совершает платеж, полагая, что поручение исходит от поставщика, руководителя или банка. Поскольку платеж является умышленным действием работника, он может не укладываться в оговорку классического договора crime о краже или о компьютерном мошенничестве. Поэтому на рынке существует отдельная страховая защита от мошеннического указания (fraudulent instruction) и социальной инженерии (social engineering), которая почти всегда имеет сублимит и связана с требованиями о проверке. В праве платежных услуг такой платеж авторизован плательщиком, поэтому банк, как правило, деньги не возвращает; ответственность банка за нарушение собственных обязанностей, например проверки получателя платежа, оценивается отдельно.

1. Типичные схемы

1.1. Перенаправление счета (invoice redirection)

Злоумышленник получает доступ к учетной записи электронной почты поставщика или самого предприятия, следит за перепиской и в нужный момент отправляет сообщение о «новых банковских реквизитах». Нередко добавляется правдоподобное обоснование (смена банка, требование аудита, внутригрупповая реорганизация). Бухгалтерия меняет данные поставщика и оплачивает следующий счет на счет мошенника. Мошенничество обнаруживается лишь тогда, когда настоящий поставщик спрашивает, почему счет не оплачен.

1.2. CEO-мошенничество (fake president)

Мошенник выдает себя за исполнительного директора или иного высшего руководителя и дает финансовому работнику поручение сделать срочный и конфиденциальный платеж, ссылаясь, например, на незавершенную сделку по приобретению. Сила схемы вытекает из иерархического давления и давления времени. Используются также поддельный голос или видео.

1.3. Кража личности поставщика и захват учетной записи

Мошенник использует настоящую, захваченную учетную запись, а не поддельный адрес. Письма приходят с правильного адреса, ссылаются на фактические заказы и содержат правильную подпись. Обнаружить такое мошенничество значительно сложнее.

1.4. Выдача себя за банк

Мошенник звонит предприятию от имени банка и просит подтвердить «аннулирование подозрительной операции», получая таким образом коды подтверждения. Правовая оценка этой схемы зависит от того, был ли платеж авторизован плательщиком (см. п. 4).

2. Почему классическая защита crime может не применяться

Классическими компонентами crime являются нечестное деяние работника, кража из помещений, подделка и компьютерное мошенничество. При социальной инженерии:

• работник не является нечестным, он обманут;
• деньги не забирают у предприятия, предприятие платит само;
• документ может не быть поддельным в классическом смысле (электронное письмо подлинное, но его содержание ложное);
• компьютерной системой не манипулируют; использование электронной почты является лишь средством связи.

В судебной практике США применение оговорки о компьютерном мошенничестве к таким случаям было противоречивым: часть судов указала, что использование электронного письма в мошенничестве второстепенно, другие, что мошенническое электронное письмо, манипулировавшее отображаемой в системе информацией, причинило ущерб непосредственно (см. компьютерное мошенничество и дела по страхованию crime).

3. Страховая защита от мошеннического указания и социальной инженерии

3.1. Содержание

Отдельная страховая защита возмещает ущерб, возникающий, когда работник добросовестно совершает платеж, полагаясь на указание, которое выглядит исходящим от поставщика, клиента, руководителя или банка, но фактически исходит от мошенника. Условия обычно требуют, чтобы:

• указание было адресовано работнику застрахованного лица;
• работник верил в подлинность указания;
• работник не знал о мошенничестве и не участвовал в нем;
• платеж был совершен со счета застрахованного лица или от его имени.

3.2. Сублимит

Страховая защита почти всегда имеет сублимит, который может составлять долю основного лимита. Предприятию необходимо сравнить сублимит с размером типичного и крупнейшего платежа. Если предприятие регулярно оплачивает счета на сотни тысяч, а сублимит составляет 100 000 евро, большая часть вероятного ущерба остается без страховой защиты.

3.3. Требование о проверке (verification condition)

Многие договоры требуют, чтобы перед изменением банковских реквизитов или платежом новому получателю указание проверялось через независимый канал, например звонком на ранее известный номер поставщика (call-back). Если проверка не проводилась, страховая защита отсутствует или возмещение уменьшается. В эстонском праве необходимо оценить, является ли такое условие исключением (разграничением страхового случая) или обязанностью проявлять прилежание (заботливость и осмотрительность). Государственный суд использует для разграничения критерий, зависит ли выполнение условия от действий страхователя; нарушение обязанности проявлять прилежание, как правило, не должно полностью исключать возмещение.¹ Если речь идет об обязанности проявлять прилежание, страховщик может освободиться только в том случае, если нарушение было виновным и повлияло на наступление страхового случая.² Независимый обратный звонок почти всегда предотвратил бы мошенничество, поэтому причинная связь, как правило, имеется.

4. Роль банка

Платеж при социальной инженерии в смысле права платежных услуг авторизован плательщиком. Платежная операция обязательна для плательщика, если он дал на нее согласие согласованным способом.³ При неавторизованном платеже банк должен незамедлительно вернуть сумму плательщику, однако при авторизованном платеже эта обязанность не возникает.⁴ Если платеж исполнен в соответствии с уникальным идентификатором (номером счета), он считается исполненным надлежащим образом и тогда, когда плательщик указал имя получателя, не соответствующее владельцу счета.⁵ Поставщики платежных услуг еврозоны с октября 2025 года обязаны предлагать услугу проверки получателя платежа, которая проверяет соответствие имени получателя и счета.⁶ Подробнее см. ответственность банка и правила о платежных услугах.

5. После обнаружения мошенничества

1. Сразу уведомите банк и попросите об отзыве (recall) и об уведомлении банка получателя. Первые часы имеют решающее значение, поскольку деньги быстро уходят дальше.
2. Подайте сообщение о преступлении в полицию; обычно это также условие договора страхования.
3. Незамедлительно уведомите страховщика.⁷
4. Сохраните доказательства: электронные письма вместе с заголовками, данные о телефонных звонках, платежные поручения, внутренний процесс подтверждения.
5. Проверьте, не является ли это также киберинцидентом: если учетная запись электронной почты захвачена, могла произойти утечка данных и может потребоваться уведомление.

6. Ответственность правления

Если у предприятия нет порядка проверки изменения банковских реквизитов и двойного подтверждения платежей, участники или управляющий в деле о банкротстве после крупного мошенничества могут утверждать, что правление не организовало внутренний контроль с прилежанием надлежащего предпринимателя.⁸ Страхование crime возмещает ущерб общества в пределах сублимита; в отношении остального ущерба может возникнуть вопрос об ответственности правления (см. дела по D&O).

7. Контрольный список

1. Есть ли в договоре страховая защита от мошеннического указания и социальной инженерии и каков сублимит?
2. Какие требования о проверке являются условием страховой защиты и соответствуют ли они фактическому процессу?
3. Охватывает ли страховая защита также платежи, совершенные от имени клиента, и деньги клиентов?
4. Покрывается ли выдача себя за банк?
5. Есть ли в кибердоговоре сублимит на тот же риск и как договоры соотносятся друг с другом?

Часто задаваемые вопросы

Меняет ли голос или видео, созданные искусственным интеллектом, положение по страхованию?

Дипфейки (deepfake) делают мошенничество более правдоподобным, но юридически это та же схема: работник совершает платеж, будучи обманутым. Страховая защита зависит от того, охватывает ли оговорка о социальной инженерии помимо электронной почты также указания, данные в телефонном разговоре и видеозвонке. Более новые формулировки охватывают все каналы связи.

Действует ли страховая защита, если мошенник выдал себя за клиента и предприятие отправило товар?

Если мошенник заказал товар от имени поддельного клиента и предприятие отправило товар мошеннику, речь не идет о переводе денег. Некоторые договоры покрывают это отдельно (например, мошенничество с перенаправлением товара), многие исключают кредитный риск. Условия необходимо проверить.

Предполагает ли страховая защита от социальной инженерии, что работник не проявил халатности?

Страховая защита предназначена именно для ситуации, в которой работник ошибся. Халатность сама по себе не исключает страховую защиту, но нарушение предусмотренного договором требования о проверке может на нее повлиять в зависимости от причинной связи.

Каким должен быть сублимит?

Сублимит должен покрывать как минимум крупнейший обычный платеж предприятия. Если предприятие редко, но совершает очень крупные платежи (например, сделка с недвижимостью, приобретение), для них разумен отдельный процесс проверки, поскольку сублимиты редко покрывают такие суммы.

Связанные страницы

• Страхование crime (обзор)
• Компьютерное мошенничество
• Ответственность банка и правила о платежных услугах
• Взаимодействие с киберстрахованием
• Дела по страхованию crime

Примечания