Zurich ruziet met Tuc-fabrikant over dekking voor schade NotPetya cyberaanval

De Zwitserse verzekeraar Zurich ruziet met de Amerikaanse snoepfabrikant Mondelez over al dan niet-bestaande dekking voor de schade die het bedrijf opliep door een aanval met zogenaamde NotPetya-malware. Zurich wil niet uitkeren omdat de voorwaarden van haar schadeverzekering door staten gesponsord terrorisme zouden uitsluiten, zo schrijft het Britse Reinsurance News. Mondelez heeft daarop de Amerikaanse tak van Zurich voor de rechter gedaagd.

Vorig jaar zomer was met name de zakenwereld in de ban van cyberaanvallen met Petya/NotPetya-virussen. In Nederland kwam onder meer de grote terminal van containerrederij Maersk op de Maasvlakte stil te leggen. Reinsurance News wijst op cijfers van Property Claim Services (PCS) waaruit blijkt dat de inmiddels geclaimd schade van deze cyberaanvallen is tot $ 3 miljard. Slechts 10% valt toe te rekenen aan specifieke cyberverzekeringscontracten. 90% bestaat uit vervolgschade, bijvoorbeeld omdat bedrijven stil kwamen te liggen.

Tuc en Oreo

Een van deze cyberverzekeringsclaims betreft de schade die snoepfabrikant Mondelez, in Nederland bekend van de Tuc-zoutjes en de Oreo-koekjes, opliep. Volgens advocaat Robert Stines, een expert in cyberrecht en een partner bij advocatenkantoor Freeborn & Peters LLP in Chicago, liep het bedrijf meer dan $ 100 miljoen schade op door de aanval met de NotPetya-malware en liep deze uiteen van directe schade aan apparatuur tot verstoring van de distributie en het onvermogen om bestellingen uit te voeren.

Rusland vaak genoemd

Hoewel de verzekering van Mondelez bij Zurich expliciet dekking bood tegen de directe schade en de vervolgschade weigert de verzekeraar uit te keren. Volgens Stines is dat te danken aan een clausule die dekking uitsluit als er sprake is van “vijandig of oorlogszuchtig handelen" door elke "overheid of soevereine macht." Het NotPetya-virus wordt algemeen gezien als een cyberaanval die was geïnitieerd door een staat, waarbij Rusland vaak als verdachte wordt genoemd.

Bewijslast bij Zurich

Stines merkt op dat cyberverzekeringspolissen met uitsluitingen voor oorlogszuchtige of terrorisme-gerelateerde activiteiten mogelijk niet zo effectief zijn in een wereld waar door de overheid gesponsorde actoren vaak de schuld krijgen voor grote cyberaanvallen en malware-incidenten. Toch ligt volgens hem in de ruzie tussen Mondelez en Zurich volgens hem de bewijslast voor de uitsluiting bij de verzekeraar. Stines vermoedt dat dit nog wel eens een lastig verhaal kan worden omdat informatie over het NotPetya-virus wel eens staatsgeheim zou kunnen zijn.