被勒索病毒困擾 企業開始用保險應對損失

新浪科技訊 北京時間5月22日消息，保險公司指出，類似WannaCry這樣的勒索病毒讓企業蒙受損失，為了挽回損失，一些沒有購買網路險的企業重啟購買政策，保險內容覆蓋綁架、勒索和敲詐。

購買網路險費用很高，在美國之外並不是特別流行，保險公司之前曾透露說，購買數據泄露保險服務時，投資10萬美元可以獲得100萬美元賠償。

企業用綁贖險應對

一些企業想都沒有想過購買此類保險，因為它們認為自己不會成為攻擊目標。

綁架險（又叫作K&R coverage，即綁贖險）一般被跨國企業使用，它們用綁贖險保護某些地區的員工，這些地區石油和採礦業發達，暴力事件很多，比如非洲和拉美一些地區。

如果遭到WannaCry攻擊，企業也可以用綁贖險挽回損失。WannaCry攻擊用惡意軟體（也就是勒索病毒）鎖定20多萬台計算機，波及150多個國家，黑客要求計算機用戶支付贖金才能解鎖。

保險公司認為，與傳統網路險相比，如果遭到勒索攻擊用綁贖險挽回損失，獲賠的資金可能低一些，政策也沒有那麼匹配。

倫敦專業商業保險公司CNA Hardy的首席承銷官帕特里克·蓋奇（Patrick Gage）認為：「一些富有創造力的法醫律師可能會深入研究條款。」他還說綁贖險一般針對生命所遭受的威脅，用戶購買特定範圍的保險會優先對待，不是那些模糊的保險類別。

美國國際集團（American International Group）、Hiscox和Travelers已經收到一些客戶的請求，它們因為勒索軟體索賠，這些客戶購買了綁贖險。

保險公司拒絕透露總索賠金額，主要是出於機密原因和客戶安全方面的考慮。Hiscox新聞發言人表示：「在過去18個月里我們收到了索賠請求，不過金額並沒有增加太多。金額在預期之內，整體上是可控的。」

是否有客戶因為WannaCry攻擊申請索賠？Hiscox新聞發言人拒絕置評。不過災難建模公司RMS的網路安全管理專家湯姆·哈維（Tom Harvey）認為，如果保險公司提供綁架、勒索保險服務，它們將會深入查看保單條款，看看自己是否會受到影響。

在過去18個月里，由於勒索攻擊的數量迅速增加，迫使企業利用綁贖險挽回損失，因為它們沒有直接購買網路險，或者根據網路保險條款索賠金額比免賠額還要低。

賽門鐵克表示，2016年發現46萬起勒索攻擊事件，比2015年增加36%；要求受害者支付的贖金平均額度從294美元上升到1077美元，增長266%。

威脅越來越大，提供綁贖險的保險公司風險加大，索賠金額可能比預期多得多。保險經紀商說，保險公司已經開始響應，它們修改了政策，原本政策就不是根據勒索病毒設計的。

保險公司擔心了

有許多計算機受到WannaCry影響，當中的大多數不在美國，而且美國之外的企業一直不願意購買網路險。全球每年購買的網路保險費約為25-30億美元，當中90%來自美國。

企業購買綁贖險時也沒有將勒索軟體考慮進去。但是之前有案例顯示，高科技黑客與網路勒索可以對企業業務造成巨大影響，比一名高管被綁為人質威脅還要大。

保險經紀商Marsh的安全產品主管鮑勃·帕里（Bob Parisi）認為：「如果CFO被綁架了，公司還是會繼續運營。如果系統內部出現惡意軟體，兩座工廠可能會停產，實際損失大得多。」

Aon網路風險實踐全球主管凱文·卡林尼池（Kevin Kalinich）說，一般來講綁贖險沒有免賠額，勒索贖金和危機響應服務也在賠付範圍之內；例如，與罪犯或者監管機構接觸就屬於危機響應範圍。

儘管如此，綁贖險可能只是權宜之計，因為它不是針對勒索軟體設計的。保險公司指出，企業可以再購買營業中斷險，不過賠付的最高額度一般比網路險低。

經紀商還說，提供綁贖險的保險公司已經修改政策，為勒索軟體受害者支付賠償金，一些保險公司甚至為客戶設立比特幣帳戶，加快贖金的支付速度。

不過保險公司已經開始重視自身風險。Willis Towers Watson PLC全球網路風險主管戴高斯提諾說，一些企業增加了免賠額。AIG也對政策做出調整，如果購買綁贖險中的營業中斷類別，遭遇網路敲詐勒索事件最高只能賠100萬美元，金額下調。AIG網路安全保險全球主管特蕾西·格雷拉(Tracie Grella)說：「保險公司沒有料到勒索軟體如此猖獗。」（星海）

喜歡這篇文章嗎？立刻分享出去讓更多人知道吧！