Oreo Giant Mondelez selvitti NotPetyan "Act of War" -vakuutusjutun

Oreosin ja Ritz Crackersin valmistaja Mondelez International on sopinut kybervakuuttajaansa vastaan ​​nostetun kanteen sen jälkeen, kun palveluntarjoaja kieltäytyi kattamasta useiden miljoonien dollarien siivouslaskua, joka johtui vuonna 2017 levinneestä NotPetya ransomware -hyökkäyksestä.

Välipalajättiläinen alunperin toi puvun Zurich American Insurancea vastaan ​​vuonna 2018, sen jälkeen, kun NotPetya oli saattanut päätökseen maailmanlaajuisen kyberryöstönsä suuriin monikansallisiin yrityksiin, ja tapaus on sittemmin käsitelty. sidottu oikeuteen. Sopimuksen ehtoja ei ole julkistettu, mutta "ratkaisu" merkitsisi kompromissiratkaisua - havainnollistaen, kuinka hankala kybervakuutuksen poissulkemislauseke voi olla.

NotPetya: Sotatoimi?

Oikeusjuttu perustui kybervakuutuksen sopimusehtoihin - erityisesti poissulkemiseen sotatoimien aiheuttamien vahinkojen osalta.

NotPetya, jota Yhdysvaltain hallitus kutsui vuonna 2018 "historian tuhoisimmaksi ja kalleimmaksi kyberhyökkäykseksi", joka alkoi vaarantaa Ukrainan kohteet ennen kuin levisi maailmanlaajuisesti ja vaikutti lopulta yrityksiin 65 maassa ja maksoi miljardeja vahinkoja. Se levisi nopeasti käytön ansiosta EternalBlue madotuksen hyväksikäyttö hyökkäysketjussa, joka on vuotanut NSA-ase, jonka avulla haittaohjelmat voivat levitä itsestään järjestelmästä toiseen käyttämällä Microsoftin SMB-tiedostoosuuksia. Hyökkäyksen merkittäviä uhreja olivat monien muiden joukossa FedEx, merenkulkubehemotti Maersk ja lääkejätti Merck.

Mondelezin tapauksessa haittaohjelma lukitsi 1,700 24,000 sen palvelinta ja hämmästyttävät 100 XNUMX kannettavaa tietokonetta, mikä teki yrityksen toimintakyvyttömäksi ja kärsi yli XNUMX miljoonan dollarin vahingoista, seisokeista, menetetyistä voitoista ja korjauskuluista.

Ikään kuin se ei olisi tarpeeksi vaikea niellä, ruokakahuna huomasi pian tukehtuvan Zurich Americanin vastauksesta, kun se teki kybervakuutusvaatimuksen: Vakuutuksenantajalla ei ollut aikomusta kattaa kustannuksia vedoten edellä mainittuun poissulkemislausekkeeseen, joka sisälsi kieli "hallituksen tai suvereenin vallan vihamielinen tai sotamainen toiminta rauhan tai sodan aikana".

Maailmanhallitusten antaman NotPetyan Venäjän valtiolle ja hyökkäyksen alkuperäisen tehtävän iskeä Moskovan tunnettuun kineettiseen vastustajaan ansiosta, Zürich American oli tapauksensa huolimatta siitä, että Mondelezin hyökkäys oli varmasti tahaton sivuvahinko.

Mondelez kuitenkin väitti, että Zurich Americanin sopimus jätti pöydälle ikään kuin kiistanalaisia ​​muruja, koska ei ollut selvää, mitä hyökkäyksessä voidaan ja mitä ei. Erityisesti vakuutuksessa todettiin selvästi, että se kattaa "kaikki fyysisen menetyksen tai vahingon riskit" - painopiste "kaikki" - "sähköisiin tietoihin, ohjelmiin tai ohjelmistoihin, mukaan lukien konekoodin haitallisesta käyttöönotosta aiheutuneet vahingot tai vahingot. tai ohjetta." Se on tilanne, jonka NotPetya ilmentää täydellisesti.

Caroline Thompson, pienten ja keskisuurten yritysten kybervakuutuksen tarjoajan Cowbell Cyberin vakuutuksenantaja, huomauttaa, että selkeän kybervakuutuksen sanamuodon puute jätti oven auki Mondelezin vetoomukselle – ja sen pitäisi toimia varoitusviestinä. muille, jotka neuvottelevat kattavuudesta.

"Suojan laajuus ja sotarajoitusten soveltaminen on edelleen yksi haastavimmista alueista vakuutuksenantajille, koska kyberuhat kehittyvät jatkuvasti, yritykset lisäävät riippuvuuttaan digitaalisista toiminnoista ja geopoliittiset jännitteet vaikuttavat edelleen laajalti", hän kertoo Darkille. Lukeminen. "On ensiarvoisen tärkeää, että vakuutuksenantajat tuntevat vakuutusehtonsa ja etsivät tarvittaessa selvennyksiä, mutta valitsevat myös nykyaikaiset kyberpolitiikat, jotka voivat kehittyä ja mukautua niiden riskien ja riskien tahtiin."

Sodan poikkeukset

On yksi räikeä ongelma sotien poissulkemisen kiinnittämisessä kybervakuutuksiin: hänen on vaikea todistaa, että hyökkäykset ovat todellakin "sotatoimia" – taakka, joka vaatii yleensä määrittämistä, kenen puolesta ne suoritetaan.

Parhaimmillaan attribuutio on enemmän taidetta kuin tiedettä, ja muuttuvat kriteerit tukevat luotettavaa sormella osoittamista. Kehittyneen jatkuvan uhkan (APT) attribuution perusteet perustuvat usein paljon muuhun kuin mitattavissa oleviin teknologisiin artefakteihin tai infrastruktuurin ja työkalujen päällekkäisyyksiin tunnettujen uhkien kanssa.

Squishier-kriteerit voivat sisältää näkökohtia, kuten viktimologia (eli ovatko tavoitteet sopusoinnussa valtion etujen ja poliittisten tavoitteiden kanssa?; aihe sosiaalisen tekniikan vieheet; koodauskieli; kehittyneisyys (pitääkö hyökkääjän olla hyvin resursoitu? Käyttikö hän kallista nollapäivää?); ja motiivi (onko hyökkäys suuntautunut vakoilu, tuhoaminentai taloudellista hyötyä?). Siinä on myös kysymys väärän lipun operaatiot, jossa yksi vastustaja manipuloi näitä vipuja kehystääkseen kilpailijaa tai vastustajaa.

"Minua järkyttävää on ajatus varmistaa, että nämä hyökkäykset voidaan kohtuudella syyttää valtiosta - miten?" sanoo Philippe Humeau, CrowdSecin toimitusjohtaja ja toinen perustaja. ”Tiedetään, että kunnollisen taitavan kyberrikollisen toimintaperustaa tuskin voi seurata, sillä heidän toimintansa ilmarailu on heidän pelikirjansa ensimmäinen rivi. Toiseksi hallitukset eivät ole halukkaita myöntämään, että ne tarjoavat suojaa maansa kyberrikollisille. Kolmanneksi kyberrikolliset monissa osissa maailmaa ovat tavallisesti sekoituksia korsaareista ja palkkasotureista, jotka ovat uskollisia mille tahansa taholle/kansallisvaltiolle, joka saattaa heitä rahoittaa, mutta ovat täysin laajennettavissa ja kiellettävissä, jos heidän kuulumisensa tulee koskaan epäilemään."

Tästä syystä, jos hallitus ei ole ottanut vastuuta terrorismiryhmien hyökkäyksestä, useimmat uhkatiedusteluyritykset varoittavat valtion tukemaa tekijää lauseilla, kuten "päätämme alhaisella/kohtalaisella/korkealla varmuudella, että XYZ on hyökkäyksen takana" ja , eri yritykset voivat määrittää eri lähteet mille tahansa hyökkäykselle. Jos ammattimaisten kyberuhkien metsästäjien on niin vaikeaa paikantaa syyllisiä, kuvittele kuinka vaikeaa se on kybervakuutuksen säätäjille, jotka toimivat murto-osalla taidoistaan.

Jos sotateon todisteiden standardi on laaja hallitusten yksimielisyys, tämäkin aiheuttaa ongelmia, Humeau sanoo.

"Hyökkäyksien tarkka kohdistaminen kansallisvaltioihin vaatisi maiden välistä oikeudellista yhteistyötä, joka on historiallisesti osoittautunut sekä vaikeaksi että hitaksi", Humeau sanoo. "Joten ajatus näiden hyökkäysten ansioista kansallisvaltioille, jotka eivät koskaan 'myyty siihen, jättää oikeudellisesti liikaa tilaa epäilyille."

Eksistentiaalinen uhka kybervakuutukselle?

Thompsonin mukaan yksi tämän päivän todellisuuksista on valtion tukeman kybertoiminnan valtava määrä liikkeessä. Tietoturvayhtiö Theon Technologyn asianajaja ja neuvoa-antavan neuvoston jäsen Bryan Cunningham huomauttaa, että jos yhä useammat vakuutuksenantajat yksinkertaisesti kieltävät kaikki tällaisesta toiminnasta johtuvat vaatimukset, maksuja voi todellakin olla hyvin vähän. Ja viime kädessä yritykset eivät ehkä näe kybervakuutusmaksuja enää sen arvoisena.

"Jos huomattava määrä tuomareita todella alkaa sallia liikenteenharjoittajien sulkea pois kyberhyökkäyksiä koskevan suojan vain väittämällä, että kyseessä on kansallisvaltio, tämä on yhtä tuhoisaa kybervakuutusekosysteemille kuin 9/11 oli (väliaikaisesti) kaupallisille kiinteistöille. ," hän sanoo. "Tämän seurauksena en usko, että monet tuomarit ostavat tätä, ja todistaminen on joka tapauksessa melkein aina vaikeaa."

Toisessa mielessä ImmuniWebin pääarkkitehti ja toimitusjohtaja Ilia Kolotšenko huomauttaa, että kyberrikolliset löytävät tavan käyttää poissulkemiset edukseen, mikä alentaa politiikan arvon entisestään.

"Ongelma johtuu mahdollisesta esiintymisestä tunnettujen kyberuhkien toimijoina", hän sanoo. "Esimerkiksi jos kyberrikolliset – jotka eivät liity mihinkään osavaltioon – haluavat lisätä uhreilleen aiheutettua vahinkoa sulkemalla pois mahdollisen vakuutussuojan, he voivat yksinkertaisesti yrittää matkia kuuluisaa valtion tukemaa hakkerointiryhmää tunkeutumisensa aikana. Tämä heikentää luottamusta kybervakuutusmarkkinoihin, sillä mikä tahansa vakuutus voi tulla turhaksi vakavimmissa tapauksissa, jotka todella vaativat vakuutusturvaa ja oikeuttavat maksetut vakuutusmaksut."

Poissulkemiskysymys on edelleen ratkaisematta

Vaikka Mondelezin ja Zürichin välinen amerikkalainen sovinto näyttäisi osoittavan, että vakuutuksenantaja onnistui ainakin osittain esittämään kantansa (tai kenties kummallakaan osapuolella ei ollut vatsaa uusien oikeudenkäyntikulujen maksamiseen), on olemassa ristiriitainen oikeudellinen ennakkotapaus.

Toinen NotPetya-tapaus välillä Merck ja ACE American Insurance sama asia laitettiin sänkyyn tammikuussa, kun New Jerseyn korkein oikeus päätti, että sotatoimien poissulkemiset ulottuvat vain todelliseen fyysiseen sodankäyntiin, minkä seurauksena vakuutuksenantaja maksoi 1.4 miljardin dollarin korvauksen korvausten korvaamisesta.

Huolimatta alueen epävakaasta luonteesta, jotkut verkkovakuutusyhtiöt ovat menee eteenpäin sotapoikkeuksilla, varsinkin Lontoon Lontoosta. Elokuussa markkinajohtaja kertoi syndikaateilleen, että niitä vaaditaan sulkemaan pois valtion tukemat kyberhyökkäykset huhtikuusta 2023 alkaen. Muistiossa todettiin, että ajatuksena on suojella vakuutusyhtiöitä ja niiden vakuutuksenantajia katastrofaalisilta tappioilta.

Siitä huolimatta tällaisen politiikan menestys jää nähtäväksi.

"Lloyd's ja muut operaattorit pyrkivät tekemään tällaisista poissulkemisista vahvempia ja ehdottomia, mutta uskon, että tämäkin lopulta epäonnistuu, koska kybervakuutusala ei todennäköisesti kestäisi tällaisia ​​muutoksia pitkään", Theon's Cunningham sanoo.