Поделиться
Ответственность за рост случаев кибервымогательства возложили на страховую систему США
Коммерческие компании и муниципальные учреждения США используют страховые выплаты, чтобы компенсировать потери при атаках шифровальщиков. Иногда эти деньги прямо выплачиваются киберпреступникам. У тех, соответственно, растут аппетиты.
Кто заберет страховые
Стремительный рост сумм, которые кибервымогатели требуют со своих жертв, в немалой степени вызван тем фактом, что жертвы используют для выплаты выкупа страховые деньги, говорится в исследовании компании Coalition, выпущенном в 2020 г. Большая часть компаний страхуется от киберинцидентов; за первую половину 2020 г. около 41% обращений за страховыми выплатами пришлись именно на инциденты с шифровальщиками.
Cтраховкой для покрытия расходов, связанных с вымогательскими киберинцидентами, пользуются, однако, не только коммерческие фирмы.
Как указывает издание Threatpost, в 2019 г. совет города Ривьера-Бич во Флориде единогласно решил поручить страховой компании выплатить злоумышленникам $600 тыс. за ключ дешифровки после успешной атаки на сети городской администрации. Аналогичный случай произошел в другом флоридском городе — Лейк-Сити. Там злоумышленники потребовали и получили $500 тыс. Большая часть этой суммы была выплачена из страховых денег.
Как пишет Threatpost, в 2020 г. Университет штата Юта вместе со своим страховщиком выплатили вымогателям $457 тыс. за возвращение доступа к критически важным данным.
Ну, а уже в 2021 г. оператор крупного трубопровода Colonial Pipeline выплатил $4,4 млн злоумышленникам из группировки DarkSide после того, как шифровальщик парализовал работу трубопровода в нескольких штатах. Использовались ли при этом страховые выплаты, впрочем, доподлинно не известно.
Сумма последствий
Финансовые последствия кибератак с использованием шифровальщиков отнюдь не ограничиваются выплатами. Как правило, пострадавшие компании тратят в разы больше, чем заплатили вымогателям, на восстановление атакованной инфраструктуры, плюс им очень недешево обходится вынужденный простой в повседневных операциях, а это упущенный доход, неустойки, расходы на расследование инцидентов и иногда штрафные выплаты регуляторам.
По данным Advisor Smith Solutions, средний размер киберстраховки в США составляет $1485 в год. Страховая премия при этом составляет от $650 до $2357 для компаний, находящихся в области «среднего риска», с доходами около $1 млн; вычитаемая франшиза составляет $10 тыс.
В некоторых случаях страховщики накладывают специфические ограничения — как раз на случай вымогательских атак: порог выплат $25 тыс/, даже если в целом предусматривается намного более крупное страховое покрытие.
С другой стороны, некоторые компании, предоставляющие услуги страхования против киберинцидентов прямо рекламируют услуги по посредничеству между кибервымогателями и их жертвами, иногда добиваясь от первых существенных уступок.
Платить запрещается
Это разнонаправленное движение совсем не устраивает местные и федеральные власти в США. Ответом на рост количества вымогательских инцидентов стали законодательные инициативы, запрещающие некоторым категориям организаций платить шифровальщикам.
Например, в штате Нью-Йорк в 2020 г. был предложен законопроект, который запрещает муниципальным властям выплачивать выкуп, вне зависимости от обстоятельств. Вместо этого предполагается создание фонда по усилению кибербезопасности муниципальных учреждений.
В сенат штата также был подан сходный законопроект, который запрещает платить выкуп, но не подразумевает создания каких-либо фондов.
Аналогичные меры принимаются в США и на общегосударственном уровне: Федеральное казначейство сформировало «санкционный список» из киберкриминальных группировок и физлиц, вести деловые взаимотношения с которыми в США запрещается и организациям, и частным лицам. Под «деловыми отношениями» подразумевается и выплата выкупа. За нарушение запрета полагается наказание как за содействие совершению преступления.
Эксперты по безопасности в целом сходятся на том, что платить выкуп нельзя ни страховщикам, ни конечным жертвам.
За последние месяцы были отмечены сразу несколько случаев, когда добыча кибервымогателей достигала семи- и даже восьмизначных сумм. Рекорд поставила как раз страховая корпорация CNA Financial, которая, по сведениям СМИ, выплатила киберзлоумышленникам $40 млн.
Каждая успешная операция приводит к росту аппетитов вымогателей и увеличению среднего размера требуемых сумм; для страховщиков, даже предлагающих услуги посредничества с киберпреступниками, это с определенного момента станет невыгодно.
«Страховщикам нужны прозрачные механизмы определения степени ответственности самих пострадавших за каждый инцидент с шифровальщиками, — считает Дмитрий Гвоздев, генеральный директор компании “Информационные технологии будущего”. — Если атакованная организация не приняла возможные меры для предотвращения атаки, то это может не быть страховым случаем. Ряд страховщиков в мире использует пен-тест и экспертную оценку специалистов по информационной безопасности для определения тарифа, по которому может быть заключен договор страхования, привлекая специализирующиеся на такого рода ИБ-услугах компании. В отдельных случаях компаниям предлагается повысить меры по обеспечению информационной безопасности, и только после этого они могут быть застрахованы. Потому что, если, например, злоумышленники в качестве точки входа воспользовались уязвимостью в каком-либо ПО, для которого давно выпущены общеизвестные патчи, то это своего рода халатность, и страховые выплаты по сути на нее распространяться не должны. Если у компании отсутствует план по противодействию атакам с использованием шифровальщиков и восстановлению инфраструктуры, то это тоже может быть поводом для признания случая нестраховым».
Поделиться
Короткая ссылка
