‘De verwoestende aanval van Zandworm heeft een blijvende impact op de verzekeringssector’

Twaalf Amerikaanse burgerskrijgen de loodzware verantwoordelijkheid een beslissing te nemen met een grote impact op de verzekerings- én de bedrijfswereld. Dat zegt Pedro Matthynssens, CEO bij Vanbreda Risk & Benefits.

Ook in mega-industrieën zoals verzekeringen zijn er soms vlindereffecten. Bijna niemand merkt ze op. Dat maakt de verrassing over de enorme impact die ze hebben alleen maar groter. In een rechtbank in de Amerikaanse staat Illinois komt zo’n vlinder aangevlogen. Twaalf gezworenen zullen er een beslissing nemen die niet alleen grote gevolgen heeft voor de verzekeringssector, maar ook voor bedrijven wereldwijd.

De beslissing is een gevolg van de cyberoorlog die woedt tussen Rusland en Oekraïne. Sinds 2014 voert een team Russische hackers, dat ‘Zandworm’ wordt genoemd, cyberaanvallen uit tegen Oekraïne. Die bereikten een triest hoogtepunt op 29 juni 2017, toen de hackers de krachtigste cyberaanval uit de wereldgeschiedenis lanceerden. In Oekraïne werden 22 banken, twee luchthavens, vier ziekenhuizen, zes energiebedrijven, alle geldautomaten en de hele overheid platgelegd.

Ook de laptopschermen van de Deense transportreus Maersk in Kopenhagen werden zwart. “Doe geen moeite, al uw bestanden zijn versleuteld”, verscheen op de schermen. Behalve Maersk werden het Spaanse Mondelez, het Franse Saint-Gobain, het Amerikaanse Merck & Co, het Europese TNT, Nivea in Duitsland, het Britse WPP en het Russische Rosneft die dag getroffen. Lloyd’s of London schatte de totale wereldwijde schade op miljarden.

Het wapen van de Russische cyberblitzkrieg was een combinatie van twee hackingmethodes: Eternal Blue en Mimikatz. Eternal Blue heeft Zandworm ironisch genoeg gestolen bij het Amerikaanse National Security Agency (NSA). Het laat toe vijandige software in pc’s binnen te smokkelen. Mimikatz wordt gebruikt om paswoorden te recupereren uit computers en zo ongeoorloofde toegangen te verkrijgen.

Zandworm injecteerde de dodelijke cocktail van die twee hackingmethodes in een boekhoudpakket dat in Oekraïne veel wordt gebruikt. Bij Maersk was die boekhoudsoftware geïnstalleerd op welgeteld één computer in het Oekraïense kantoor in Odessa. Maar dat bleek genoeg om het wereldwijde transportconglomeraat op de knieën te krijgen. Maersk schatte het verlies op 300 miljoen euro. De CEO heeft publiek gecommuniceerd over de lessen die het bedrijf heeft geleerd, zonder de zaak verder veel ruchtbaarheid te geven.

Mondelez, een reus in de voedingsindustrie, paste een andere strategie toe. Het leed een verlies van 100 miljoen dollar en deed een aangifte van de schade onder zijn brandverzekeringspolis bij Zurich Insurance. En die gebeurtenis maakt dat de verwoestende aanval van Zandworm een blijvende impact op de verzekeringssector heeft.

De polis bij Zurich dekt ook “verlies of schade aan elektronische gegevens, programma’s of software, inclusief verlies of schade veroorzaakt door kwaadaardige introductie van machinecode of een instructie”. Maar omdat die een uitsluiting voor “vijandelijke of oorlogsacties door een overheid of soevereine macht” bevat – de Verenigde Staten, het Verenigd Koninkrijk en de NAVO hebben de oorzaak voor de aanval bij de agressie van Rusland tegen Oekraïne gelegd – weigert Zurich de claim uit te betalen. Mondelez daagde de verzekeraar daarop prompt voor de rechter.

Twaalf Amerikaanse burgers krijgen de loodzware verantwoordelijkheid een beslissing te nemen met een grote impact op hoe de verzekerings- én de bedrijfswereld zal omgaan met cyberrisico’s – wellicht het belangrijkste bedrijfsrisico van de 21ste eeuw.

Als Zurich gelijk krijgt, moeten bedrijven overal ter wereld afstappen van het idee dat hun cyberrisico’s automatisch gedekt zijn onder brandpolissen en moeten ze daarvoor gespecialiseerde cyberverzekeringen afsluiten. Wint Mondelez, dan moeten verzekeraars miljoenen brandpolissen aanpassen, zodat cyberrisico’s zijn uitgesloten en enkel worden gedekt onder hun specifieke cyberpolissen. Bij dat alles blijft het de vraag of oorlogsrisico’s verzekerbaar zijn, en wat de definitie van oorlog vandaag is. Al zal Zandworm zelf daar niet van wakker liggen.