Cyberatak na chłodnie we Francji. Kto zapłaci za straty?

Cyberatak na systemy chłodnicze francuskich supermarketów pokazał, że przestępstwo komputerowe może doprowadzić do fizycznego zniszczenia towaru. Po zdarzeniu eksperci ubezpieczeniowi ostrzegają, że standardowa polisa cybernetyczna nie zawsze pokrywa zepsutą żywność.

Atak, ujawniony w połowie października, dotknął według Reutersa urządzeń chłodniczych w około 350 sklepach. Przestępcy uzyskali dostęp do systemów sterowania, zmieniając parametry pracy części instalacji. Temperatura niektórych zamrażarek wzrosła do około 50 stopni Celsjusza. Sklepy musiały wyrzucać produkty wymagające stałego chłodzenia. Śledczy próbowali ustalić sprawców, a do czasu opisywanych publikacji żadne ugrupowanie nie wzięło na siebie odpowiedzialności.

Właściciele sklepów znaleźli się w szczególnie trudnej sytuacji. Koszty nie ograniczają się do naprawy programów i ponownego uruchomienia agregatów. Obejmują także utracony asortyment, przestoje, konieczność utylizacji żywności oraz utracone przychody. Wielkość strat zależy od miejsca, czasu wykrycia problemu i konstrukcji instalacji.

Niektóre ubezpieczenia cybernetyczne chronią firmę przed kosztami odzyskania danych, przestojem informatycznym czy odpowiedzialnością za wyciek informacji. Nie wszystkie jednak obejmują szkody materialne powstałe wtedy, gdy komputerowy atak zmienia działanie urządzenia. Reuters rozmawiał z ekspertami, którzy wskazywali właśnie na tę granicę odpowiedzialności. Firma może mieć ochronę na wypadek włamania do systemu, a jednocześnie napotkać problem z odszkodowaniem za jedzenie, które przestało nadawać się do sprzedaży.

Nie znaczy to, że każde roszczenie będzie automatycznie odrzucone. Znaczenie mają konkretne warunki polisy, wykupione rozszerzenia, wyłączenia odpowiedzialności i dokumentacja związku przyczynowego między atakiem a stratą. Osobnym problemem bywa ustalenie, czy przedsiębiorstwo i dostawca urządzeń przestrzegali procedur bezpieczeństwa. Takie oceny mogą być przedmiotem sporów z ubezpieczycielem.

Nowoczesne systemy chłodnicze korzystają z kontrolerów, oprogramowania i połączeń sieciowych. Zdalny nadzór ułatwia obsługę dużych sieci, ale źle zabezpieczony dostęp tworzy dodatkową drogę dla napastnika. Komunikaty i relacje dotyczące francuskiego ataku wskazują na znaczenie aktualizacji oprogramowania i kontroli dostępu do systemów przemysłowych.

Dla polskich sieci handlowych lekcja ma charakter praktyczny. Oprócz aktualizacji komputerów biurowych potrzebny jest wykaz urządzeń sterujących, osobne zabezpieczenie połączeń serwisowych, monitoring temperatur i plan działania na wypadek utraty zdalnego nadzoru. Równie ważne jest zrozumienie, za które szkody odpowiada ubezpieczyciel, zanim pojawi się awaria. Nie ma potwierdzonych podstaw, aby francuskie zdarzenie przypisywać konkretnemu państwu; na obecnym etapie istotne są skutki techniczne, a nie spekulacje o sprawcach.

Podobne ryzyka dotyczą nie tylko sklepów spożywczych. Szpitale, laboratoria i firmy farmaceutyczne przechowują część produktów w ściśle kontrolowanych temperaturach. Gdy zdalny system sterowania zawiedzie, możliwe szkody obejmują zarówno straty finansowe, jak i konieczność wycofania produktów z użycia. W każdej z tych branż osobna procedura awaryjna powinna precyzować, kto podejmuje decyzję o zatrzymaniu urządzeń i kiedy informowane są służby techniczne.