Дела по киберстрахованию: NotPetya, утечки, программы-вымогатели

Коротко. Международные споры по киберстрахованию вращаются вокруг четырех вопросов: покрывается ли киберущерб традиционным страхованием имущества или ответственности (так называемый молчаливый киберриск), является ли атака, связанная с государством, «войной», покрывается ли договорная ответственность (например, сборы карточных платежных систем) и соответствовала ли действительности информация о мерах безопасности, предоставленная страхователем в заявлении. Приведенные ниже описания основаны на публичных вторичных источниках.¹ Дела Merck, Mondelēz, Clorox и G&G Oil подробнее проанализированы на странице о киберстраховании: см. дела по киберстрахованию.

1. Merck против ACE American: NotPetya и исключение военного риска (США)

Обстоятельства. NotPetya в 2017 году была разрушительной вредоносной программой, замаскированной под программу-вымогатель, которая распространилась через обновление украинского бухгалтерского программного обеспечения и поразила тысячи организаций по всему миру. Фармацевтический производитель Merck оценил свой ущерб примерно в 1,4 миллиарда долларов; у него было страхование имущества от всех рисков на 1,75 миллиарда долларов.

Спор. Страховщики сослались на исключение военных действий, утверждая, что атака была поддерживаемой государством деятельностью против Украины.

Решение. Суд штата Нью-Джерси в декабре 2021 года указал, что исключение военных действий не применяется: страховщик знал, что кибератаки могут быть военными действиями, но не изменил формулировку исключения, поэтому страхователь мог разумно полагать, что исключение касается традиционных военных действий. Апелляционная инстанция (Appellate Division) 1 мая 2023 года оставила решение без изменения, указав, что исключение враждебных или военных действий в полисах не применяется к кибератаке на невоенное предприятие; страховщики получили разрешение обратиться в Высшую судебную инстанцию штата Нью-Джерси, однако в январе 2024 года стороны заключили компромисс, и Высшая судебная инстанция прекратила производство по жалобам определением, зарегистрированным 26 января 2024 года, без решения по существу.² Результат касается конкретного исключения враждебных или военных действий в этих договорах страхования имущества от всех рисков, и его нельзя распространять на более новые исключения киберопераций и государственных кибератак.

Урок. Дело повлияло на весь рынок: на рынке Lloyd's и в других местах были введены отдельные исключения киберопераций и государственных кибератак. Сегодня исход спора является вопросом формулировки: исключает ли договор государственные кибероперации, как определяется «существенное воздействие на функционирование государства» и кто доказывает атрибуцию. См. военный риск.

2. Mondelēz против Zurich: NotPetya и страхование имущества (США)

Обстоятельства. Производитель продуктов питания Mondelēz понес ущерб из-за NotPetya и в 2018 году предъявил иск к страховщику имущества с требованием на сумму более 100 миллионов долларов. Страховщик сослался на исключение военных действий.

Результат. Спор закончился в октябре 2022 года компромиссом незадолго до окончания судебного производства; условия конфиденциальны.³

Урок. Традиционное страхование имущества не является надежным запасным решением для киберриска. Покрыт ли киберущерб в страховании имущества, исключен ли он или ограничен по соглашению, должно быть ясно записано в договоре.

3. Sony PlayStation Network: общее страхование ответственности и утечка данных (США)

Обстоятельства. В 2011 году была атакована сеть Sony PlayStation Network, и произошла утечка данных примерно 77 миллионов пользователей. Sony пыталась покрыть требования пользователей и партнеров по договорам общего страхования ответственности (CGL), ссылаясь на страховую защиту от нарушения личных прав (опубликования).

Результат. Суд первой инстанции штата Нью-Йорк в феврале 2014 года указал, что утечка данных хотя и была «опубликованием», однако договор предполагал, что опубликование совершает сам страхователь, а не третье лицо (атакующий); суд разрешил дело в пользу страховщика. Страховщик и Sony заключили соглашение во время апелляционного производства, поэтому решения вышестоящей инстанции не последовало.⁴

Урок. Общее страхование ответственности по умолчанию не является киберстрахованием. Ответственность за утечку данных требует явно выраженной страховой защиты.

4. Clorox против Cognizant: поставщик ИТ-услуг и риск цепочки поставок (США)

Обстоятельства. Производитель потребительских товаров Clorox в 2023 году понес крупный ущерб из-за кибератаки и в 2025 году предъявил иск к своему поставщику услуг ИТ-поддержки с требованием примерно на 380 миллионов долларов, утверждая, что работники службы поддержки поставщика выдавали атакующему пароли без проверки.⁵

Урок. При инциденте в цепочке поставок одновременно могут сработать договоры киберстрахования клиента и поставщика услуг. В договоре об оказании услуг нужно согласовать требования к безопасности, ограничения ответственности и обязанность поставщика услуг по страхованию, а также проверить, сохраняется ли регрессное требование собственного страховщика к поставщику услуг (VÕS § 492).⁶

5. Capital One 2019: облачная среда и ответственность правления (США)

Обстоятельства. Неуполномоченное лицо получило доступ к хранившимся в облачной среде кредитным заявкам и данным клиентов; инцидент затронул примерно 100 миллионов клиентов в США и 6 миллионов в Канаде. Последовали массовые иски потребителей, требования по ценным бумагам и штраф банковского надзора США.⁷

Урок. Такой инцидент поднимает вопрос о распределении между киберстрахованием (уведомление, форензика, требования потребителей) и страхованием D&O (требования инвесторов, надзорное производство). Приведенные источники не показывают, как страховщики Capital One фактически распределили возмещение, поэтому распределение представлено здесь как типичный вопрос страховой защиты, а не как установленный результат. Облачная услуга не уменьшает ответственность правления: ошибка конфигурации является собственным риском предприятия.

6. Netgain Technology: программа-вымогатель у поставщика управляемых ИТ-услуг (США)

Обстоятельства. Поставщика управляемых ИТ-услуг (MSP) в 2020 году поразила программа-вымогатель, которая нарушила работу нескольких поставщиков медицинских услуг и бухгалтерских бюро и повлекла утечку чувствительных данных. Последовали судебные производства и соглашения.⁸

Урок. Клиент, данные которого находятся у поставщика услуг, часто первым сам несет ущерб и лишь позднее может предъявить требование поставщику услуг. В договоре страхования поставщика услуг должна быть достаточная страховая защита ответственности перед клиентами.

7. MGM Resorts 2023: перерыв в деятельности как крупнейший ущерб (США)

Обстоятельства. Атака программы-вымогателя остановила системы бронирования, платежей и игр сети казино и гостиниц. Предприятие не платило выкуп; последовали групповые иски.⁹

Урок. Крупнейшей частью ущерба был перерыв в деятельности, а не утечка данных. В договоре киберстрахования должно быть ясно определено, когда перерыв считается страховым случаем (полная остановка или также существенное снижение работоспособности), каковы период ожидания и период возмещения.

8. P.F. Chang's против Federal Insurance: сборы карточной системы и договорная ответственность (США)

Обстоятельства. После утечки данных в 2014 году страховщик по киберстрахованию возместил сети ресторанов более 1,7 миллиона долларов прямых расходов. Спор возник из-за сборов Mastercard размером примерно 2 миллиона долларов, которые сеть по договору была обязана возместить своему поставщику платежных услуг.

Решение. Федеральный суд в Аризоне в 2016 году указал, что часть сборов хотя и подпадала под описание страховой защиты в договоре, однако к ним применялись исключения ответственности, принятой по договору: сеть не отвечала бы за сборы без договора.¹⁰

Урок. Предприятию, обрабатывающему данные карт, нужно отдельно согласовать страховую защиту сборов карточных платежных систем (PCI).

9. Columbia Casualty против Cottage Health: преддоговорная информация (США)

Обстоятельства. Из-за неправильно сконфигурированного сервера больницы стали общедоступными данные примерно 32 500 пациентов. Страховщик пытался задним числом устранить договор, утверждая, что описанные в заявлении меры безопасности не работали.¹¹

С точки зрения эстонского права у английского rescission нет автоматического соответствия. Если страхователь нарушил преддоговорную обязанность по уведомлению, страховщик может при предусмотренных законом предпосылках отступить от договора (VÕS § 441, § 442), а при обмане аннулировать договор (TsÜS § 94).¹² Последствия различны. См. спорные вопросы.

10. National Bank of Blacksburg против Everest: две кибератаки и договор crime (США)

Обстоятельства. Небольшой банк был атакован в 2016 и 2017 годах; атакующие путем мошенничества зачислили на счета клиентов деньги, которые были сняты в банкоматах. Банк оценил ущерб примерно в 2,4 миллиона долларов и в 2018 году предъявил иск. Спор касался того, подпадал ли ущерб под дополнение о компьютерных и электронных преступлениях (8 миллионов долларов на случай) или под дополнение о дебетовых картах (50 000 долларов на случай); страховщик также рассматривал две атаки как один случай.¹³

Урок. Если договор crime и договор киберстрахования не согласованы, спорят о квалификации и сублимите. Банкам и поставщикам платежных услуг нужно согласовывать оба договора как единый пакет.

11. G&G Oil против Continental Western: программа-вымогатель в договоре crime (США)

Обстоятельства. Системы продавца топлива были зашифрованы в 2017 году; предприятие заплатило выкуп в размере четырех биткойнов (примерно 35 000 долларов) и потребовало возмещения на основании страховой защиты от компьютерного мошенничества по договору crime.

Решение. Высшая судебная инстанция штата Индиана в 2021 году указала, что ущерб вытекал непосредственно из использования компьютера, а платеж, совершенный под принуждением, не прервал причинную связь; вопрос о том, были ли системы захвачены путем мошенничества, остался вопросом факта, и дело было возвращено на новое рассмотрение.¹⁴

Урок. Программа-вымогатель может быть как киберриском, так и риском crime. Договоры должны рассматривать компьютерное мошенничество, мошенничество с денежными переводами и кибервымогательство скоординированно.

12. EMOI Services против Owners: программа-вымогатель и «физический ущерб» в страховании имущества (США)

Обстоятельства. Предприятие потребовало возмещения ущерба от программы-вымогателя по договору страхования имущества владельца бизнеса, который предполагал прямой физический ущерб.

Решение. Высшая судебная инстанция штата Огайо указала (2022-Ohio-4649), что программное обеспечение нематериально и не может понести прямой физический ущерб, поэтому дополнение об электронном оборудовании, предполагавшее физический ущерб, не покрывало неработоспособность программного обеспечения из-за программы-вымогателя.¹⁵

Урок. Требование «физического ущерба» в страховании имущества обычно исключает ущерб данным. Дело Merck (пункт 1) показывает, что в зависимости от формулировки результат может быть и иным.

13. Город Балтимор, 2019: программа-вымогатель в публичном секторе (США)

Обстоятельства. Программа-вымогатель парализовала платежные системы города, реестр недвижимости и электронную почту. Город не заплатил выкуп, а восстановление длилось месяцами. В 2025 году лицо, связанное с атакой, признало вину в суде США.¹⁶

Урок. Большая часть ущерба возникла из-за остановки деятельности и восстановления, а не из-за утечки данных. Органам местного самоуправления и учреждениям публичного сектора также необходимы управление киберриском и защита от него.

14. Примеры убытков, опубликованные страховщиками

Страховщик Beazley публикует обобщенные примеры киберубытков.¹⁷ Четыре из них особенно поучительны:

• Нарушение со стороны инсайдера в социальных сетях. Работник больницы небольшого города опубликовал в социальных сетях подробности истории болезни пациента без имени, но так, что пациента можно было установить. Киберстрахование покрыло услуги специалистов по праву на неприкосновенность частной жизни, консультирование по уведомлению и кризисную коммуникацию. Урок: утечка данных не требует технической атаки.
• Общедоступный файл на сервере поставщика услуг. Поставщик ИТ-услуг оставил общедоступным файл с данными о расчетах и лечении более 30 000 пациентов; это было обнаружено в ходе проверки перед слиянием. Последовали надзорные производства. Урок: ответственность перед третьими лицами часто остается на ответственном обработчике данных.
• Утерянные незашифрованные резервные копии. В ходе реорганизации ИТ-систем были утеряны незашифрованные резервные данные с расчетными данными почти 1,6 миллиона детей. Крупнейшими расходами были уведомление, защита идентичности и надзорное производство. Урок: утрата физического носителя данных также является киберриском.
• Электронные письма уволившегося работника. Перед уходом работник отправлял файлы пациентов на личную электронную почту. Расследование показало, что данные не использовались и не распространялись, а обязанность по уведомлению не возникла. Урок: профессиональная оценка помогает избежать как чрезмерного, так и недостаточного уведомления.

Что эти дела означают для эстонского предпринимателя

1. Проверьте, исключает ли страхование имущества и ответственности киберущерб, и покройте этот риск соответствующим киберстрахованием.
2. Унифицируйте исключение военного риска во всех договорах и выясните, как доказывается атрибуция.
3. Согласуйте страховую защиту договорной ответственности и сборов карточных платежных систем, если они существенны для вашей бизнес-модели.
4. Заполняйте заявление на страхование точно; позднее оно станет доказательством.
5. Проверяйте риск цепочки поставок и поставщиков услуг как в договоре об оказании услуг, так и в страховании.

Связанные страницы

• Киберстрахование
• Дела по киберстрахованию (страница вида страхования)
• Военный риск
• Судебные дела по страхованию crime
• Инциденты в странах Балтии

Примечания