Атака программы-вымогателя и выкуп: право и страхование

Коротко. Атака программы-вымогателя в наши дни является самым дорогостоящим видом киберинцидента, поскольку она объединяет остановку систем, восстановление данных, перерыв в деятельности и нередко утечку данных (двойное вымогательство). Эстонское право не запрещает уплату выкупа общей нормой, однако платеж может быть запрещен, если получатель является субъектом санкций или лицом, действующим в его пользу; сделка, нарушающая санкцию, ничтожна. Защита от вымогательства в киберстраховании обычно предполагает предварительное согласие страховщика и санкционную проверку. Уплата выкупа является решением правления, которое необходимо принимать документированно и с прилежанием надлежащего предпринимателя.

1. Анатомия атаки программы-вымогателя

Типичная атака программы-вымогателя протекает следующим образом:

1. Проникновение через фишинговое письмо, украденные пароли, уязвимость решения для удаленной работы или через поставщика услуг.
2. Расширение: злоумышленник получает права администратора, составляет карту сети и находит резервные копии.
3. Вывод данных: конфиденциальные данные копируются на сервер злоумышленника.
4. Шифрование: системы и резервные копии шифруются, нередко в выходные или праздничные дни.
5. Вымогательство: требуется платеж в криптовалюте за ключ дешифрования и за неопубликование данных.

С правовой точки зрения из этого одновременно возникает несколько проблем: собственный ущерб предприятия, нарушение, связанное с персональными данными, возможный инцидент по KüTS, требования контрагентов за перерыв в оказании услуги и вопрос о том, исполнило ли правление обязанность проявлять прилежание (заботливость и осмотрительность) в отношении мер безопасности.

2. Допустима ли уплата выкупа

2.1. Общая исходная позиция

В эстонском праве нет нормы, которая в целом запрещала бы жертве совершать платеж вымогателю. Вымогательство является преступлением, однако жертва, совершая платеж, преступления не совершает. С другой стороны, платеж и не является «юридически нейтральным»: он финансирует преступную деятельность и не гарантирует, что данные будут восстановлены или не будут опубликованы.

2.2. Санкции

Наибольшим правовым риском являются санкции. Регламенты ЕС о санкциях запрещают прямо или косвенно предоставлять денежные средства субъекту санкций или в его пользу.¹ Согласно Закону о международных санкциях сделка, нарушающая санкцию, является ничтожной.² Если группировка вымогателей или ее криптокошелек связаны с лицом, находящимся под санкциями, платеж может представлять собой нарушение санкции. Личность злоумышленника обычно неизвестна, поэтому жертва должна провести разумную проверку: привлечь специализированного поставщика услуг, который проанализирует связи группировки и криптокошелька с санкционными списками. Проверку и ее результат необходимо задокументировать.

Влияние санкций США (OFAC) может распространяться и на эстонское предприятие, если платеж проходит через финансовую систему США или страховщик входит в американский концерн. Поэтому страховщики применяют свой внутренний порядок и тогда, когда право ЕС прямо не запрещает платеж.

2.3. Иные ограничения

Правила по предотвращению отмывания денег и меры надлежащей проверки поставщика платежных услуг могут препятствовать совершению крупного платежа в криптовалюте. Для предприятия критической инфраструктуры могут добавиться ожидания надзорного органа. В полицию необходимо подать сообщение о преступлении, которое не является условием уплаты выкупа, но обычно является условием договора страхования.

3. Страховая защита

3.1. Модуль вымогательства

Защита от вымогательства в киберстраховании обычно охватывает:

• расходы на специалиста по переговорам и урегулированию инцидента;
• выкуп, если он законен и страховщик дал предварительное согласие;
• расходы на приобретение криптовалюты и на проведение операции;
• в некоторых случаях ущерб, возникший в ходе платежа (например, утраченную криптовалюту).

Защита нередко имеет сублимит. Многие условия требуют, чтобы застрахованное лицо доказало необходимость платежа (расходы и время альтернативного восстановления) и чтобы решение принимало правление.

3.2. Обязанность уменьшать ущерб

Страхователь должен по возможности предотвращать и уменьшать ущерб и следовать указаниям страховщика.³ Решение об уплате выкупа по существу является решением об уменьшении ущерба: если восстановление из резервных копий занимает три недели, а платеж позволяет восстановить деятельность за три дня, платеж может уменьшить ущерб от перерыва в деятельности. С другой стороны, страхователь не может обязать страховщика произвести незаконный платеж. Указание страховщика не платить должно быть обоснованным; если указание увеличивает ущерб, возникает вопрос о том, кто несет увеличение ущерба.

3.3. Выкуп в страховании crime

Оговорка о компьютерном мошенничестве в страховании crime также может при определенных условиях покрывать выкуп. Высшая судебная инстанция штата Индиана в США в 2021 году указала, что захват систем и платеж в криптовалюте могли соответствовать признакам оговорки о компьютерном мошенничестве в договоре crime, и направила дело на новое рассмотрение.⁴ Дело показывает, что взаимодействие кибердоговора и договора crime необходимо продумать: если сублимит на вымогательство в кибердоговоре мал, застрахованное лицо может искать защиту в договоре crime, и наоборот (см. взаимодействие с киберстрахованием).

3.4. Чего платеж не покрывает

Уплата выкупа не прекращает остального ущерба. Даже после платежа системы необходимо очистить, уязвимости закрыть, а данные восстановить. Вывод данных является нарушением, связанным с персональными данными, независимо от того, обещает ли злоумышленник удалить данные. Обязанности по уведомлению (GDPR, KüTS) продолжают действовать (см. GDPR, утечка данных и ответственность).

4. Решение правления

Уплата выкупа является деловым решением в компетенции правления, которое оценивается по стандарту прилежания надлежащего предпринимателя. Член правления должен доказать, что он исполнял обязанности с прилежанием.⁵ Хороший процесс принятия решения включает:

1. техническую оценку альтернатив восстановления (резервные копии, время, расходы);
2. прогноз ущерба от перерыва в деятельности при обоих вариантах;
3. результат санкционной проверки;
4. оценку юридического консультанта в отношении обязанностей по уведомлению и возможной ответственности;
5. позицию и согласие страховщика;
6. оценку риска того, что платеж может не гарантировать восстановление данных и их неопубликование.

Решение и его основания необходимо занести в протокол. Если решение принимается без этих соображений, оно впоследствии может стать основанием требования D&O как в случае, если платеж был совершен, так и в случае, если он не был совершен и ущерб увеличился.

5. Предотвращение и страхуемость

Страховщики связывают страхуемость риска программ-вымогателей с определенными мерами: многофакторная аутентификация при удаленном доступе и в электронной почте, изолированность и тестирование резервных копий, решение для обнаружения угроз на конечных устройствах и реагирования на них, управление правами администратора, своевременная установка обновлений программного обеспечения. Если договор устанавливает их в качестве требований безопасности и страхователь их нарушает, страховщик может ссылаться на освобождение только в том случае, если нарушение было виновным и повлияло на наступление страхового случая или на объем исполнения страховщиком.⁶ В договоре о крупных рисках эта защита может быть ограничена договором.⁷

6. Контрольный список при атаке программы-вымогателя

1. Изолируйте системы, не выключайте все устройства без совета форензики.
2. Уведомите страховщика и используйте панельных поставщиков услуг.
3. Сразу оцените обязанности по уведомлению. Если организация подпадает под действие Закона о кибербезопасности и инцидент имеет существенное влияние или такое влияние можно разумно предполагать, направьте Департаменту государственных информационных систем (RIA) первичное уведомление без промедления, но не позднее 24 часов после того, как о нем стало известно, и уведомление об инциденте не позднее 72 часов (поставщику доверительных услуг: не позднее 24 часов). При нарушении, связанном с персональными данными, ответственный обработчик уведомляет Инспекцию по защите данных (AKI) без необоснованной задержки и по возможности в течение 72 часов, кроме случаев, когда нарушение, скорее всего, не создает риска для прав и свобод людей; уполномоченный обработчик без необоснованной задержки сообщает ответственному обработчику. Эти сроки являются предельными, а не сроками ожидания.⁸ Подайте в полицию заявление о преступлении и проверьте, не требуют ли этого условия страхования.
4. Оцените целостность резервных копий и время восстановления.
5. Не общайтесь со злоумышленником без специалиста.
6. Проведите санкционную проверку и задокументируйте ее.
7. Примите решение на уровне правления, занесите в протокол соображения и позицию страховщика.

Часто задаваемые вопросы

Может ли страховщик запретить уплату выкупа?

Страховщик может отказать в возмещении (в выплате страхового возмещения) выкупа, если договор ставит условием предварительное согласие и согласие не было дано, или если платеж был бы незаконным. Страховщик не может запретить предприятию совершить платеж; решение остается за правлением. Если предприятие платит без согласия, оно несет эту сумму само.

Является ли выкуп расходом при налогообложении?

Налогово-правовой подход не является темой этой страницы, и его необходимо оценивать отдельно. С точки зрения страхового требования важно документирование платежа и его оснований.

Исключает ли совершение платежа уведомление по GDPR?

Нет. Если данные выведены, нарушение произошло независимо от того, обещает ли злоумышленник их удалить. На обещание злоумышленника полагаться нельзя.

Исключают ли резервные копии ущерб?

Работающие и изолированные резервные копии значительно уменьшают время восстановления и ущерб и нередко являются условием страхуемости. Они не защищают от вывода и опубликования данных.

Связанные страницы

• Что покрывает киберстрахование
• Реагирование на инцидент и поставщики услуг
• Санкции и страхование
• Исключения и споры в киберстраховании
• Взаимодействие киберстрахования и страхования crime

Примечания