# Кибератака как военные действия: NotPetya, атрибуция и защита

Адрес: https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/sojarisk/kuberrunnak-kui-sojategevus/
Автор: Олави-Юри Луйк (Olavi-Jüri Luik), PhD, Партнер, руководитель направления страхового права, присяжный адвокат (Advokaadibüroo WIDEN OÜ)
Последнее обновление: 2026-11-09

> Кибератака как военные действия в страховании: государственная и поддерживаемая атака, NotPetya (Merck, Mondelez), DDoS, цепочка поставок.

> **Коротко.** Кибероперация может происходить в мирное время, без физического насилия и анонимно, однако ее экономическое воздействие может быть сопоставимо с военной атакой. С точки зрения страхования возникают три вопроса: идет ли речь о деятельности самого государства, о поддерживаемой государством или о независимой преступной деятельности; охватывает ли исключение в договоре кибероперацию; и кто должен доказывать атрибуцию. Споры по NotPetya (Merck и Mondelez) показали, что классическое военное исключение в случае кибероперации ненадежно; ответом рынка стали новые, более точные оговорки. Предприниматели Эстонии и стран Балтии должны учитывать, что государственно мотивированные киберкампании являются в их регионе повторяющимся явлением.

## 1. Три категории атак

**Государственная операция.** Вооруженные силы или разведывательное ведомство государства организуют атаку напрямую. Например, правительства США и Соединенного Королевства в 2018 году приписали атаку NotPetya военной разведке России.

**Поддерживаемая или терпимая государством деятельность.** Группировка действует по указаниям, при финансировании или под защитой государства, но не является государственным органом. Многие группировки, использующие программы-вымогатели, действуют из государств, которые им не препятствуют, но не обязательно ими руководят.

**Независимая преступность с политическим посылом.** Группировка действует по собственной инициативе, декларируя политическую цель (например, атаки типа «отказ в обслуживании» против государств, поддерживающих Украину).

С точки зрения страхового права граница между первой и второй категориями является наиболее важной. Новые оговорки обычно исключают операции, совершенные государством «или от его имени». Простое терпимое отношение может не соответствовать этому признаку.

## 2. NotPetya: региональный конфликт, глобальный ущерб

В июне 2017 года вредоносная программа NotPetya распространилась через обновление украинского бухгалтерского программного обеспечения. Она выглядела как программа-вымогатель, но в действительности была разрушительной: данные восстановить было невозможно. Атака была направлена на Украину, однако поразила системы международных предприятий по всему миру, поскольку они использовали то же программное обеспечение или были связаны сетью с украинскими дочерними предприятиями.

Два крупных страховых спора:

- **Merck v ACE American.** Требование производителя лекарств на основании страхования имущества; страховщики ссылались на исключение враждебных и военных действий. Суды Нью-Джерси в 2022 и 2023 годах признали, что исключение охватывает вооруженный конфликт в обычном значении, а не кибератаку, которая не была связана с военной деятельностью.[^1] Стороны заключили компромисс в январе 2024 года.[^2]
- **Mondelez v Zurich.** Требование производителя продуктов питания на основании страхования имущества; спор завершился в 2022 году компромиссом до вынесения судебного решения.[^3]

Из этих дел следует сделать два вывода. Во-первых, если договор не рассматривает кибероперации отдельно, у застрахованного лица есть сильный аргумент в пользу того, что классическое военное исключение не применяется. Во-вторых, в договорах, заключаемых сегодня, ситуация иная, поскольку рынок добавил специальные оговорки (см. [исключения военного риска и оговорки LMA](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/sojarisk/sojariski-valistused-ja-lma-klauslid/)).

## 3. Подход эстонского права

Эстонский суд при разрешении вопроса исходил бы из толкования договора: как понял бы исключение разумный страхователь и является ли формулировка однозначной.[^4] Если исключение классическое, у застрахованного лица есть хорошая возможность утверждать, что кибератака в мирное время не является войной или военными действиями в обычном языковом значении. Если исключение является новой оговоркой о кибероперации, спор сосредоточивается на фактах: была ли операция совершена государством или от его имени, оказала ли она существенное воздействие на функционирование государства и выполнено ли правило атрибуции.

Бремя доказывания в отношении предпосылок исключения лежит на страховщике. Если оговорка позволяет страховщику опираться на собственный вывод, этот вывод должен быть проверяем в суде. Аналитический вывод: страховщик не может ограничиться публикациями СМИ или анонимными разведывательными источниками; он должен представить технические и контекстуальные доказательства, которые суд может оценить.

## 4. Кампании «отказ в обслуживании»

Государственно мотивированные атаки типа «отказ в обслуживании» (DDoS) в Прибалтике были повторяющимися: от атак на Эстонию в 2007 году до более поздних кампаний против публичных услуг и СМИ, которые нередко по времени связаны с политическими решениями. Эти атаки технически относительно просты, однако вызывают перерыв в предоставлении услуг и ущерб от перерыва в деятельности.

С точки зрения страхования:

- если атакующим является политически мотивированная группировка, которой государство официально не руководит, исключение государственной кибероперации может не применяться;
- если атака поражает инфраструктуру всего государства (например, интернет-соединение), может применяться исключение инфраструктуры;
- период ожидания по перерыву в деятельности (обычно несколько часов) может означать, что кратковременные атаки не покрыты.

## 5. Атаки на цепочку поставок

При атаке на цепочку поставок компрометируется производитель программного обеспечения или поставщик услуг, чтобы распространить вредоносную программу среди клиентов. NotPetya была таким примером. Атака на цепочку поставок может быть государственной операцией, цель которой находится в одном государстве, а побочные жертвы повсюду. Здесь становится важным исключение для застрахованных лиц за пределами затронутого государства: сохраняет ли оговорка страховую защиту для систем, которые не находятся в затронутом государстве? Эстонскому предприятию, которое использует программное обеспечение или поставщика услуг из Украины, России или иного района конфликта, следует оценивать этот вопрос особенно тщательно.

## 6. Влияние на страхование crime и D&O

**Crime.** Если поддерживаемая государством группировка организует мошенничество с использованием социальной инженерии, страховщик может рассматривать военное исключение. При классическом исключении это сложно, поскольку мошенничество со счетами не является войной.

**D&O.** После кибероперации к руководителям может быть предъявлено требование о том, что они не подготовили общество к геополитическому риску. Военное исключение договора D&O, если оно есть, не должно распространяться на требование об ответственности за управление, основанное на ненадлежащей подготовке, поскольку основанием требования является бездействие руководителя, а не война. Однако формулировку договора необходимо проверить.

## 7. Практические рекомендации

1. Прочитайте военную оговорку договора киберстрахования и установите, какой вариант LMA или иная формулировка используется.
2. Выясните, действует ли исключение для застрахованных лиц за пределами затронутого государства и как определено «затронутое государство», особенно в отношении самой Эстонии.
3. Оцените риски цепочки поставок: поступает ли критическое программное обеспечение или услуга из района конфликта?
4. Проверьте, исключают ли договоры страхования имущества и от перерыва в деятельности кибератаки и как они соотносятся с договором киберстрахования.
5. При инциденте собирайте технические доказательства и для вопроса атрибуции; страховщик может использовать их для обоснования исключения.

## Часто задаваемые вопросы

### Является ли атака группировки, использующей программу-вымогатель, государственной кибероперацией?

Как правило, нет. Такие группировки действуют с финансовой целью. Даже если группировка действует из государства, которое ей не препятствует, это не означает автоматически, что атака совершена государством или от его имени. Страховщик должен доказать связь с государством в требуемом договором объеме.

### Влияет ли атака «отказ в обслуживании» на публичные услуги Эстонии на страховую защиту частного сектора?

Если предприятие несет ущерб из-за того, что публичная услуга (например, платформа электронных услуг) недоступна, это может быть вопросом инфраструктуры или зависимого перерыва в деятельности. Если атака приписана государству и оказывает существенное воздействие на функционирование Эстонии, может применяться и исключение кибероперации.

### Может ли кибератака повлечь требование D&O?

Да, если участники, акционеры или управляющий в деле о банкротстве утверждают, что правление не подготовилось к известному риску с прилежанием надлежащего предпринимателя. Такое требование является требованием об ответственности за управление, а не военным ущербом.

### Следует ли предприятию после инцидента публично строить предположения о происхождении атакующего?

Нет. Публичные заявления предприятия могут позднее стать доказательством в страховом споре. Если предприятие сообщает СМИ, что за атакой стоит иностранное государство, страховщик может ссылаться на это при обосновании исключения. Коммуникация должна быть фактической и согласованной с юридическим консультантом.

### Может ли государственная кибероперация быть покрыта каким-либо иным договором?

Если в договоре киберстрахования есть исключение кибероперации, другие договоры могут не заполнить этот пробел, поскольку в договорах страхования имущества и от перерыва в деятельности нередко есть киберисключение. Некоторые договоры PV предлагают ограниченную защиту при физическом ущербе, вытекающем из кибератаки. Таким образом, риск государственной кибероперации в значительной мере остается на самом предприятии, и его необходимо снижать техническими и организационными мерами.

## Связанные страницы

- [Исключения военного риска и оговорки LMA](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/sojarisk/sojariski-valistused-ja-lma-klauslid/)
- [Дела по киберстрахованию](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/kaasused/)
- [Исключения и споры в киберстраховании](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/valistused-ja-vaidlused/)
- [Контрольный список военного риска для эстонского предпринимателя](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/sojarisk/eesti-ettevotja-kontrollnimekiri/)
- [Киберстрахование (обзор)](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/)

## Примечания

[^1]: Merck & Co. v. ACE American Insurance Co., New Jersey Superior Court, Appellate Division, 01.05.2023. Вторичный источник: Simpson Thacher & Bartlett. – Insurance Law Alert, 31.05.2023. – https://www.stblaw.com/about-us/publications/view/2023/05/31/new-jersey-appellate-court-affirms-that-war-exclusion-does-not-bar-coverage-for-malware-claims-%28insurance-law-alert%29
[^2]: Вторичный источник: Business Insurance, 05.01.2024. – https://www.businessinsurance.com/article/20240105/NEWS06/912361959/Merck,-insurers-settle-dispute-over-2017-NotPetya-cyberattack-Merck-Co,-Inc-v
[^3]: Вторичный источник: The Register, 02.11.2022. – https://www.theregister.com/2022/11/02/mondelez_zurich_notpetya_settlement/
[^4]: VÕS § 39 (RT I, 20.06.2026, 18; в силе с 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S