Выкуп хакерам и санкционная оговорка: суд Гааги обязал страховщика выплатить возмещение

Публикация подготовлена Аналитическим центром Академии BEPS

Фабула дела

Страхователь — компания, оказывающая логистические услуги, — заключил договор киберстрахования, покрывающий ущерб от киберинцидентов; полис действует с 23 ноября 2018 года и ежегодно продлевался. Страховщик входит в состав холдинга и, как установил суд, зарегистрирован во Франции.

В ночь с 3 на 4 февраля 2021 года значительная часть компьютерной сети страхователя была зашифрована вирусом-вымогателем «DoppelPaymer»; злоумышленники также использовали вредоносное ПО «Dridex». Были поражены резервные копии систем, а хакеры похитили путем эксфильтрации не менее 13 228 файлов.

О происшествии страхователь уведомил страховщика и своего брокера 4 февраля 2021 года. Страховщик назначил компанию Crawford менеджером по киберинцидентам, а страхователь привлёк компанию Northwave для реагирования на инцидент. 6 февраля 2021 года Northwave составила чек-лист уведомлений о цифровом вымогательстве: по его выводам, хакер не может быть квалифицирован как вредоносный субъект киберугроз, не имеет подтвержденной связи с лицами из списка SDN Управления по контролю за иностранными активами Минфина США (OFAC) и отсутствует в европейских санкционных списках; разумных оснований полагать, что выкуп уплачивается террористической организации или лицу из признанных санкционных списков, нет. В тот же день Northwave от имени и за счет страхователя выплатила выкуп.

Страховщик возместил ущерб лишь частично: он отказал в выплате уплаченного выкупа, а также расходов Northwave на переговоры и организацию выплаты. Письмом от 20 мая 2021 года страхователь потребовал выплатить выкуп в течение 14 дней; требование удовлетворено не было.

Условия полиса

Спор строился вокруг трёх положений условий полиса. Статья 1.4 («Цифровое вымогательство») покрывает убытки и расходы от цифрового вымогательства; под убытками понимается, среди прочего, выкуп (включая криптовалюту), подлежащий уплате с предварительного письменного согласия страховщика, который «не будет отказывать в предоставлении согласия по необоснованным причинам».

Статья 4.1 («Территория страхового покрытия») действует «в той мере, в какой это допускается нормативными правовыми актами и законом» (включая экономические и торговые санкции) и покрывает неправомерные действия и претензии, где бы в мире они ни имели место, за исключением претензий и регуляторных разбирательств, поданных либо возникших в США или Канаде.

Позиции сторон и решение суда первой инстанции

Страхователь предъявил иск о взыскании выкупа (за вычетом безусловной франшизы) и расходов, выплаченных Northwave, а также внесудебных расходов на нидерландских и американских адвокатов в размере около 41,4 тыс. евро.

Страховщик признал, что выкуп в принципе подпадает под покрытие, но возражал: по его позиции, санкционное законодательство США запрещает возмещение, так как выплата послужит выгодой группировке Evil Corp — российской хакерской группе, включенной OFAC в список SDN. Он заявил об опасности первичных и вторичных санкций, сослался на статьи 4.1 и 4.28, на форс-мажор (overmacht) и на ограничительное действие принципов разумности и справедливости.

Окружной суд Роттердама (решение от 12 июня 2024 года) обязал страховщика выплатить сумму выкупа с процентами по статье 6:119 BW и 6 775 евро внесудебных расходов. Суд счёл правдоподобным, что выкуп был выплачен Evil Corp или пошёл в её пользу, но риск первичных санкций обоснованным не признал, а риск вторичных санкций счёл недоказанным: одной теоретической возможности недостаточно, вероятность должна быть достаточно высокой и существенной, а примеры из заключения американского эксперта Крауланда несопоставимы с обстоятельствами дела. Расходы на консультации, связанные с обращением в OFAC (около 41,4 тыс. евро), в категории возмещаемых внесудебных расходов не вошли. Решение суд не обратил к немедленному исполнению, так как не мог со всей определённостью исключить санкции OFAC.

Обе стороны подали апелляционные жалобы. Страховщик выдвинул десять доводов, направленных против выводов о риске вторичных санкций (вывод об отсутствии риска первичных санкций он не оспаривал); страхователь — против отказа возместить расходы на юридических консультантов в полном объёме.

Выводы апелляционного суда

Как толковать условия. Суд применил стандарт «Хавилтекс». Поскольку индивидуальных переговоров по статьям 4.1 и 4.28 (последняя — стандартная оговорка Ассоциации страховых бирж Нидерландов, VNAB) не доказано, толкование строится на объективных факторах — прежде всего на буквальном тексте в контексте полиса в целом.

Статья 4.1 — не санкционная оговорка. Она определяет территорию покрытия: об этом говорят её заголовок, формулировка «где бы в мире они ни имели место», исключение США и Канады и связь со статьёй 4.2 о применимом праве. Оговорка «в той мере, в какой это допускается…» лишь учитывает различия в законодательстве разных государств; будь статья 4.1 санкционной оговоркой, статья 4.28 была бы излишней.

Бремя доказывания лежит на страховщике. Статья 4.28 — исключение из страхового покрытия, поэтому именно страховщик обязан утверждать и доказывать, что её условия соблюдены.

Буквальный текст статьи 4.28. Слова «если это составило бы нарушение» эквивалентны обороту «если это образует нарушение»; в статье нет формулировок вроде «могло бы составить» или «если существует реальный риск». Следовательно, из её текста не вытекает намерение защитить страховщика от правовой неопределённости при отсутствии официального решения регулятора.

Риск санкций страховщик не доказал. Он не привёл достаточных доводов, что власти США могут и действительно будут применять санкции к европейскому страховщику за выплату по договору в пользу нидерландской компании. Страховщик зарегистрирован во Франции, находится под французским надзором и подчиняется праву ЕС; статья 4.28 говорит о санкциях против страховщика, а им по условиям является исключительно сама компания-страховщик, а не его американская материнская или сестринская компания. Консультативные заключения OFAC используют слова «могут нести риск» и «потенциальные риски» — это указывает на гибкий характер регулирования, а широкие дискреционные полномочия OFAC сами по себе не означают, что они будут применены к страховщику. Кроме того, страхователь выплатил выкуп самостоятельно, через два дня после атаки, поскольку критическая часть инфраструктуры была заблокирована — страховщика нельзя упрекнуть в «содействии выплате». Заключение эксперта Крауланда не показывает, что OFAC применит санкции, а приведённые им примеры несопоставимы с делом.

Поведение OFAC. Страховщик (через американскую материнскую компанию) обратился в OFAC за лицензией на возмещение выкупа 19 августа 2021 года; в ноябре 2022 года адвокат просил ускорить решение. В письме от 16 мая 2024 года представитель OFAC сам спросил, нужно ли ещё решение с учётом длительного времени и того, что «разбирательства, вероятно, уже завершились естественным путем»; письмо от 30 декабря 2024 года сообщило лишь о передаче дела другому специалисту. По оценке суда, OFAC явно не придаёт делу приоритета, а за несколько лет после атаки никаких санкционных мер не последовало.

Форс-мажор и разумность. Поскольку не доказано, что OFAC действительно может или намерен применить вторичные санкции, форс-мажорной ситуации нет, а исполнение страхового обязательства не противоречит принципам разумности и справедливости. Довод о несостоявшейся судебной экспертизе суд отклонил: апелляционный суд проводит полную повторную оценку дела и в экспертизе не нуждается.

Немедленное исполнение. В отличие от окружного суда, апелляционный суд обратил решение о возмещении выкупа к немедленному исполнению: с момента взлома прошло почти четыре года, запрос в OFAC подан в августе 2021 года, а американский регулятор не предпринимал шагов — при таком положении правомерные интересы страхователя имеют безусловный приоритет.

Встречная жалоба. Страхователь требовал возместить расходы на консультантов до процесса в размере около 41,4 тыс. евро. Суд отказал: без детализированных счетов нельзя проверить, какие работы выполнял американский адвокат и были ли расходы разумными, а доводы о невозможности найти юриста доказательствами не подтверждены. Взысканные окружным судом 6 775 евро остались без изменения.

Резолютивная часть

• решение Окружного суда Роттердама от 12 июня 2024 года оставлено в силе;
• со страховщика взысканы судебные расходы страхователя в апелляции — 12 369,00 евро (государственная пошлина 6 561,00 евро; услуги адвоката 5 619,00 евро; последующие издержки 189,00 евро), с процентами при неуплате в течение четырнадцати дней, а также 98,00 евро последующих издержек и расходы на вручение при принудительном исполнении;
• постановление обращено к немедленному исполнению;
• в остальной части требований отказано.

Постановление вынесено судьями К. Энгелем (mr. K. Engel), Д. А. Шрёдером (mr. D.A. Schreuder) и Ф. Й. Вербеком (mr. F.J. Verbeek) и публично оглашено 13 октября 2026 года.