Глава 77: Страхование и профессиональная ответственность: кто платит за ущерб

Данный сценарий является учебным примером, основанным на типичных схемах мошенничества. Персонажи и события предназначены только для иллюстрации.

Было два часа ночи, когда телефон Рами, генерального директора инфраструктурной компании, завибрировал на прикроватной тумбочке. Обычно Рами игнорировал звонки в такое время, но номер, появившийся на дисплее, принадлежал его финансовому директору. Когда он поднял трубку, он услышал не ее спокойный и уверенный голос, а короткое, сдавленное дыхание.

«Рами, — прошептала она, — деньги не дошли до итальянского поставщика. И банк говорит... банк говорит, что счет, на который мы перевели 800 тысяч евро вчера, вообще им не принадлежит. Он принадлежит организации в Сингапуре, которая закрылась сегодня утром».

В тот момент Рами почувствовал, что земля уходит у него из-под ног. Но среди паники у него возникла одна обнадеживающая мысль: «У нас есть страховка». Он всегда следил за тем, чтобы компания была застрахована. Профессиональная ответственность, ответственность директоров, страхование гражданской ответственности — он платил значительные страховые взносы каждый год именно для такого момента. Он тогда, в ту роковую ночь, не знал, что настоящая борьба только начинается и что страховой полис, на который он полагался, может оказаться ненадежной опорой.

В предыдущих главах мы рассматривали методы мошенников и способы предотвращения. Но что происходит, когда предотвращение терпит неудачу? Когда деньги уже ушли со счета и исчезли в глубинах глобальной сети? Здесь возникает самый болезненный юридический и экономический вопрос: кто несет убытки? Банк, который не остановил подозрительный перевод? Страховая компания, подписавшая полис профессиональной ответственности? Или, возможно, бухгалтер и финансовый отдел, которые не смогли распознать подвох?

История инфраструктурной компании: когда страховка говорит «нет»

Компания находилась в процессе реализации проекта по строительству сложного моста. Их основной поставщик, итальянская компания, отправил электронное письмо с обновлением реквизитов банковского счета из-за «внутреннего аудита». Финансовый директор увидела знакомый логотип, вежливый стиль письма менеджера по продажам и одобрила перевод суммы на новый счет.

Три дня спустя, когда поставщик отправил уведомление о неоплате, выяснился масштаб катастрофы. Хакеры взломали почтовый ящик поставщика (или инфраструктурной компании — это может выясниться в ходе проверки), следили за перепиской в течение некоторого времени и в нужный момент «подставили» поддельный счет с данными своего банковского счета.

На встрече со страховым агентом генеральному директору сообщили, что существует полис профессиональной ответственности и базовое киберстрахование, поэтому покрытие есть. Однако вскоре после этого пришло письмо из страховой компании. Ответ был отказом в требовании.

«Согласно условиям полиса, — говорилось в письме об отказе, — страхование не покрывает ущерб, причиненный в результате социальной инженерии (Social Engineering) или добровольного перевода средств страхователем, если не было приобретено специальное расширение для этого. Более того, утверждается, что страхователь не выполнил телефонную верификацию, как того требуют условия защиты, что может быть расценено как халатность».

В тот момент выяснилось, что борьба ведется не только против мошенников, но и в рамках правовой и страховой системы. Образовался юридический «Бермудский треугольник»: страховая компания ссылается на халатность бизнеса; банк утверждает, что следовал инструкциям клиента; а поставщик требует свои деньги и угрожает остановкой проекта.

Это то место, где закон встречается с реальностью. В этой главе мы проанализируем возможную ответственность каждого из игроков на поле и поймем, почему слово «страховка» иногда является лишь началом сложного судебного процесса.

Черная дыра в страховых полисах: профессиональная ответственность против киберстрахования

Один из основных просчетов, с которыми сталкиваются в течение лет профессиональной деятельности, представляя компании, ставшие жертвами мошенничества, — это непонимание различий между видами страхового покрытия. Многие владельцы бизнеса считают, что «страхование профессиональной ответственности» — это своего рода страховой полис на случай любой человеческой ошибки. Юридическая реальность более сложна.

Полис профессиональной ответственности предназначен для покрытия ущерба, нанесенного третьей стороне в результате профессиональной ошибки страхователя. Но когда речь идет о цифровом мошенничестве, в результате которого сам бизнес потерял свои деньги, страховые компании могут утверждать, что это чистый финансовый убыток для самого бизнеса, а не обязательство перед третьей стороной, покрываемое «профессиональной ответственностью».

Здесь вступает в игру «киберстрахование». В последние годы этот вид страхования стал распространенным продуктом. Но здесь кроется ловушка: многие стандартные полисы киберстрахования покрывают ущерб компьютерным системам, расходы на восстановление данных и, возможно, упущенную выгоду от простоя. Они не обязательно и не автоматически включают денежные переводы, совершенные в результате мошенничества.

Профессиональный термин, который важно знать, — Social Engineering Fraud (мошенничество с использованием социальной инженерии). Страховые компании могут расценивать такой перевод как «добровольный перевод». С их точки зрения, именно сотрудник выполнил технические действия для подтверждения перевода. Без специального расширения для мошенничества с использованием социальной инженерии вероятность получения компенсации от страховой компании может быть крайне мала.

Более того, страховые компании выдвигают пороговые условия. Они могут потребовать от бизнеса доказать, что он применял внутренний контроль — например, телефонное подтверждение любого изменения данных банковского счета у уполномоченного лица поставщика. Если это действие не было выполнено, страховая компания может заявить об увеличении риска или халатности со стороны страхователя, что влияет на право на компенсацию согласно Закону о договоре страхования 1981 года.

Ответственность банка: не заснул ли сторож на посту?

Когда возникает трудность со страховой компанией, внимание иногда переключается на банк. Возникает вопрос, как банк разрешил перевод значительной суммы на необычный пункт назначения без дополнительной проверки.

Юридический вопрос заключается в том, что такое «обязанность проявлять осторожность» (duty of care) банка по отношению к клиенту. С одной стороны, банк обязан выполнять инструкции клиента. Задержка денежного перевода может привести к коммерческим убыткам. С другой стороны, у банка есть системы мониторинга, которые должны распознавать необычную активность.

Юридический анализ по этому вопросу находится в процессе развития. В прошлом преобладал подход, согласно которому ответственность лежит на клиенте, давшем распоряжение. Но сегодня можно заметить тенденцию рассмотрения повышенной обязанности банков проявлять осторожность. В определенных обстоятельствах, когда перевод является явно необычным — например, пункт назначения в стране риска, сумма, не соответствующая истории счета, или данные бенефициара, не соответствующие имени владельца счета, — ответственность банка может быть рассмотрена, если он не провел достаточную проверку.

Однако важно понимать ограничение: в международных системах переводов банки часто действуют по номерам счетов и не всегда проверяют полное соответствие имени бенефициара. Анализ юридических возможностей показывает, что на банк не всегда возлагается всеобъемлющая обязанность проверять каждое такое соответствие, и ответственность за ввод правильных данных обычно остается на клиенте.

Случаи, когда можно рассмотреть вопрос об ответственности банков, — это случаи, когда были явные «красные флажки», которые были проигнорированы, или случаи, когда банк не выполнил свои обещания относительно усиленной проверки.

Ответственность бухгалтера и финансового управления

Третий фактор в дискуссии — профессиональный персонал, управляющий денежными средствами. В сценарии мошенничества может возникнуть вопрос об ответственности бухгалтерской фирмы или бухгалтеров.

Должен ли бухгалтер при ежегодном аудите выявлять такое мошенничество? Обычно ответ — нет, так как его задача — проверять финансовые отчеты. Однако, когда речь идет о текущем бухгалтерском учете, ответственность может возрасти. Если специалист столкнулся с подозрительным электронным письмом и не задал вопросов или если не были установлены базовые рабочие процедуры «двойного подтверждения», может возникнуть довод о рассмотрении профессиональной халатности.

В таком случае рассматривается полис профессиональной ответственности специалиста. Если будет доказана халатность, возможно, можно будет рассмотреть возможность получения компенсации от его страховой компании, хотя страховые компании могут ссылаться на исключения из-за характера действия или сопутствующей халатности владельца бизнеса.

Юридический аспект: законы и правила распределения ответственности

При юридическом анализе подобных случаев рассматривается несколько источников:

1. Закон о договоре страхования 1981 года: рассматривается соблюдение страховой компанией обязанности по раскрытию информации. Было ли разъяснено страхователю, что включает киберстрахование? Были ли исключения выделены так, как того требует статья 3 Закона? Ограничения, которые не были выделены, могут иногда быть аннулированы при юридическом рассмотрении.
2. Указ о правонарушениях [новая редакция]: рассмотрение деликта халатности. Была ли нарушена обязанность проявлять осторожность со стороны банка или страховой компании? Можно ли было предвидеть и предотвратить ущерб?
3. Закон о платежных услугах 2019 года: этот закон регулирует ответственность в случаях злоупотребления платежными средствами. Его принципы также проникают в мир банковских переводов, особенно в отношении определения халатности со стороны клиента.
4. Доктрина «вины потерпевшего» (contributory negligence): банки и страховые компании склонны утверждать, что основная вина лежит на бизнесе, который действовал по поддельному электронному письму. При анализе юридических возможностей возможно, что суд разделит ответственность между сторонами в зависимости от обстоятельств дела.

Предупреждающие знаки до возникновения проблем с покрытием

• Предложение киберстрахования по очень низкой цене: может не включать покрытие финансовых мошенничеств (Funds Transfer Fraud).
• Отсутствие приложения «Социальная инженерия»: без такого прямого покрытия бизнес может не быть защищен в случае выдачи себя за другое лицо.
• Отсутствие требований безопасности со стороны банка: если не были определены механизмы усиленного подтверждения, это может стать лазейкой.
• Чрезмерное доверие к страховке: мнение, что страховка покроет все без принятия мер предосторожности, является значительным риском.

Рекомендуемые действия при выявлении инцидента (аспект страхования и ответственности)

1. Немедленное уведомление страховщика: своевременное уведомление критически важно для рассмотрения иска. Необходимо документировать каждое взаимодействие.
2. Документирование рабочих процедур: сбор доказательств соблюдения принятых процедур может помочь в борьбе с обвинениями в халатности.
3. Срочное обращение в банк: требование в письменной форме и по записанному разговору об остановке средств (Recall). Скорость реакции банка может повлиять на его ответственность.
4. Экспертиза специалиста по кибербезопасности: независимый эксперт может помочь в определении источника взлома, что является важным элементом в выяснении ответственности.
5. Рассмотрение ответственности поставщика: если источник мошенничества находится в почтовом ящике поставщика, можно рассмотреть его ответственность за ущерб.

Юридический аспект: резюме учебного сценария

В возможном сценарии, после изучения доказательств и проведения судебного процесса, стороны могут прийти к мировому соглашению. Банк может взять на себя часть ущерба, если будет доказано, что его системы выявили подозрительные признаки, которые не были должным образом обработаны. Страховая компания может согласиться на выплату частичной компенсации, если выяснится, что исключения в полисе были недостаточно понятны страхователю.

Посыл, исходящий из разнообразных случаев на протяжении многих лет, заключается в том, что суды могут расширить ответственность финансовых организаций, но вероятность этого зависит от обстоятельств и степени осторожности, которую проявил владелец бизнеса. Закон призван защитить тех, кто действует с разумной осторожностью и стал жертвой исключительной изощренности.

В следующей главе мы рассмотрим создание «плана защиты бизнеса» — включающего юридические и страховые аспекты — с целью минимизации риска доведения дела до судебного разбирательства в принципе. Как показывают многие случаи, профессиональное предотвращение является самым эффективным инструментом.