# Дела по киберстрахованию: NotPetya, Merck и цепочка поставок

Адрес: https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/kaasused/
Автор: Олави-Юри Луйк (Olavi-Jüri Luik), PhD, Партнер, руководитель направления страхового права, присяжный адвокат (Advokaadibüroo WIDEN OÜ)
Последнее обновление: 2026-11-11

> Публичные дела по киберстрахованию (Merck, Mondelez, Clorox v Cognizant, G&G Oil), изложенные своими словами, и уроки для эстонского предпринимателя.

> **Коротко.** Судебная практика по киберстрахованию происходит главным образом из США, однако ее уроки универсальны. Дела NotPetya показали, что традиционное исключение военного риска не подходит для киберопераций, и побудили рынок ввести более точные оговорки. Дела о цепочке поставок показывают, что ущерб предприятия может начаться в службе поддержки поставщика услуг. Дело о выкупе по договору crime показывает, что одно и то же событие может найти покрытие в нескольких договорах. Дела изложены своими словами на основе публичных источников.

## 1. Merck v ACE American: NotPetya и исключение военного риска (США)

**Обстоятельства.** В июне 2017 года вредоносная программа NotPetya распространилась через обновление украинской бухгалтерской программы и парализовала системы тысяч предприятий по всему миру. Американский производитель лекарств Merck предъявил требование по своей программе страхования имущества (*all risks*), размер которого публично описывался как примерно 1,4 миллиарда долларов США. Страховщики отказали, сославшись на исключение враждебных и военных действий, поскольку правительства США и Великобритании приписали атаку военной разведке России.

**Судебное производство.** Суд первой инстанции штата Нью-Джерси и в мае 2023 года апелляционный суд указали, что исключение, ссылающееся на враждебные или военные действия, охватывает вооруженный конфликт в его обычном значении, а не кибератаку на коммерческое общество, не связанную с военными действиями.[^1] В январе 2024 года стороны объявили о компромиссе, условия которого не раскрывались.[^2]

**Урок.** Суд истолковал исключение узко и в ущерб лицу, его использующему; в эстонском праве правило толкования типовых условий привело бы к той же исходной точке.[^3] Однако дело не означает, что кибератака всегда покрывается: новые кибероговорки (LMA 5564-5567 и др.)[^9] формулируют исключение именно для такой ситуации (см. [исключения в киберстраховании](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/valistused-ja-vaidlused/)).

## 2. Mondelez v Zurich: та же атака, компромисс (США)

**Обстоятельства.** Производитель продуктов питания Mondelez понес из-за NotPetya ущерб, публично описывавшийся примерно в 100 миллионов долларов США, и предъявил требование по своему договору страхования имущества. Страховщик сослался на исключение военного риска. Спор в суде штата Иллинойс завершился в конце 2022 года компромиссом до вынесения окончательного судебного акта.[^4]

**Урок.** Одна и та же атака повлекла два спора и два разных итога, однако ни один из них не создал четкого прецедента в отношении кибероперации. Реакция рынка (рыночный бюллетень Lloyd's Y5381 об исключении кибератак, поддерживаемых государством[^5]) на практике влиятельнее судебных решений. Эстонскому предпринимателю следует исходить из того, что современный договор содержит исключение государственной кибероперации, и проверить его формулировку.

## 3. Clorox v Cognizant: служба поддержки как вектор проникновения (США)

**Обстоятельства.** В 2023 году производителя потребительских товаров Clorox поразил киберинцидент, вызвавший нарушения производства и поставок. В 2025 году Clorox предъявил иск своему поставщику ИТ-услуг Cognizant, утверждая, что служба поддержки поставщика по просьбе злоумышленника сбросила пароли работников и многофакторную аутентификацию без надлежащей идентификации личности. Размер требования публично описывался примерно в 380 миллионов долларов США. Поставщик услуг оспорил эти утверждения.[^6]

**Урок.** Вектором проникновения была не техническая уязвимость, а процесс: идентификация личности в службе поддержки. Дело поднимает три важных для эстонского права вопроса: требования безопасности и ограничения ответственности в договоре об оказании услуг; регрессное требование страховщика к поставщику услуг после выплаты возмещения (VÕS § 492);[^7] обязанность правления выбирать и контролировать поставщика услуг с прилежанием надлежащего предпринимателя. Многофакторная аутентификация бесполезна, если ее можно сбросить одним телефонным звонком.

## 4. G&G Oil v Continental Western: выкуп по договору crime (США)

**Обстоятельства.** Системы топливной компании из Индианы были зашифрованы, и компания уплатила выкуп в криптовалюте, чтобы восстановить доступ к системам. Киберстрахования у компании не было, но был договор crime, покрывавший мошенничество, вытекающее из использования компьютера. Суды нижестоящих инстанций указали, что страховая защита отсутствовала. Высшая судебная инстанция штата Индиана (Indiana Supreme Court) в 2021 году указала, что захват систем и вымогательство платежа через него могли соответствовать признакам компьютерного мошенничества по договору, и направила дело на новое рассмотрение.[^8]

**Урок.** Уплата выкупа связана как с киберстрахованием, так и со страхованием crime. Если у общества есть оба договора, необходимо проверить, какой из них является первичным и действует ли второй в качестве дополнительной защиты (см. [взаимодействие с киберстрахованием](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/crime-kindlustus/koostoime-kuberkindlustusega/)).

## 5. Эстонский и балтийский контекст

Эстония сталкивается с государственно мотивированными киберкампаниями с весны 2007 года, когда масштабные атаки типа «отказ в обслуживании» поразили государственные учреждения, банки и СМИ. Более поздние атаки на публичные услуги балтийских государств нередко по времени совпадали с политическими событиями. В отношении этих случаев неизвестно, было ли у затронутых обществ киберстрахование и как страховщики квалифицировали бы их; поэтому из них нельзя делать выводы о конкретных договорах. Тем не менее общий вывод ясен: в балтийских государствах военную оговорку и правила атрибуции кибердоговора следует читать, исходя из того, что государственно мотивированная атака не является теоретическим сценарием.

## 6. Обобщенные сценарии

**Обновление бухгалтерской программы.** Производитель бухгалтерской программы предприятия был скомпрометирован, и с обновлением распространилась вредоносная программа. Кибердоговор предприятия покрыл восстановление и перерыв в деятельности, однако страховщик рассматривал исключение государственной кибероперации, поскольку в СМИ атаку связывали с разведкой иностранного государства. Решающей стала оговорка об атрибуции: договор требовал официальной атрибуции правительством, которой не было.

**Перерыв в работе облачного сервиса.** Интернет-магазин предприятия не работал два дня из-за сбоя поставщика облачных услуг, который не был атакой. Договор покрывал зависимый перерыв в деятельности только при кибератаке; сбой системы не был покрыт. Решением было бы расширение *system failure*.

**Известная уязвимость.** Атака произошла через уязвимость средства удаленного администрирования, исправление для которой производитель опубликовал за шесть недель до этого. Договор содержал исключение неустраненных уязвимостей по истечении 45 дней. Спор сосредоточился на том, когда исправление было «доступно» и не являлось ли исключение по существу обязанностью проявлять прилежание (заботливость и осмотрительность), влияние нарушения которой должен был доказать страховщик.

## Что дела говорят о формулировке договора

Из дел можно вывести конкретные вопросы, которые стоит обсудить со страховщиком при заключении или возобновлении кибердоговора.

1. **Форма военного исключения.** Содержит ли договор классическое исключение военных действий или новую оговорку о кибероперации? Если оговорка новая, то какой вариант и какое правило атрибуции?
2. **Киберисключение в договоре страхования имущества.** Если у предприятия помимо кибердоговора есть договор страхования имущества от всех рисков, исключает ли он кибератаку? Merck и Mondelez предъявляли требования именно по договору страхования имущества; сегодня во многих договорах страхования имущества есть киберисключение.
3. **Риск поставщика услуг.** Покрывается ли зависимый перерыв в деятельности и охватывает ли он как атаку, так и сбой системы? Покрываются ли действия поставщика ИТ-услуг так же, как инцидент в собственных системах предприятия?
4. **Выкуп.** Достаточна ли защита от вымогательства и может ли договор crime быть дополнительной защитой?
5. **Регресс.** Раскрыты ли страховщику ограничения ответственности в договорах об оказании услуг?

## Почему судебных решений мало

Значительная часть споров по киберстрахованию разрешается компромиссом или в арбитраже, результаты которого не публикуются. Поэтому участники рынка и комментаторы опираются на небольшое число публичных решений, главным образом из США. Насколько известно автору, Государственный суд до сих пор не рассматривал по существу спор по киберстрахованию. Эстонский суд разрешил бы спор по киберстрахованию по общим положениям VÕS о договоре страхования и по правилам толкования типовых условий. Практика Государственного суда об исключениях, требованиях безопасности и причинной связи в страховании имущества переносима на киберстрахование (см. [исключения и споры в киберстраховании](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/valistused-ja-vaidlused/)).

## Связанные страницы

- [Исключения и споры в киберстраховании](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/valistused-ja-vaidlused/)
- [Кибератака как военные действия](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/sojarisk/kuberrunnak-kui-sojategevus/)
- [Атака программы-вымогателя и выкуп](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/lunavara-ja-lunaraha/)
- [Дела по страхованию crime](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/crime-kindlustus/kaasused/)
- [Дела по D&O](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/do-kindlustus/kaasused/)

## Примечания

[^1]: Merck & Co. v. ACE American Insurance Co., New Jersey Superior Court, Appellate Division, 01.05.2023. Вторичный источник: Simpson Thacher & Bartlett. New Jersey Appellate Court Affirms That War Exclusion Does Not Bar Coverage for Malware Claims. – Insurance Law Alert, 31.05.2023. – https://www.stblaw.com/about-us/publications/view/2023/05/31/new-jersey-appellate-court-affirms-that-war-exclusion-does-not-bar-coverage-for-malware-claims-%28insurance-law-alert%29
[^2]: Вторичный источник: Business Insurance. Merck, insurers settle dispute over 2017 NotPetya cyberattack, 05.01.2024. – https://www.businessinsurance.com/article/20240105/NEWS06/912361959/Merck,-insurers-settle-dispute-over-2017-NotPetya-cyberattack-Merck-Co,-Inc-v
[^3]: VÕS § 39 (RT I, 20.06.2026, 18; в силе с 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S
[^4]: Вторичный источник: The Register. Mondelez, Zurich settle NotPetya insurance dispute, 02.11.2022. – https://www.theregister.com/2022/11/02/mondelez_zurich_notpetya_settlement/
[^5]: Lloyd's. Market Bulletin Y5381: State backed cyber-attack exclusions, 17.08.2022. – https://assets.lloyds.com/media/e9a4058c-4c25-48d6-99d3-0c466987e099/Y5381%20Market%20Bulletin%20-%20Cyber-attack%20exclusions.pdf
[^6]: Вторичный источник: The Register. $380M lawsuit claims intruder got Clorox's passwords from Cognizant simply by asking, 23.07.2025. – https://www.theregister.com/2025/07/23/lawsuit_clorox_vs_cognizant/
[^7]: VÕS § 492 ч. 1 (сноска 3).
[^8]: G&G Oil Co. of Indiana v. Continental Western Insurance Co., Indiana Supreme Court, 2021. Вторичный источник: Simpson Thacher & Bartlett. Indiana Supreme Court Rules That Ransomware Losses May Be Subject to Computer Fraud Coverage, 30.04.2021. – https://www.stblaw.com/about-us/publications/view/2021/04/30/indiana-supreme-court-rules-that-ransomware-losses-may-be-subject-to-computer-fraud-coverage
[^9]: Lloyd's Market Association. Cyber war and cyber operation clauses updated. – https://lmalloyds.com/cyber-war-cyber-operation-clauses-updated/