Chcieli się wykręcić wojną. Muszą zapłacić ponad miliard dolarów za skutki rosyjskiego ransomware

Sąd apelacyjny w New Jersey orzekł, że ubezpieczyciele Merck nie mogą użyć klauzuli „aktu wojny” jako usprawiedliwienia dla odmowy ogromnej wypłaty związaną z usunięciem infekcji NotPetya.

Rosyjski ransomware był wymierzony w Ukrainę, jednak szybko wymknął się spod kontroli.

Decyzja ta podtrzymuje wcześniejszą decyzję sądu, w której grupa ubezpieczycieli nie mogła zastosować wyłączenia wojennego w swoich polisach ubezpieczeniowych. Pomimo, że rządy USA i Wielkiej Brytanii przypisują NotPetya wspieranym przez Kreml hakerom, atak na firmę Merck nie był konkretnie powiązany z rosyjską akcją wojskową. Orzeczenie oznacza, że Merck będzie w końcu mógł ubiegać się o wypłatę 1,4 miliarda dolarów. Według obserwatorów branży, wyrok ten prawdopodobnie utrudni firmom ubezpieczeniowym stosowanie klauzuli "aktu wojny" jako wymówki, aby unikać wypłaty odszkodowań za straty związane z cyberatakami. Według Petera Hedberga, wiceprezesa ds. ubezpieczenia cybernetycznego w Corvus Insurance, decyzja sądu dotycząca Merck niewątpliwie wpłynie na język używany w polisach ubezpieczeniowych, szczególnie jeśli chodzi o zagrożenia, takie jak oprogramowanie ransomware i cyberwojna. 

Ubezpieczyciele będą musieli wypłacić miliardy dolarów za skutki rosyjskiego ransomware NotPetya. Sąd uznał, że atak nie był bezpośrednim przejawem działań militarnych i nie podlega pod klauzulę "aktu wojny".

NotPetya spowodowało ogromne straty na całym świecie.

W czerwcu 2017 roku na całym świecie rozprzestrzeniło się złośliwe oprogramowanie o nazwie NotPetya, które podszywało się pod ransomware Petya. Początkowo zaatakowało ono Ukrainę, jednak szybko rozprzestrzeniło się na inne kraje Europy, Stany Zjednoczone i Australię. Wśród zainfekowanych firm był także Merck - gigant medyczny, który poinformował, że NotPetya spowodowało zamknięcie jego zakładów produkcyjnych i krytycznych aplikacji, a ostatecznie infekcja dotknęła ponad 40 000 komputerów.

W czerwcu 2017 roku firma Merck miała polisy ubezpieczeniowe obejmujące "wszystkie rodzaje ryzyka" z łącznymi limitami w wysokości 1,75 miliarda dolarów. W styczniu 2022 roku Sąd Najwyższy stanu New Jersey przyznał Merckowi 1,4 miliarda dolarów, po tym jak firma pozwała ośmiu swoich ubezpieczycieli, którzy odmówili pokrycia szkód związanych z atakiem. Ubezpieczyciele kwestionowali konieczność zapłacenia 699 475 000 USD, co stanowi około 40 procent całkowitej kwoty ubezpieczenia Merck. Decyzja sądu z tego tygodnia utrzymuje wcześniejszy wyrok.

„Mówiąc w kategoriach wojskowych, ukraińskie systemy były celem ataków, a wszyscy inni byli ofiarami szkód ubocznych. Niedawne orzeczenie skutecznie twierdzi, że te szkody uboczne się są faktem, ale ofiary nie były celem ofensywnego aktu wojny”, powiedział przedstawiciel firmy Deepwatch, która współpracuje z ubezpieczycielami w zakresie zgłaszania ataków i negocjacji.  „Istnieją niewątpliwie polityczne konsekwencje, które uniemożliwiają szerokie używanie terminu „akt wojny”- dodał.