# Дела по киберстрахованию: NotPetya, утечки, программы-вымогатели

Адрес: https://kindlustusoigus.ee/ru/riskijuhtimine/kaasused/kuberkindlustuse-kaasused/
Автор: Олави-Юри Луйк (Olavi-Jüri Luik), PhD, Партнер, руководитель направления страхового права, присяжный адвокат (Advokaadibüroo WIDEN OÜ)
Последнее обновление: 2026-11-11

> Международные дела по киберстрахованию и примеры убытков: исключение военного риска, страхование имущества и ответственности, поставки, карты.

> **Коротко.** Международные споры по киберстрахованию вращаются вокруг четырех вопросов: покрывается ли киберущерб традиционным страхованием имущества или ответственности (так называемый молчаливый киберриск), является ли атака, связанная с государством, «войной», покрывается ли договорная ответственность (например, сборы карточных платежных систем) и соответствовала ли действительности информация о мерах безопасности, предоставленная страхователем в заявлении. Приведенные ниже описания основаны на публичных вторичных источниках.[^1] Дела Merck, Mondelēz, Clorox и G&G Oil подробнее проанализированы на странице о киберстраховании: см. [дела по киберстрахованию](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/kaasused/).

## 1. Merck против ACE American: NotPetya и исключение военного риска (США)

**Обстоятельства.** NotPetya в 2017 году была разрушительной вредоносной программой, замаскированной под программу-вымогатель, которая распространилась через обновление украинского бухгалтерского программного обеспечения и поразила тысячи организаций по всему миру. Фармацевтический производитель Merck оценил свой ущерб примерно в 1,4 миллиарда долларов; у него было страхование имущества от всех рисков на 1,75 миллиарда долларов.

**Спор.** Страховщики сослались на исключение военных действий, утверждая, что атака была поддерживаемой государством деятельностью против Украины.

**Решение.** Суд штата Нью-Джерси в декабре 2021 года указал, что исключение военных действий не применяется: страховщик знал, что кибератаки могут быть военными действиями, но не изменил формулировку исключения, поэтому страхователь мог разумно полагать, что исключение касается традиционных военных действий. Апелляционная инстанция (Appellate Division) 1 мая 2023 года оставила решение без изменения, указав, что исключение враждебных или военных действий в полисах не применяется к кибератаке на невоенное предприятие; страховщики получили разрешение обратиться в Высшую судебную инстанцию штата Нью-Джерси, однако в январе 2024 года стороны заключили компромисс, и Высшая судебная инстанция прекратила производство по жалобам определением, зарегистрированным 26 января 2024 года, без решения по существу.[^2] Результат касается конкретного исключения враждебных или военных действий в этих договорах страхования имущества от всех рисков, и его нельзя распространять на более новые исключения киберопераций и государственных кибератак.

**Урок.** Дело повлияло на весь рынок: на рынке Lloyd's и в других местах были введены отдельные исключения киберопераций и государственных кибератак. Сегодня исход спора является вопросом формулировки: исключает ли договор государственные кибероперации, как определяется «существенное воздействие на функционирование государства» и кто доказывает атрибуцию. См. [военный риск](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/sojarisk/).

## 2. Mondelēz против Zurich: NotPetya и страхование имущества (США)

**Обстоятельства.** Производитель продуктов питания Mondelēz понес ущерб из-за NotPetya и в 2018 году предъявил иск к страховщику имущества с требованием на сумму более 100 миллионов долларов. Страховщик сослался на исключение военных действий.

**Результат.** Спор закончился в октябре 2022 года компромиссом незадолго до окончания судебного производства; условия конфиденциальны.[^3]

**Урок.** Традиционное страхование имущества не является надежным запасным решением для киберриска. Покрыт ли киберущерб в страховании имущества, исключен ли он или ограничен по соглашению, должно быть ясно записано в договоре.

## 3. Sony PlayStation Network: общее страхование ответственности и утечка данных (США)

**Обстоятельства.** В 2011 году была атакована сеть Sony PlayStation Network, и произошла утечка данных примерно 77 миллионов пользователей. Sony пыталась покрыть требования пользователей и партнеров по договорам общего страхования ответственности (CGL), ссылаясь на страховую защиту от нарушения личных прав (опубликования).

**Результат.** Суд первой инстанции штата Нью-Йорк в феврале 2014 года указал, что утечка данных хотя и была «опубликованием», однако договор предполагал, что опубликование совершает сам страхователь, а не третье лицо (атакующий); суд разрешил дело в пользу страховщика. Страховщик и Sony заключили соглашение во время апелляционного производства, поэтому решения вышестоящей инстанции не последовало.[^4]

**Урок.** Общее страхование ответственности по умолчанию не является киберстрахованием. Ответственность за утечку данных требует явно выраженной страховой защиты.

## 4. Clorox против Cognizant: поставщик ИТ-услуг и риск цепочки поставок (США)

**Обстоятельства.** Производитель потребительских товаров Clorox в 2023 году понес крупный ущерб из-за кибератаки и в 2025 году предъявил иск к своему поставщику услуг ИТ-поддержки с требованием примерно на 380 миллионов долларов, утверждая, что работники службы поддержки поставщика выдавали атакующему пароли без проверки.[^5]

**Урок.** При инциденте в цепочке поставок одновременно могут сработать договоры киберстрахования клиента и поставщика услуг. В договоре об оказании услуг нужно согласовать требования к безопасности, ограничения ответственности и обязанность поставщика услуг по страхованию, а также проверить, сохраняется ли регрессное требование собственного страховщика к поставщику услуг (VÕS § 492).[^6]

## 5. Capital One 2019: облачная среда и ответственность правления (США)

**Обстоятельства.** Неуполномоченное лицо получило доступ к хранившимся в облачной среде кредитным заявкам и данным клиентов; инцидент затронул примерно 100 миллионов клиентов в США и 6 миллионов в Канаде. Последовали массовые иски потребителей, требования по ценным бумагам и штраф банковского надзора США.[^7]

**Урок.** Такой инцидент поднимает вопрос о распределении между киберстрахованием (уведомление, форензика, требования потребителей) и страхованием D&O (требования инвесторов, надзорное производство). Приведенные источники не показывают, как страховщики Capital One фактически распределили возмещение, поэтому распределение представлено здесь как типичный вопрос страховой защиты, а не как установленный результат. Облачная услуга не уменьшает ответственность правления: ошибка конфигурации является собственным риском предприятия.

## 6. Netgain Technology: программа-вымогатель у поставщика управляемых ИТ-услуг (США)

**Обстоятельства.** Поставщика управляемых ИТ-услуг (MSP) в 2020 году поразила программа-вымогатель, которая нарушила работу нескольких поставщиков медицинских услуг и бухгалтерских бюро и повлекла утечку чувствительных данных. Последовали судебные производства и соглашения.[^8]

**Урок.** Клиент, данные которого находятся у поставщика услуг, часто первым сам несет ущерб и лишь позднее может предъявить требование поставщику услуг. В договоре страхования поставщика услуг должна быть достаточная страховая защита ответственности перед клиентами.

## 7. MGM Resorts 2023: перерыв в деятельности как крупнейший ущерб (США)

**Обстоятельства.** Атака программы-вымогателя остановила системы бронирования, платежей и игр сети казино и гостиниц. Предприятие не платило выкуп; последовали групповые иски.[^9]

**Урок.** Крупнейшей частью ущерба был перерыв в деятельности, а не утечка данных. В договоре киберстрахования должно быть ясно определено, когда перерыв считается страховым случаем (полная остановка или также существенное снижение работоспособности), каковы период ожидания и период возмещения.

## 8. P.F. Chang's против Federal Insurance: сборы карточной системы и договорная ответственность (США)

**Обстоятельства.** После утечки данных в 2014 году страховщик по киберстрахованию возместил сети ресторанов более 1,7 миллиона долларов прямых расходов. Спор возник из-за сборов Mastercard размером примерно 2 миллиона долларов, которые сеть по договору была обязана возместить своему поставщику платежных услуг.

**Решение.** Федеральный суд в Аризоне в 2016 году указал, что часть сборов хотя и подпадала под описание страховой защиты в договоре, однако к ним применялись исключения ответственности, принятой по договору: сеть не отвечала бы за сборы без договора.[^10]

**Урок.** Предприятию, обрабатывающему данные карт, нужно отдельно согласовать страховую защиту сборов карточных платежных систем (PCI).

## 9. Columbia Casualty против Cottage Health: преддоговорная информация (США)

**Обстоятельства.** Из-за неправильно сконфигурированного сервера больницы стали общедоступными данные примерно 32 500 пациентов. Страховщик пытался задним числом устранить договор, утверждая, что описанные в заявлении меры безопасности не работали.[^11]

**С точки зрения эстонского права** у английского *rescission* нет автоматического соответствия. Если страхователь нарушил преддоговорную обязанность по уведомлению, страховщик может при предусмотренных законом предпосылках отступить от договора (VÕS § 441, § 442), а при обмане аннулировать договор (TsÜS § 94).[^12] Последствия различны. См. [спорные вопросы](https://kindlustusoigus.ee/ru/riskijuhtimine/nouded-ja-vaidlused/vaidluskohad/).

## 10. National Bank of Blacksburg против Everest: две кибератаки и договор crime (США)

**Обстоятельства.** Небольшой банк был атакован в 2016 и 2017 годах; атакующие путем мошенничества зачислили на счета клиентов деньги, которые были сняты в банкоматах. Банк оценил ущерб примерно в 2,4 миллиона долларов и в 2018 году предъявил иск. Спор касался того, подпадал ли ущерб под дополнение о компьютерных и электронных преступлениях (8 миллионов долларов на случай) или под дополнение о дебетовых картах (50 000 долларов на случай); страховщик также рассматривал две атаки как один случай.[^13]

**Урок.** Если договор crime и договор киберстрахования не согласованы, спорят о квалификации и сублимите. Банкам и поставщикам платежных услуг нужно согласовывать оба договора как единый пакет.

## 11. G&G Oil против Continental Western: программа-вымогатель в договоре crime (США)

**Обстоятельства.** Системы продавца топлива были зашифрованы в 2017 году; предприятие заплатило выкуп в размере четырех биткойнов (примерно 35 000 долларов) и потребовало возмещения на основании страховой защиты от компьютерного мошенничества по договору crime.

**Решение.** Высшая судебная инстанция штата Индиана в 2021 году указала, что ущерб вытекал непосредственно из использования компьютера, а платеж, совершенный под принуждением, не прервал причинную связь; вопрос о том, были ли системы захвачены путем мошенничества, остался вопросом факта, и дело было возвращено на новое рассмотрение.[^14]

**Урок.** Программа-вымогатель может быть как киберриском, так и риском crime. Договоры должны рассматривать компьютерное мошенничество, мошенничество с денежными переводами и кибервымогательство скоординированно.

## 12. EMOI Services против Owners: программа-вымогатель и «физический ущерб» в страховании имущества (США)

**Обстоятельства.** Предприятие потребовало возмещения ущерба от программы-вымогателя по договору страхования имущества владельца бизнеса, который предполагал прямой физический ущерб.

**Решение.** Высшая судебная инстанция штата Огайо указала (2022-Ohio-4649), что программное обеспечение нематериально и не может понести прямой физический ущерб, поэтому дополнение об электронном оборудовании, предполагавшее физический ущерб, не покрывало неработоспособность программного обеспечения из-за программы-вымогателя.[^15]

**Урок.** Требование «физического ущерба» в страховании имущества обычно исключает ущерб данным. Дело Merck (пункт 1) показывает, что в зависимости от формулировки результат может быть и иным.

## 13. Город Балтимор, 2019: программа-вымогатель в публичном секторе (США)

**Обстоятельства.** Программа-вымогатель парализовала платежные системы города, реестр недвижимости и электронную почту. Город не заплатил выкуп, а восстановление длилось месяцами. В 2025 году лицо, связанное с атакой, признало вину в суде США.[^16]

**Урок.** Большая часть ущерба возникла из-за остановки деятельности и восстановления, а не из-за утечки данных. Органам местного самоуправления и учреждениям публичного сектора также необходимы управление киберриском и защита от него.

## 14. Примеры убытков, опубликованные страховщиками

Страховщик Beazley публикует обобщенные примеры киберубытков.[^17] Четыре из них особенно поучительны:

- **Нарушение со стороны инсайдера в социальных сетях.** Работник больницы небольшого города опубликовал в социальных сетях подробности истории болезни пациента без имени, но так, что пациента можно было установить. Киберстрахование покрыло услуги специалистов по праву на неприкосновенность частной жизни, консультирование по уведомлению и кризисную коммуникацию. Урок: утечка данных не требует технической атаки.
- **Общедоступный файл на сервере поставщика услуг.** Поставщик ИТ-услуг оставил общедоступным файл с данными о расчетах и лечении более 30 000 пациентов; это было обнаружено в ходе проверки перед слиянием. Последовали надзорные производства. Урок: ответственность перед третьими лицами часто остается на ответственном обработчике данных.
- **Утерянные незашифрованные резервные копии.** В ходе реорганизации ИТ-систем были утеряны незашифрованные резервные данные с расчетными данными почти 1,6 миллиона детей. Крупнейшими расходами были уведомление, защита идентичности и надзорное производство. Урок: утрата физического носителя данных также является киберриском.
- **Электронные письма уволившегося работника.** Перед уходом работник отправлял файлы пациентов на личную электронную почту. Расследование показало, что данные не использовались и не распространялись, а обязанность по уведомлению не возникла. Урок: профессиональная оценка помогает избежать как чрезмерного, так и недостаточного уведомления.

## Что эти дела означают для эстонского предпринимателя

1. Проверьте, исключает ли страхование имущества и ответственности киберущерб, и покройте этот риск соответствующим киберстрахованием.
2. Унифицируйте исключение военного риска во всех договорах и выясните, как доказывается атрибуция.
3. Согласуйте страховую защиту договорной ответственности и сборов карточных платежных систем, если они существенны для вашей бизнес-модели.
4. Заполняйте заявление на страхование точно; позднее оно станет доказательством.
5. Проверяйте риск цепочки поставок и поставщиков услуг как в договоре об оказании услуг, так и в страховании.

## Связанные страницы

- [Киберстрахование](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/)
- [Дела по киберстрахованию (страница вида страхования)](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/kuberkindlustus/kaasused/)
- [Военный риск](https://kindlustusoigus.ee/ru/kindlustusliigid/kahjukindlustus/sojarisk/)
- [Судебные дела по страхованию crime](https://kindlustusoigus.ee/ru/riskijuhtimine/kaasused/crime-kohtukaasused/)
- [Инциденты в странах Балтии](https://kindlustusoigus.ee/ru/riskijuhtimine/kaasused/balti-intsidendid/)

## Примечания

[^1]: O.-J. Luik. Ettevõtte juhtkonna riskiraamat [Книга рисков для руководства предприятия]. Рукопись, состояние на 03.05.2026, гл. 41.
[^2]: Merck & Co., Inc. v. ACE American Insurance Co., UNN-L-2682-18 (N.J. Super. Ct. Law Div., 6.12.2021), оставлено без изменения: A-1879-21, A-1882-21 (N.J. Super. Ct. App. Div., 1.05.2023). – https://law.justia.com/cases/new-jersey/appellate-division-published/2023/a-1879-21.html; определение Высшей судебной инстанции штата Нью-Джерси о прекращении производства по жалобам, A-62/63 September Term 2022 (088274), зарегистрировано 26.01.2024. – https://judiciary.state.nj.us/system/files/court-opinions/2024/a_62_63_22.pdf; Merck wins cyber insurance lawsuit related to NotPetya attack. – The Record, 21.01.2022. – https://therecord.media/merck-wins-cyber-insurance-lawsuit-related-to-notpetya-attack
[^3]: Mondelez, Zurich reach settlement in NotPetya cyberattack insurance suit. – Cybersecurity Dive, 08.11.2022. – https://www.cybersecuritydive.com/news/mondelez-zurich-notpetya-cyber-insurance-settlement/636029/
[^4]: What cyber insurance lessons did we learn from Sony v. Zurich? – https://www.amystewartlaw.com/news-and-blog/what-cyber-insurance-lessons-did-we-learn-from-sony-zurich
[^5]: Clorox accuses IT provider in lawsuit of giving hackers employee passwords. – Reuters, 22.07.2025. – https://www.reuters.com/legal/government/clorox-accuses-it-provider-lawsuit-giving-hackers-employee-passwords-2025-07-22/
[^6]: Võlaõigusseadus [Обязательственно-правовой закон] (VÕS) § 492 (RT I, 20.06.2026, 18; в силе с 01.09.2026). – https://www.riigiteataja.ee/akt/V%C3%95S
[^7]: Анализ утечки данных Capital One 2019 года. – ACM. – https://dl.acm.org/doi/full/10.1145/3546068
[^8]: Netgain Technology data breach settlement. – HIPAA Journal. – https://www.hipaajournal.com/netgain-technology-data-breach-settlement/
[^9]: MGM Resorts data breach settlement analysis. – https://www.sdosecurity.com/post/mgm-resorts-data-breach-settlement-analysis-and-lessons-for-cisos
[^10]: P.F. Chang's China Bistro, Inc. v. Federal Insurance Co., No. 15-cv-1322 (D. Ariz. 31.05.2016); обзор: ArentFox Schiff. – https://www.afslaw.com/perspectives/alerts/pf-changs-cyber-insurance-decision-pay-attention-the-provisions-the-cyber-risk
[^11]: Columbia Casualty Co. v. Cottage Health System, No. 2:16-cv-03759 (C.D. Cal.; иск от 31.05.2016). – https://www.insideprivacy.com/wp-content/uploads/sites/51/2016/06/CNA-v-Cottage-Health-2016-complaint.pdf; Columbia Casualty v. Cottage Health System shows importance of reading your cyber policy. – CIAB. – https://www.ciab.com/resources/columbia-casualty-v-cottage-health-system-shows-importance-of-reading-your-cyber-policy
[^12]: VÕS §§ 440–442 (сноска 6); Tsiviilseadustiku üldosa seadus [Закон об общей части гражданского кодекса] (TsÜS) § 94 (RT I, 31.12.2024, 48; в силе с 01.01.2025). – https://www.riigiteataja.ee/akt/Ts%C3%9CS
[^13]: Bank, insurer fight over coverage for cyber attack. – Business Insurance. – https://www.businessinsurance.com/bank-insurer-fight-over-coverage-for-cyber-attack
[^14]: G&G Oil Co. of Indiana v. Continental Western Insurance Co., Indiana Supreme Court, 18.03.2021, № 20S-PL-617. – https://law.justia.com/cases/indiana/supreme-court/2021/20s-pl-00617.html
[^15]: Takeaways from Ohio court ruling on ransomware and insurance exclusions. – IAPP. – https://iapp.org/news/a/takeaways-from-ohio-court-ruling-on-ransomware-and-insurance-exclusions-2
[^16]: Iranian man pleads guilty in US to 2019 Baltimore ransomware attack. – Reuters, 27.05.2025. – https://www.reuters.com/world/us/iranian-man-pleads-guilty-us-2019-baltimore-ransomware-attack-2025-05-27
[^17]: Beazley. Breach and claims examples. – https://beazley.com/en/cyber-customer-centre/cyber-risk-management-tools/breach-and-claims-examples/