كيف ستؤثر تسوية Merck في قطاع التأمين؟

بدأ تحول كبير في كيفية عمل التأمين الإلكتروني بهجوم استهدف شركة الأدوية العملاقة Merck. أم أنها بدأت في مكان آخر؟

في يونيو 2017، أصابت حادثة NotPetya حوالي 40,000 جهاز كمبيوتر من نوع Merck، مما أدى إلى تدمير البيانات وإجبارها على عملية استرداد استمرت لأشهر. وقد أثر الهجوم على آلاف الشركات متعددة الجنسيات، بما في ذلك Mondelz وMaersk. وبالمجمل، تسبب برنامج ضار في أضرار تقارب 10 مليار دولار أمريكي.

استغل البرنامج الضار NotPetya ثغرتين في نظام التشغيل Windows؛ ألا وهما: EternalBlue، وهو مفتاح هيكلي رقمي سُرِّب من وكالة الأمن القومي (NSA)، إضافة إلى Mimikatz، وهو أداة استغلال تستخلص كلمات مرور المستخدمين من أجهزة الحاسوب التي تعمل بنظام Windows.

صُممت البرامج الضارة لتصيب دون إجراء من المستخدم، وتنتشر بالحركة داخل الشبكات وتنتشر بسرعة كبيرة، وأحياناً تقضي على الشبكات في أقل من دقيقة. وبمجرد تنفيذها، تستبدل سجل التمهيد الرئيسي، مما يؤدي إلى منعه من التشغيل.

وطالبت مذكرة فدية بالدفع مقابل فك التشفير. لكن لم تكن هناك آلية أو خطة للقيام بذلك. وكان الغرض منه هو إقناع الضحايا بأنهم أصيبوا ببرامج الفدية الضارة. في الواقع، وجدت NotPetya فقط لتدمير البيانات دون مسار للاسترداد.

قدّرت شركة Merck أن الهجوم كلفته 1.4 مليار دولار أمريكي. شملت تلك التكلفة فقدانًا مؤقتًا للقدرة على الإنتاج، بالإضافة إلى تكلفة معدات وتوظيف تكنولوجيا معلومات جديدة لازمة للتعافي.

كانت الشركة لديها وثيقة تأمين بقيمة 1.75 مليار دولار أمريكي "ضد جميع المخاطر" من شركة Ace American، لكن الشركة رفضت مطالبتها بالتعويض، قائلة إنه بما أن برنامج NotPetya نشأ في إطار حرب روسيا/أوكرانيا، فإن شرط الاستثناء المتعلق بـ "أعمال الحرب" يعني أنها غير ملزمة بالدفع.

رفعت شركة Merck دعوى قضائية ضد شركة Ace American في نوفمبر 2019. وتركزت قضيتها في الأساس على الحجة القائلة بأن الهجوم لم يكن نتيجة عمل رسمي من قبل الدولة وأن شركة Merck كانت مجرد متفرج خارج مسرح النزاع. قضى القاضي Thomas J. Walsh، من المحكمة العليا في نيوجيرسي، لصالح شركة Merck.

استأنفت شركة Ace American، ووجدت محكمة الاستئناف بالولاية في القضية أن بند الاستثناء من الحرب في بوليصة التأمين - الذي يستثني تغطية الخسائر الناجمة عن الأعمال العدائية أو الحربية التي تقوم بها الحكومات - لا ينطبق في هذه القضية.

وتوصل الطرفان إلى تسوية سرية مع شركات التأمين في 5 يناير 2024.

مرت شركات كبرى أخرى بسيناريوهات قانونية مماثلة، وقد تمت تسويتها أيضًا، وإن كان ذلك بمبالغ أقل.

لم تكن نتيجة الحالة متوقعة تمامًا ولم تكن بديهية بالضرورة. يُعتقد على نطاق واسع أن NotPetya نفسه بدأ خلال حرب - نُسبت إلى الحكومة الروسية (وتحديدا مجموعة القرصنة Sandworm داخل الاستخبارات العسكرية الروسية) وبدأت في أوكرانيا بهدف مفترض هو تعزيز أهداف روسيا في ذلك الصراع.

وعلى الرغم من أنه ربما كان عملاً من أعمال الحرب الإلكترونية، فقد انتشر الهجوم بعد ذلك خارج أوكرانيا ليشمل الآلات على مستوى العالم، مما تسبب في ما يمكن وصفه بأضرار جانبية.

تحتوي بوالص التأمين الإلكتروني عادةً على بنود استبعاد الحرب. على سبيل المثال، نشرت مؤسسة Lloyd's Market أسوسياشن (LMA) إرشادات بشأن بنود استثناء الحرب الإلكترونية. توصي هذه الإرشادات بعدم تطبيق الاستثناء على العمليات السيبرانية التي تقوم بها الدول خارج نطاق حرب ساخنة فعلية، في ظروف معينة. على سبيل المثال، إذا وقع الهجوم السيبراني خارج مسرح الصراع أو إذا لم تكن الشركة هي الهدف المقصود.

كان حكم المحكمة متسقًا مع إرشادات Lloyd’s، حيث وجد أن بند استثناء الحرب لا ينطبق على ظروف هجوم NotPetya.

ومع ذلك، كان الحكم مهمًا، إذ أن بعض أكثر الهجمات السيبرانية تطوراً وإلحاقاً للضرر هي نتيجة لأعمال تقوم بها الدول لمهاجمة المنافسين أو الأعداء. وإذا لم تتمكن شركات التأمين من استخدام بنود استثناء الحرب القياسية لهذه الهجمات السيبرانية الضارة التي ترعاها الدول، فسوف تحتاج إلى تعديل السياسات، أو رفع الأسعار، أو كليهما في المستقبل.

ظل مشهد التأمين السيبراني يشهد تقلبات منذ عقد على الأقل. ونتيجة لتصاعد تكلفة الهجمات السيبرانية، تضرر عملاء التأمين من ارتفاع الأقساط، ومتطلبات الاكتتاب الأكثر صرامة، وتضييق نطاق التغطية.

تعود هذه التغييرات إلى مجموعة واسعة من الاتجاهات في مجال الهجمات السيبرانية، بما في ذلك اتجاهات برامج الفدية (ransomware) التي ظهرت قبل بضع سنوات.

ارتفعت أقساط التأمين السيبراني العالمية من أقل من 5 مليارات دولار أمريكي في عام 2018 إلى ما يقدر بنحو 18 مليار دولار أمريكي هذا العام، وفقًا لمعهد Swiss Re.

بات مطلوباً من الشركات ترتيب وضاع أمنها السيبراني وفقاً لإرشادات تزداد صرامة لمجرد الحصول على التغطية أصلاً. وتستغرق شركات التأمين وقتاً أطول للموافقة على من تغطيهم ومن ثم تصبح أكثر انتقائية.

يضيق نطاق التغطية جزئياً من خلال تزايد عدد الاستثناءات التي تبطل التغطية تحت ظروف معينة (وكان "استثناء الحرب" أحدها).

لقد ركزت تسوية Merck اهتمام الصناعة على تحديات تعريف استثناءات الحرب في بوالص التأمين السيبراني. ومن المرجح أن تزيد شركات التأمين من إحكام الصياغة، خاصة فيما يتعلق باستثناء الحرب، وهو اتجاه كان قد بدأ بالفعل في عام 2022.

كما تحول الاهتمام لدى مشتري التأمين أيضاً. ستحتاج الشركات إلى إلقاء نظرة متفحصة على الاستثناءات، وفترات الانتظار، وحدود البوليصة، وعوامل أخرى عند النظر في مزود التأمين. وثمة عنصر مهم آخر يتمثل في تقدير ما إذا كانت الشركة قد تقع ضحية أو هدفاً نتيجة للأحداث الجيوسياسية والنظر في كيفية احتمالية أن تتركها الاستثناءات دون تعويضات في حال وقوع هجمات سيبرانية خطيرة ترعاها الدولة.

وقبل كل شيء، التركيز على الأمن السيبراني الفعلي - خاصة أدوات الأتمتة والذكاء الذكاء الاصطناعي.

في حين أنه من المرجح أن تقدم Merck والدعاوى القضائية والتسويات ذات الصلة مساهمة مادية في التغييرات في التكاليف والسياسات والاستثناءات وحدود تأمين الأمن السيبراني، فإن العامل المساهم الأكبر هو التطور المتزايد وتكلفة الهجمات الإلكترونية بشكل عام.