# Атака программы-вымогателя и выкуп: право и страхование

Адрес: https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/lunavara-ja-lunaraha/
Автор: Олави-Юри Луйк (Olavi-Jüri Luik), PhD, Партнер, руководитель направления страхового права, присяжный адвокат (Advokaadibüroo WIDEN OÜ)
Последнее обновление: 2026-11-07

> Допустима ли уплата выкупа в Эстонии, санкционный риск, согласие страховщика, защита от кибервымогательства и решение правления при атаке вымогателя.

> **Коротко.** Атака программы-вымогателя в наши дни является самым дорогостоящим видом киберинцидента, поскольку она объединяет остановку систем, восстановление данных, перерыв в деятельности и нередко утечку данных (двойное вымогательство). Эстонское право не запрещает уплату выкупа общей нормой, однако платеж может быть запрещен, если получатель является субъектом санкций или лицом, действующим в его пользу; сделка, нарушающая санкцию, ничтожна. Защита от вымогательства в киберстраховании обычно предполагает предварительное согласие страховщика и санкционную проверку. Уплата выкупа является решением правления, которое необходимо принимать документированно и с прилежанием надлежащего предпринимателя.

## 1. Анатомия атаки программы-вымогателя

Типичная атака программы-вымогателя протекает следующим образом:

1. **Проникновение** через фишинговое письмо, украденные пароли, уязвимость решения для удаленной работы или через поставщика услуг.
2. **Расширение**: злоумышленник получает права администратора, составляет карту сети и находит резервные копии.
3. **Вывод данных**: конфиденциальные данные копируются на сервер злоумышленника.
4. **Шифрование**: системы и резервные копии шифруются, нередко в выходные или праздничные дни.
5. **Вымогательство**: требуется платеж в криптовалюте за ключ дешифрования и за неопубликование данных.

С правовой точки зрения из этого одновременно возникает несколько проблем: собственный ущерб предприятия, нарушение, связанное с персональными данными, возможный инцидент по KüTS, требования контрагентов за перерыв в оказании услуги и вопрос о том, исполнило ли правление обязанность проявлять прилежание (заботливость и осмотрительность) в отношении мер безопасности.

## 2. Допустима ли уплата выкупа

### 2.1. Общая исходная позиция

В эстонском праве нет нормы, которая в целом запрещала бы жертве совершать платеж вымогателю. Вымогательство является преступлением, однако жертва, совершая платеж, преступления не совершает. С другой стороны, платеж и не является «юридически нейтральным»: он финансирует преступную деятельность и не гарантирует, что данные будут восстановлены или не будут опубликованы.

### 2.2. Санкции

Наибольшим правовым риском являются санкции. Регламенты ЕС о санкциях запрещают прямо или косвенно предоставлять денежные средства субъекту санкций или в его пользу.[^1] Согласно Закону о международных санкциях сделка, нарушающая санкцию, является ничтожной.[^2] Если группировка вымогателей или ее криптокошелек связаны с лицом, находящимся под санкциями, платеж может представлять собой нарушение санкции. Личность злоумышленника обычно неизвестна, поэтому жертва должна провести разумную проверку: привлечь специализированного поставщика услуг, который проанализирует связи группировки и криптокошелька с санкционными списками. Проверку и ее результат необходимо задокументировать.

Влияние санкций США (OFAC) может распространяться и на эстонское предприятие, если платеж проходит через финансовую систему США или страховщик входит в американский концерн. Поэтому страховщики применяют свой внутренний порядок и тогда, когда право ЕС прямо не запрещает платеж.

### 2.3. Иные ограничения

Правила по предотвращению отмывания денег и меры надлежащей проверки поставщика платежных услуг могут препятствовать совершению крупного платежа в криптовалюте. Для предприятия критической инфраструктуры могут добавиться ожидания надзорного органа. В полицию необходимо подать сообщение о преступлении, которое не является условием уплаты выкупа, но обычно является условием договора страхования.

## 3. Страховая защита

### 3.1. Модуль вымогательства

Защита от вымогательства в киберстраховании обычно охватывает:

- расходы на специалиста по переговорам и урегулированию инцидента;
- выкуп, если он законен и страховщик дал предварительное согласие;
- расходы на приобретение криптовалюты и на проведение операции;
- в некоторых случаях ущерб, возникший в ходе платежа (например, утраченную криптовалюту).

Защита нередко имеет сублимит. Многие условия требуют, чтобы застрахованное лицо доказало необходимость платежа (расходы и время альтернативного восстановления) и чтобы решение принимало правление.

### 3.2. Обязанность уменьшать ущерб

Страхователь должен по возможности предотвращать и уменьшать ущерб и следовать указаниям страховщика.[^3] Решение об уплате выкупа по существу является решением об уменьшении ущерба: если восстановление из резервных копий занимает три недели, а платеж позволяет восстановить деятельность за три дня, платеж может уменьшить ущерб от перерыва в деятельности. С другой стороны, страхователь не может обязать страховщика произвести незаконный платеж. Указание страховщика не платить должно быть обоснованным; если указание увеличивает ущерб, возникает вопрос о том, кто несет увеличение ущерба.

### 3.3. Выкуп в страховании crime

Оговорка о компьютерном мошенничестве в страховании crime также может при определенных условиях покрывать выкуп. Высшая судебная инстанция штата Индиана в США в 2021 году указала, что захват систем и платеж в криптовалюте могли соответствовать признакам оговорки о компьютерном мошенничестве в договоре crime, и направила дело на новое рассмотрение.[^4] Дело показывает, что взаимодействие кибердоговора и договора crime необходимо продумать: если сублимит на вымогательство в кибердоговоре мал, застрахованное лицо может искать защиту в договоре crime, и наоборот (см. [взаимодействие с киберстрахованием](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/crime-kindlustus/koostoime-kuberkindlustusega/)).

### 3.4. Чего платеж не покрывает

Уплата выкупа не прекращает остального ущерба. Даже после платежа системы необходимо очистить, уязвимости закрыть, а данные восстановить. Вывод данных является нарушением, связанным с персональными данными, независимо от того, обещает ли злоумышленник удалить данные. Обязанности по уведомлению (GDPR, KüTS) продолжают действовать (см. [GDPR, утечка данных и ответственность](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/gdpr-andmeleke-ja-vastutus/)).

## 4. Решение правления

Уплата выкупа является деловым решением в компетенции правления, которое оценивается по стандарту прилежания надлежащего предпринимателя. Член правления должен доказать, что он исполнял обязанности с прилежанием.[^5] Хороший процесс принятия решения включает:

1. техническую оценку альтернатив восстановления (резервные копии, время, расходы);
2. прогноз ущерба от перерыва в деятельности при обоих вариантах;
3. результат санкционной проверки;
4. оценку юридического консультанта в отношении обязанностей по уведомлению и возможной ответственности;
5. позицию и согласие страховщика;
6. оценку риска того, что платеж может не гарантировать восстановление данных и их неопубликование.

Решение и его основания необходимо занести в протокол. Если решение принимается без этих соображений, оно впоследствии может стать основанием требования D&O как в случае, если платеж был совершен, так и в случае, если он не был совершен и ущерб увеличился.

## 5. Предотвращение и страхуемость

Страховщики связывают страхуемость риска программ-вымогателей с определенными мерами: многофакторная аутентификация при удаленном доступе и в электронной почте, изолированность и тестирование резервных копий, решение для обнаружения угроз на конечных устройствах и реагирования на них, управление правами администратора, своевременная установка обновлений программного обеспечения. Если договор устанавливает их в качестве требований безопасности и страхователь их нарушает, страховщик может ссылаться на освобождение только в том случае, если нарушение было виновным и повлияло на наступление страхового случая или на объем исполнения страховщиком.[^6] В договоре о крупных рисках эта защита может быть ограничена договором.[^7]

## 6. Контрольный список при атаке программы-вымогателя

1. Изолируйте системы, не выключайте все устройства без совета форензики.
2. Уведомите страховщика и используйте панельных поставщиков услуг.
3. Сразу оцените обязанности по уведомлению. Если организация подпадает под действие Закона о кибербезопасности и инцидент имеет существенное влияние или такое влияние можно разумно предполагать, направьте Департаменту государственных информационных систем (RIA) первичное уведомление без промедления, но не позднее 24 часов после того, как о нем стало известно, и уведомление об инциденте не позднее 72 часов (поставщику доверительных услуг: не позднее 24 часов). При нарушении, связанном с персональными данными, ответственный обработчик уведомляет Инспекцию по защите данных (AKI) без необоснованной задержки и по возможности в течение 72 часов, кроме случаев, когда нарушение, скорее всего, не создает риска для прав и свобод людей; уполномоченный обработчик без необоснованной задержки сообщает ответственному обработчику. Эти сроки являются предельными, а не сроками ожидания.[^8] Подайте в полицию заявление о преступлении и проверьте, не требуют ли этого условия страхования.
4. Оцените целостность резервных копий и время восстановления.
5. Не общайтесь со злоумышленником без специалиста.
6. Проведите санкционную проверку и задокументируйте ее.
7. Примите решение на уровне правления, занесите в протокол соображения и позицию страховщика.

## Часто задаваемые вопросы

### Может ли страховщик запретить уплату выкупа?

Страховщик может отказать в возмещении (в выплате страхового возмещения) выкупа, если договор ставит условием предварительное согласие и согласие не было дано, или если платеж был бы незаконным. Страховщик не может запретить предприятию совершить платеж; решение остается за правлением. Если предприятие платит без согласия, оно несет эту сумму само.

### Является ли выкуп расходом при налогообложении?

Налогово-правовой подход не является темой этой страницы, и его необходимо оценивать отдельно. С точки зрения страхового требования важно документирование платежа и его оснований.

### Исключает ли совершение платежа уведомление по GDPR?

Нет. Если данные выведены, нарушение произошло независимо от того, обещает ли злоумышленник их удалить. На обещание злоумышленника полагаться нельзя.

### Исключают ли резервные копии ущерб?

Работающие и изолированные резервные копии значительно уменьшают время восстановления и ущерб и нередко являются условием страхуемости. Они не защищают от вывода и опубликования данных.

## Связанные страницы

- [Что покрывает киберстрахование](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/mida-kuberkindlustus-katab/)
- [Реагирование на инцидент и поставщики услуг](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/intsident-ja-teenusepakkujad/)
- [Санкции и страхование](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/sojarisk/sanktsioonid-ja-kindlustus/)
- [Исключения и споры в киберстраховании](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/valistused-ja-vaidlused/)
- [Взаимодействие киберстрахования и страхования crime](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/crime-kindlustus/koostoime-kuberkindlustusega/)

## Примечания

[^1]: Nõukogu määrus (EL) nr 269/2014 [Регламент Совета (ЕС) № 269/2014], ст. 2 ч. 2. – ELT L 78, 17.03.2014, с. 6. – https://eur-lex.europa.eu/legal-content/ET/TXT/HTML/?uri=CELEX:32014R0269
[^2]: RSanS § 7 (RT I, 17.05.2025, 4; в силе с 01.07.2026). – https://www.riigiteataja.ee/akt/RSanS
[^3]: VÕS § 488 ч. 1 (RT I, 20.06.2026, 18; в силе с 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S
[^4]: G&G Oil Co. of Indiana v. Continental Western Insurance Co., Indiana Supreme Court, 2021. Вторичный источник: Simpson Thacher & Bartlett. Indiana Supreme Court Rules That Ransomware Losses May Be Subject to Computer Fraud Coverage, 30.04.2021. – https://www.stblaw.com/about-us/publications/view/2021/04/30/indiana-supreme-court-rules-that-ransomware-losses-may-be-subject-to-computer-fraud-coverage
[^5]: ÄS § 187 ч. 1-2 (RT I, 06.07.2023, 131; в силе с 01.03.2024). – https://www.riigiteataja.ee/akt/%C3%84S
[^6]: VÕS § 452 ч. 2 п. 1 и 2 (сноска 3).
[^7]: VÕS § 427 ч. 3 (сноска 3).
[^8]: Küberturvalisuse seadus [Закон о кибербезопасности] (KüTS) § 8 ч. 1 и 4¹ (RT I, 06.10.2026, 2; в силе с 16.10.2026). – https://www.riigiteataja.ee/akt/K%C3%BCTS; Регламент (ЕС) 2016/679 Европейского парламента и Совета, ст. 33 ч. 1–2. – https://eur-lex.europa.eu/eli/reg/2016/679/oj