La aparición de un “ciberuniverso”, en imparable expansión, constituye una fuente de oportunidades, pero también crea una serie de incertidumbres que anticipan una “revolución” en el mundo del seguro; los ciberriesgos están obligando a aseguradores y reaseguradores a introducir cambios notables en distintos ramos y en distintos momentos del ciclo asegurador: desde el acto mismo de la suscripción, la tramitación de los siniestros, la gestión diaria de las pólizas, el cálculo de las primas o el propio reaseguro.<\/p>\n
La irrupción de los ciberseguros se produce en un mercado en el que los riesgos conocidos se encuentran, tendencialmente, asegurados. Por su parte, el comportamiento de los ciberriesgos es el de buscar acomodo en las pólizas ya existentes, pólizas para las que no fueron diseñadas. Estos ciberriesgos, desconocidos en el momento de la suscripción o, sencillamente, no asegurados, se conocen con el nombre de silent cyber.<\/p>\n
El silent cyber es una fuente de ambigüedad y conflicto entre aseguradora-asegurado con implicaciones de calado.<\/p>\n
Tal y como ya anticipábamos en nuestro artículo de diciembre de 2019, <\/strong>, el principal daño asociado al silent cyber es la pérdida de beneficios como consecuencia de la interrupción de la actividad productiva, los daños propios (pérdida de datos, equipos…) y otros daños consecuenciales.<\/p>\n En atención al tipo de daños que provocan los ciberriesgos, serán las pólizas de property y de RC las que sufran, en mayor medida, los efectos del silent cyber puesto que son éstas las que cubren las pérdidas pecuniarias derivadas del cese\/interrupción de actividad. Así, el escenario actual es el de tomadores\/asegurados reclamando de las aseguradoras de property o RC que se cubran los daños derivados de un “cibersiniestro”.<\/p>\n Este es el escenario esbozado por el ransomware NotPetya en 2017.<\/p>\n “Ransomware” es el nombre que recibe el software que tiene como objetivo el “secuestro de datos”; es decir, un software diseñado expresamente para bloquear el acceso a datos hasta que se haga efectivo el pago de un rescate (ransom).<\/p>\n El 27 de junio de 2017, NotPetya (una versión refinada del ya conocido Petya) infectaba el servidor de la farmacéutica Merck and Co. en Ucrania propagándose, en un escaso margen de tiempo, a más de 30.000 ordenadores y 7.500 servidores de la compañía en todo el mundo. Compañías como Mondelez, WPP, FedEx o Maersk sufrieron también las consecuencias del NotPetya.<\/p>\n El NotPetya, entre otras consecuencias, provocó la interrupción de la actividad productiva del gigante farmacéutico Merck & Co. el cual, una vez controlada la crisis, cifró los daños en 1.300 millones de dólares americanos entre pérdidas de datos, equipos y pérdidas pecuniarias asociadas a la interrupción de la producción. El rescate solicitado por cada terminal bloqueado era de 300 dólares en bitcoins.<\/p>\n El objetivo del NotPetya no era la actividad productiva de Merck & Co. El NotPetya, de acuerdo con datos de diversas agencias de inteligencia, tenía por objetivo las instituciones financieras y gubernamentales ucranianas, dentro de la lógica de un conflicto bélico, hoy aún no resuelto, entre la Federación Rusa y Ucrania. En este punto, es preciso señalar que, técnicamente, es muy difícil conocer el origen real de un ciberataque; de hecho, compañías estratégicas rusas sufrieron también las consecuencias del NotPetya y el Gobierno ruso siempre negó la autoría del ataque.<\/p>\n Desde la óptica aseguradora, la cuestión de interés radica en que el laboratorio Merck & Co. declaró un siniestro por valor de 1.300 millones de dólares americanos a los distintos aseguradores y reaseguradores (más de 30). De acuerdo con la interpretación de Merck & Co., los daños producidos por el NotPetya eran imputables a las pólizas de property.<\/p>\n Las aseguradoras de Merck & Co. rehusaron cobertura, al considerar que los daños sufridos por el laboratorio eran consecuencia de un “acto de guerra” y, por lo tanto, se encontraban dentro de esta, ya tradicional, exclusión de cobertura (daños por conflicto bélico, revolución, terrorismo, sucesos climáticos extremos…).<\/p>\n El conflicto se encontraba servido y, dada la enorme cuantía de los daños producidos por el NotPetya, resultó imposible de transar. Ahora, será un tribunal de Nueva Jersey el que decida sobre la interpretación de la exclusión de “acto de guerra” que contienen la mayor parte de las pólizas de property o de RC.<\/p>\n En este sentido, ¿puede considerarse como un “acto de guerra” un ciberataque? ¿Es posible considerar, en un contexto globalizado, que los efectos secundarios de un ciberataque (las víctimas colaterales) son también víctimas de un “acto de guerra”? ¿Puede considerarse a una compañía como víctima de un ciberataque cuando éste no se ha dirigido contra ella (víctima colateral)? ¿O tan sólo puede considerarse “ciberatacada” aquella compañía que ha resultado ser objetivo del ciberataque?<\/p>\n Y es que la cuestión no es baladí. El silent cyber podría imputarse a la póliza de property si descontextualizamos completamente el origen de los daños o si, tal y como argumenta el laboratorio, no existe prueba de que Merck & Co. haya sido una víctima colateral de un ciberataque “que se fue de las manos”.<\/p>\n Por el contrario, asumir que las aseguradoras de property y de RC han de cubrir los daños masivos producidos por ransomware, en un contexto bélico, supondría imputar a una póliza que no ha sido diseñada para atender los efectos potencialmente catastróficos de los ciberriesgos, unos daños por los que no se ha satisfecho prima alguna. Llegados a este punto, conviene preguntarse si tiene sentido imputar un “cibersiniestro” a una póliza de property o de RC existiendo (ya) los ciberseguros en el mercado.<\/p>\n A la vista de lo anterior, el caso del NotPetya constituye un drama asegurador que sólo puede terminar mal, bien para Merck & Co., bien para el pool asegurador y reasegurador.<\/p>\n En caso de que el tribunal de Nueva Jersey decidiese imputar el silent cyber a las pólizas de property o de RC de Merck & Co., desencadenaría una auténtica revolución en el sector del seguro que obligaría al re-cálculo de las primas, so pena de que se repita el mismo escenario descrito en cualquier otro lugar del mundo, por cuantía similar o, probablemente, superior.<\/p>\n Desde el <\/strong> de Belzuz Abogados S.L.P. recomendamos minimizar, a toda costa, los efectos del silent cyber y reducir todo tipo de ambigüedades a la hora de suscribir una póliza de property o de RC: bien se contrata una cobertura limitada de ciberriesgos que permita modular la prima y hacerla competitiva en el mercado, bien se especifica la exclusión de cobertura de los ciberriesgos de la póliza y se contrata un ciberseguro aparte. Sólo de esta forma se evitarán conflictos entre tomador\/asegurado y asegurador y volverá la pax aseguradora al mercado.<\/p>\n<\/p>\n<\/p>\n <\/p>\n","protected":false},"featured_media":431,"template":"","categories":[],"area-de-practica":[],"publicaciones":[],"idioma-publicacion":[70],"areas-practica-publicacciones":[],"class_list":["post-3009","publicacion","type-publicacion","status-publish","has-post-thumbnail","hentry","idioma-publicacion-espanol"],"acf":[],"_links":{"self":[{"href":"https:\/\/belzuz.com\/en\/wp-json\/wp\/v2\/publicacion\/3009","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/belzuz.com\/en\/wp-json\/wp\/v2\/publicacion"}],"about":[{"href":"https:\/\/belzuz.com\/en\/wp-json\/wp\/v2\/types\/publicacion"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/belzuz.com\/en\/wp-json\/wp\/v2\/media\/431"}],"wp:attachment":[{"href":"https:\/\/belzuz.com\/en\/wp-json\/wp\/v2\/media?parent=3009"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/belzuz.com\/en\/wp-json\/wp\/v2\/categories?post=3009"},{"taxonomy":"area-de-practica","embeddable":true,"href":"https:\/\/belzuz.com\/en\/wp-json\/wp\/v2\/area-de-practica?post=3009"},{"taxonomy":"publicaciones","embeddable":true,"href":"https:\/\/belzuz.com\/en\/wp-json\/wp\/v2\/publicaciones?post=3009"},{"taxonomy":"idioma-publicacion","embeddable":true,"href":"https:\/\/belzuz.com\/en\/wp-json\/wp\/v2\/idioma-publicacion?post=3009"},{"taxonomy":"areas-practica-publicacciones","embeddable":true,"href":"https:\/\/belzuz.com\/en\/wp-json\/wp\/v2\/areas-practica-publicacciones?post=3009"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}