بیمه سایبری برای محافظت از سازمان‌ها در برابر خسارات حملات سایبری، از جمله پوشش هزینه‌های مالی مقابله با حوادث طراحی شده است.
به گزارش گرداب، باج‌افزار یکی از بزرگ‌ترین مسائل امنیت سایبری است که امروزه سازمان‌ها با آن روبرو هستند، اما با توجه به افزایش پرونده‌ها و بررسی بیمه‌های ارائه شده توسط بیمه‌های سایبری، ممکن است تغییراتی صورت بگیرد.بیمه سایبری برای محافظت از سازمان‌ها در برابر خسارات حملات سایبری، از جمله پوشش هزینه‌های مالی مقابله با حوادث طراحی شده است.
با این حال، بعضی از منتقدان می‌گویند که بیمه، قربانیان باج‌افزار را تشویق می‌کند تا به سادگی باج پرداختی که توسط شرکت‌های بیمه پوشش داده می‌شود را بپردازند و اقدامات امنیتی مناسب برای جلوگیری از هکر‌ها در وهله اول را انجام ندهند. بیمه‌گذاران استدلال می‌کنند که این مشتری است که برای پرداخت باج تصمیم می‌گیرد و نه بیمه‌گذار.
اخیرا گفته می‌شود که دلیل اصلی افزایش حملات باج‌افزاری، شرکت‌هایی هستند که برای باج‌دهی به مجرمان سایبری به قوانین بیمه سایبری تکیه می‌کنند.
قربانیان حملات باج‌افزاری بیش از پیش برای پرداخت مبالغ درخواست شده در طی حملات سایبری از بیمه سایبری استفاده می‌کنند. البته محققان امنیتی اخطار می‌دهند که استفاده از این شیوه به سرعت می‌تواند مشکل‌ساز شود.
طبق گزارشات مطالبات بیمه سایبری که در سال پیش منتشر شد، حملات باج‌افزاری در نیمه نخست سال ۲۰۲۰، حدود ۴۱ درصد از پرونده‌های ثبت شده بیمه سایبری را تشکیل می‌داد.
در طی حملات انجام شده در دو سال اخیر، بیش‌تر شرکت‌هایی که با باج‌افزار‌ها برخورد داشتند، اعلام کردند که برای پرداخت مبلغ لازم یا جبران خسارت وارد شده از بیمه سایبری استفاده کرده‌اند.
برای مثال، چند هفته بعد از این که شهر Riviera Beach در ایالت فلوریدا در ماه ژوئن سال ۲۰۱۹ مورد حمله سایبری قرار گرفت، شورای شهر جلسه‌ای فوری تشکیل دادند که در آن به اتفاق تصمیم بر این شد که برای پرداخت مبلغ ۶۰۰۰۰۰ دلار در ازای پس گرفتن داده‌های مهم، از اداره بیمه شهری کمک بگیرند.
مهاجمان هم‌چنین سیستم‌های مالی و سیستم‌های مربوط به ادارات آب و برق شهر را به حالت آفلاین درآورده بودند. در همان ماه، شهر Lake City در همین ایالت، مبلغ ۵۰۰۰۰۰ دلار به مهاجمان سایبری پرداخت کرد که شهرداری اعلام کرد این مبلغ تحت پوشش بیمه شهری است.
در ماه اوت سال ۲۰۲۰، دانشگاه یوتا بعد از مورد حمله قرار گرفتن سرور‌های دانشگاه و داده‌های دانشجویان و دانشکده‌ها با کمک بیمه سایبری، مبلغ ۴۵۷۰۰۰ دلار به مهاجمان پرداخت کرد.
گفته می‌شود که خط لوله کولونیال هم یکی از قربانیان حملات باج‌افزاری بوده، که به کمک شرکت معاملات بازرگانی Aon and Lloyd واقع در لندن تحت پوشش بیمه سایبری بوده است.
این شرکت تولید نیرو مبلغ ۴.۴ میلیون دلار به مهاجمان پرداخت کرد. البته مشخص نیست که این شرکت برای پرداخت این مبلغ به طور کامل از بیمه‌نامه خود استفاده کرده است یا خیر. طبق گزارشات رویترز، فقط ۱۵ میلیون از خسارت وارد شده به خط لوله کولونیال تحت پوشش این بیمه‌نامه بوده است.
بیمه سایبری و اندیشکده دفاعی RUSI
طبق مقاله منتشر شده توسط اندیشکده دفاعی Royal United Services Institute (RUSI) که در آن بیمه سایبری و چالش امنیت سایبری مورد بررسی قرار گرفته است، این عمل نه تنها مجرمان سایبری را تشویق می‌کند، بلکه صنعت بیمه سایبری را هم در وضعیت بدی قرار می‌دهد. این موضوع نشان می‌دهد که حملات باج‌افزاری تبدیل به تهدید بزرگی برای بعضی از شرکت‌های بیمه شده است.
به گفته RUSI، تا به امروز، بیمه سایبری نتوانسته به طوری که از آن انتظار می‌رفت به عنوان ابزاری برای بهبود شیوه‌های امنیت سایبری سازمان‌ها عمل کند. این موسسه هم‌چنین هشدار داد: «بیمه‌گذاران سایبری ممکن است ناخواسته تلاش‌های مجرمان سایبری را با مشارکت در رشد هدفمند باج‌افزار‌ها تسهیل کنند».
در این مقاله نوشته شده است: «نگرانی‌های گسترده‌ای وجود دارد که شرکت‌های بیمه با پرداخت مطالبات، حملات باج‌افزاری را افزایش می‌دهند.
پرداخت باج در حال حاضر غیرقانونی نیست و غالبا پرداخت باج به مهاجمان نسبت به بازسازی زیرساخت‌های فناوری اطلاعات یا جبران خسارات ناشی از وقفه تجاری، کم‌هزینه‌تر است».
با این حال، بر اساس گزارش RUSI، بیمه سایبری در واقع می‌تواند با تشویق کردن مشتریان به بهبود وضعیت دفاعی‌شان برای جلوگیری از مورد حمله قرار گرفتن در وهله اول، نقشی در برهم زدن نحوه کارایی باج‌افزار‌ها داشته باشد.
در این مقاله پیشنهاد شده است که شرکت‌های بیمه برای پوشش حملات باج‌افزاری باید مشتریان خود را ملزم به داشتن حداقل میزان مدیریت در برابر باج‌افزار‌ها کنند.
این مدیریت‌ها شامل کنترل به موقع نقاط ضعف مهم در ساختار‌های خارجی فناوری اطلاعات، امکان احراز هویت چندعاملی در سرویس‌های دسترسی از راه دور، محدود کردن اقدامات جانبی با اتخاذ شیوه تقسیم‌بندی شبکه و اجرای روش‌هایی برای اطمینان از ایجاد نسخه‌های پشتیبان به طور منظم است.
بیمه سایبری: سپر مالی در برابر حملات
وقتی شرکتی با حملات باج‌افزاری مواجه می‌شود، بیمه سایبری باید به عنوان یک سپر در برابر عواقب این حملات بایستد. برای مثال، شرکت تولید انبوه آلومینیوم Norsk Hydro بعد از حمله شدید سایبری در سال ۲۰۱۹ از موسسه بیمه سایبری AIG مبلغ ۲۰.۲ میلیون دلار در جبران خسارت‌ها دریافت کرد. مجموع خسارت‌های وارد شده به این شرکت بعد از این حمله سایبری در حدود ۶۰ تا ۷۱ میلیون دلار تخمین زده شده است.
جک کوداله (Jack Kudale)، بنیان‌گذار و مدیرعامل شرکت Cowbell Cyber گفت: «ضربه مالی حاصل از حملات باج‌افزار به صورت چندوجهی است و فقط محدود به مبلغ پرداخت شده به مهاجمان نمی‌شود. وقفه در کسب‌وکار، افت درآمد، فاش شدن احتمالی داده‌های مهم مربوط به شخص ثالث، مسائل قانونی مربوط به بازیابی تجاری و مذاکرات مربوط به حملات باج‌افزاری و کنترل محل نفوذ مهاجمان، همگی می‌توانند تحت پوشش بیمه‌نامه بیمه سایبری قرار بگیرند».
استفاده از بیمه سایبری در پوشش مذاکرات و اخاذی‌ها از نظر بعضی از محققان امنیتی باعث بیش‌تر شدن مشکلات می‌شود.
براندون هافمن (Brandon Hoffman)، افسر ارشد امنیت اطلاعات در شرکت Netenrich می‌گوید: «پرداخت مبالغ درخواستی در حملات باج‌افزاری نه تنها یک شرکت را در موقعیت قانونی مشکل‌سازی قرار می‌دهد، بلکه به مجرمان سایبری نشان می‌دهد که به راحتی می‌توان از شرکت شما اخاذی کرد».
هزینه‌ها، حق بیمه‌ها و محدودیت‌های فرعی
در ماه ژانویه سال ۲۰۲۱، یکی از تحقیقات انجام شده توسط AdvisorSmith Solutions به این نتیجه رسید که میانگین هزینه بیمه سایبری در ایالات متحده، ۱۴۸۵ دلار در سال است. حق بیمه مربوط به شرکت‌هایی با میزان خطر متوسط که ۱ میلیون دلار در سال درآمد دارند، بین ۶۵۰ تا ۲۳۵۷ دلار است. این حق بیمه‌ها بر اساس سقف بدهی ۱ میلیون دلار تنظیم شده‌اند که ۱۰۰۰۰ دلار آن به عنوان مالیات، قابل کسر است.
بعضی از این بیمه‌نامه‌ها در رابطه با هزینه‌های مربوط به باج‌افزار‌ها دارای محدودیت‌های خاصی هستند که به آن محدودیت‌های فرعی گفته می‌شود.
در این گزارش نوشته شده است که بیش‌تر بیمه‌نامه‌های سایبری دارای پوشش بسیار محدودی برای حملات باج‌افزاری هستند و محدودیت‌های فرعی پوشش این بیمه‌نامه‌ها کم‌تر از ۲۵۰۰۰ دلار است، در حالی که سقف بیمه‌نامه‌های سایبری باید بسیار بیش‌تر از این مقدار باشد.
از آن‌جا که نگرانی‌های متخصصان امنیتی راجع به تغییرات ناشی از بیمه سایبری در حوزه امنیتی بیش‌تر شده است، استفاده از محدودیت‌های فرعی افزایش یافته است.
برای مثال، بسیاری از متخصصان بر این باورند که تکیه کردن به بیمه‌نامه‌های سایبری در مواقع حملات باج‌افزاری باعث می‌شود که شرکت‌ها از نیرو‌های امنیتی‌ای که می‌توانند قبل از انجام حمله از آن جلوگیری کنند، کم‌تر استفاده کنند.
هافمن گفت: «اگر از یک دید کلی‌تر به مسأله نگاه کنیم، می‌بینیم که اضافه کردن طرح پوشش هزینه‌های مربوط به باج‌افزار‌ها به بیمه‌نامه‌ها فقط باعث استفاده بیش‌تر از باج‌افزار‌ها می‌شود و شرکت‌ها را از آمادگی کامل برای جلوگیری از عواقب این گونه حملات منصرف می‌کند».
اقدامات رگولاتوری نقش بیمه سایبری را کم‌رنگ‌تر می‌کند
شرکت‌های بیمه سایبری معمولا به توانایی خود در پوشش هزینه‌های مذاکرات بین قربانیان باج‌افزار‌ها و مجرمان سایبری می‌بالند. اما دولت‌ها درباره باج‌افزار‌ها به دنبال اقدامات رگولاتوری دیگری هستند؛ از جمله حکم ممنوعیتی که در سال ۲۰۲۰ در نیویورک مطرح شد که شهرداری‌ها را از تسلیم شدن در برابر درخواست‌های باج‌افزاری منع می‌کرد.
این حکم ممنوعیت که در پاسخ به افزایش حملات سایبری به مراکز دولتی در کل کشور مطرح شده بود، توانایی شهرداران در باج‌دهی به مهاجمان را محدود می‌کرد.
در این حکم، تشکیل صندوق بهبود امنیت سایبری به عنوان جایگزین آورده شده است تا به شهرداری‌ها در بهبود وضعیت تیم امنیتی آن‌ها کمک کند. یک حکم مشابه دیگر در سال ۲۰۲۰ در مجلس سنای ایالت نیویورک مطرح شد که علاوه بر ممنوعیت باج‌دهی به مهاجمان سایبری، ساخت صندوق امنیتی هم در دستور کار قرار گرفته بود.
در همین حال، خزانه‌داری آمریکا چندین گروه از مجرمان نرم‌افزاری را در لیست تحریم قرار داد که دولت و شهروندان را از معامله با آن‌ها (و باج‌دهی به آن‌ها) منع می‌کند.
این لیست مجرمان شامل سازنده بدافزار CryptoLocker (Evgeniy Mikhailovich Bogachev)، گروه باج‌افزاری SamSam، گروه Lazarus مرتبط با کره‌شمالی و گروه Evil Corp و سازنده آن یعنی Maksim Yakubets می‌شود.
خزانه‌داری در اکتبر سال ۲۰۲۰ درباره گسترش این تحریم‌ها اعلام کرد که هر شرکتی که پرداخت مطالبات باج‌افزاری را به جای مشتریان به عهده بگیرد (که به آن‌ها شرکت‌های مذاکره‌کننده گفته می‌شود)، ممکن است به دلیل تشویق به تکرار جرم و افزایش حملات باج‌افزاری در آینده در لیست تحریم قرار بگیرد.
استثنا‌های ملی و ایالتی
بیمه‌های سایبری در مواقع حملات ملی و ایالتی، راه گریز مخصوص به خودشان را دارند. در سال ۲۰۱۷، وقتی بدافزار NotPetya صد‌ها سازمان در کل دنیا را هدف قرار داد، برخی از بیمه‌دهندگان از استثنا‌های طراحی شده برای زمان جنگ برای پرداخت نکردن مطالبات مربوط به NotPetya استفاده کردند.
این نوع از استثنائات در هنگام رخ دادن اقدامات تهاجمی یا جنگی در زمان جنگ و صلح، هزینه‌های مورد نیاز را پوشش نمی‌دهند. این موضوع باعث شد تا بعضی افراد از مبهم بودن شرایط مورد نیاز برای پوشش این هزینه‌ها انتقاد کنند.
چگونه می‌توان شرایط بیمه‌نامه‌های سایبری را برای برخورد با این نگرانی‌ها بهبود بخشید؟ هافمن در گفته‌های خود اشاره کرد که شرکت‌های بیمه نباید حق بیمه یا هزینه‌های مربوط به باج‌افزار‌ها را پرداخت کنند؛ مگر این که اقدامات جلوگیری و جبران خسارات به اندازه کافی از سوی شرکت بیمه شده انجام شده باشد.
هافمن گفت: «می‌دانم که این موضوع می‌تواند سخت‌گیرانه به نظر برسد، ولی دلیل عاقلانه‌ای برای مذاکره نکردن دولت‌ها و نیرو‌های انتظامی با تروریست‌ها در وضعیت گروگان‌گیری وجود دارد و با حملات باج‌افزاری هم باید به همین شیوه عمل کرد.
داشتن طرح جلوگیری و جبران خسارت در مواجهه با باج‌افزار‌ها یکی از موضوعات مهم است و ایجاد آگاهی لازم در مورد این نوع از خطرات برای شرکت‌ها بسیار سودمند خواهد بود».
شرکت‌های بیمه هم‌چنان در پی پرداخت این مبالغ هستند
حدود چند هفته پیش جوزف بلونت، مدیرعامل خط لوله کولونیال در کمیته امنیت داخلی مجلس نمایندگان آمریکا شهادت داد که شرکت وی بابت باج ۴.۴ میلیون دلاری ارز دیجیتال ماه گذشته، پرونده‌ای در بیمه سایبری تشکیل داده است. مقامات آمریکایی در این هفته اعلام کردند که موفق شده‌اند ۲.۳ میلیون دلار از این باج را بازیابی کنند.
این موضوع باعث می‌شود تا از خودمان بپرسیم چه کسی این مبلغ را دریافت می‌کند (خط لوله کولونیال یا شرکت بیمه) و این که این کار چه پیامد‌هایی برای قربانیان باج‌افزار‌ها و بیمه‌گذاران آن‌ها در پی خواهد داشت.
در ماه مه که شرکت خط لوله کولونیال پرداخت باج خود را انجام داد، شرکت بیمه AXA اعلام کرد که پوشش باج‌های بدافزاری در بیمه‌نامه‌های خود در فرانسه را لغو می‌کند.
تقریبا در همان زمان، مدیرعامل Swiss Re، کریستین مومنتالر، در مصاحبه‌ای گفت: «این مشکل [امنیت سایبری]آن‌قدر بزرگ است که قابل بیمه نیست».
اما به نظر می‌آید که نباید به شکسته شدن چرخه پرداخت باج‌های میلیون دلاری توسط شرکت‌های بیمه چندان امیدوار بود. در واقع، پرداخت مبلغ باج درخواستی برای بیمه‌گذاران به نسبت متحمل شدن تمام هزینه‌های مربوط به بازیابی سیستم‌های آسیب دیده و هرگونه خرابی یا کمبود درآمد ناشی از آن راحت‌تر است.
به عنوان مثال، بلونت در شهادت خود تأیید کرد که قبل از پرداخت، مبلغ باج را با بیمه‌کننده شرکت کولونیال در میان گذاشته است و به او گفته شده است که شرکت بیمه در نهایت خسارت را جبران می‌کند که این نشان می‌دهد که بیمه‌گذار با تصمیم پرداخت باج موافقت کرده است.
مشخص کردن نقش دقیق شرکت‌های بیمه در پاسخ به حملات باج‌افزاری و پرداخت مطالبات غالبا دشوار است، اما می‌توان مطمئن بود که این شرکت‌ها در این شرایط نقش به‌سزایی دارند. شرکت‌های بیمه سایبری با این موضوع موافق هستند که تعداد پرونده‌های مربوط به حملات باج‌افزاری در حال افزایش است و هم‌چنین موضوع پوشش پرداخت مبلغ باج را نیز انکار نمی‌کنند، اما به طور واضح، نه آن‌ها و نه مشتریان‌شان مشتاق نیستند که مبلغ هزینه پرداخت شده به مهاجمان یا میزان پرداختی برای جبران خسارت را اعلام کنند.
این مسأله تا حدی به این دلیل است که آن‌ها نمی‌خواهند توجه نهاد‌های نظارتی که سعی در جلوگیری از پرداخت باج دارند را جلب کنند و هم‌چنین یکی دیگر از دلایل این است که نمی‌خواهند اطلاعات مهم را در اختیار مجرمان سایبری قرار دهند تا از آن‌ها برای هدف قرار دادن سازمان‌هایی با پوشش بیمه سایبری خوب استفاده نشود.
طبق گزارشات منتشر شده، DarkSide که گروه مسئول حمله به خط لوله کولونیال بوده است، قبل از آلوده کردن سیستم‌ها با باج‌افزار، اطلاعات مربوط به پوشش بیمه سایبری قربانیان را جست‌وجو می‌کند تا بر اساس آن مقدار مطالبات خود را مشخص کندپوشش بیمه‌ای اخاذی‌ها، سال‌ها به دلیل بالا بردن احتمال پرداخت باج توسط قربانیان و بیش‌تر کردن حملات صورت گرفته مورد انتقاد بوده، اما این انتقادات تأثیر چندانی بر شرکت‌های بیمه نداشته است.
حتی تصمیم AXA برای متوقف کردن پرداخت باج در فرانسه آن‌قدر‌ها هم که به نظر می‌رسد تأثیرگذار نبوده است. در عوض به نظر می‌رسد که این کار در نتیجه تشکیل یک میزگرد در سنای فرانسه در ماه آوریل انجام شده است که در آن چندین نهاد نظارتی مخالفت خود با پرداخت باج را اعلام کرده بودند.
یوهانا بروس، دادستان جرایم رایانه‌ای در این مراسم گفت: «ما باید شرایط جدی‌تری را برای مسأله باج‌گیری در نظر بگیریم. ما دیگر قصد پرداخت نداریم و این مبالغ را نخواهیم پرداخت. هکر‌ها باید متوجه شوند که فرانسه مرغی نیست که برای آن‌ها تخم طلا بگذارد».
در حالی که مقامات فرانسوی پرداخت باج را به طور کامل ممنوع اعلام نکردند، کورین گادوکس، سخنگوی AXA فرانسه در ایمیلی به WIRED گفت که به دلیل ابهامات موجود در این زمینه، این شرکت تصمیم گرفته است تا پوشش خود برای پرداخت باج را تا زمانی که مقامات فرانسه موضع خود را در مورد مجاز بودن بیمه‌های باج‌افزاری مشخص کنند، به طور موقت متوقف کند.
تا آن زمان، شرکت AXA فرانسه سایر هزینه‌های مربوط به باج‌افزار از جمله هزینه‌های بازیابی سیستم‌ها و داده‌های رایانه‌ای، استخدام تکنیسین‌های متخصص، ضرر‌های متوالی عملیاتی و هزینه‌های حفاظت قانونی را پوشش می‌دهد. شعبه‌های AXA در سایر کشور‌ها هم‌چنان به ارائه بیمه برای پرداخت باج ادامه می‌دهند.
نارضایتی AXA به دلیل واضح نبودن مقررات، با توجه به رویکرد‌های مبهمی که بسیاری از دولت‌ها در این زمینه اتخاذ کرده‌اند، قابل درک است. مقامات در ایالات متحده، پرداخت باج را مجاز نمی‌دانند، ولی با این حال آن را به طور کامل ممنوع نکرده‌اند.
هرچند در اکتبر گذشته، وزارت خزانه‌داری این کشور هشدار داد که برخی از باج‌های پرداختی در صورت پرداخت به سازمان‌ها یا افراد تحریم شده غیرقانونی است. با این حال از بسیاری جهات، این توصیه فقط به بیش‌تر شدن ابهامات منجر می‌شود، زیرا اغلب دقیقاً مشخص نیست که چه کسی مسئول حمله سایبری بوده و از قربانیان اخاذی می‌کند.
کیاران مارتین، استاد دانشگاه آکسفورد و مدیر اجرایی سابق مرکز ملی امنیت سایبری بریتانیا می‌گوید: «این حوزه فاقد قوانین مشخص و واضح است. هیچ شواهدی در رابطه با تشویق بیمه‌دهندگان به نپرداختن باج در کشور‌ها وجود ندارد.
در مورد AXA هم باید گفت که کشور فرانسه در تفهیم پیام خود به شرکت‌های بزرگ به طور غیرمستقیم سابقه زیادی دارد که احتمال آن وجود دارد که در مورد این شرکت بیمه هم همین اتفاق افتاده باشد».
علاوه بر نهاد‌های نظارتی، خود شرکت‌های بیمه هم در مورد تعداد پرونده‌های مرتبط با باج‌افزار‌ها نگران هستند. متیو مک‌کاب، مشاور ارشد کارگزار بیمه بین‌المللی Marsh هم می‌گوید که افزایش مطالبات باعث افزایش چشم‌گیر حق بیمه‌ها و کسری‌های بیمه سایبری شده است.
شرکت فرآوری گوشت JBS نیز اخیرا اعلام کرده بود که مبلغ ۱۱ میلیون دلار به عنوان باج به مهاجمان سایبری پرداخت کرده است و بعضی از درخواست‌های باج‌افزاری به ۵۰ میلیون دلار رسیده است.
مک‌کاب و سایر افراد در صنعت بیمه شک دارند که ممنوعیت پرداخت باج باعث کم شدن استفاده از باج‌افزار‌ها شود. آن‌ها نگران هستند که این ممنوعیت‌ها باعث شود تا بیمه‌دهندگان مجبور به پرداخت تعداد بیش‌تری از مطالبات مربوط به خسارات وقفه تجاری و خدمات بازیابی اطلاعات شوند.
تارا ویلر، یکی از عوامل امنیت سایبری در مرکز علوم و امور بین‌الملل دانشکده Kennedy هاروارد می‌گوید: «ممنوعیت پرداخت باج دقیقا به چه شکل است؟ اگر قرار باشد شرکت‌ها به جای پرداخت باج، ۱۰ درصد از مطالبات باند باج‌افزاری را به عنوان جریمه پرداخت کنند، این دیگر ممنوعیت نیست و در واقع با این کار فقط حق بیمه‌ای به مبلغ پرداختی اضافه شده است».
مک‌کاب هم‌چنین اشاره می‌کند که جلوگیری از پوشش دادن مبلغ باج توسط شرکت‌های بیمه ممکن است شرایط الزام انجام اقدامات امنیتی پیش‌گیرانه توسط مشتریان را با مشکل مواجه کند. او می‌گوید بیمه‌دهندگان موقعیت مناسبی برای تشویق شرکت‌ها به تقویت استحکامات دفاعی‌شان دارند، اگر چه شواهد کمی وجود دارد که نشان دهد این گفته در گذشته صدق کرده باشد.
البته شاید هم بیمه‌دهندگان پرداخت مبلغ مطالبه شده را ترجیح دهند. گیوم پوپارد، مدیر آژانس امنیت سایبری فرانسه ANSSI، در میزگردی که باعث تصمیم‌گیری AXA شد، گفت: «شرکت‌ها ترجیح می‌دهند تا به جای از دست دادن داده‌هایی به ارزش ده‌ها میلیون، چند میلیون باج بپردازند. ما برای شکستن چرخه پرداخت باج باید تلاش بیش‌تری انجام دهیم».
اما در حالی که حل مسأله هزینه‌های باج‌افزاری در نهایت به عهده نهاد‌های نظارتی خواهد بود، دولت‌ها عمدتا تمایلی برای حل این مشکل ندارند. مارتین می‌گوید: «اگر دولت‌ها تصمیم به ممنوعیت پرداخت باج نگیرند، شرکت‌های بیمه مجبور خواهند بود سیاست‌های شبه دولتی خاصی را در پیش بگیرند». او در ادامه اشاره کرد با این که با تصمیم AXA تا حدی موافق است، ولی نباید ایجاد سیاست‌های دولتی را به عهده بیمه‌دهندگان گذاشت.
اعضای موسسه امنیتی و فناوری گروه باج‌افزاری که مارتین هم در اوایل سال عضو آن بود، بر سر این که آیا پرداخت باج باید غیرقانونی اعلام شود یا خیر، به طور کامل با یک‌دیگر اتفاق نظر نداشتند و تعدادی از اعضا بر این باور بودند که این کار باعث جرم‌انگاری علیه قربانیان می‌شود.
مک‌کاب قابل مدیریت نبودن شرایط برای بیمه‌گذاران به دلیل گستردگی یا غیرقابل پیش‌بینی بودن باج‌افزار‌ها را قبول ندارد. او می‌گوید: «فکر نمی‌کنم بیمه‌گذاران در مقابل این مسأله به زانو دربیایند یا خطرات مربوط به آن غیرقابل مدیریت باشد، اما مطمئنا در طی سال گذشته مشکلات زیادی برای آن‌ها به وجود آورده است».
باج‌افزار‌ها هم‌چنان برای AXA مشکل آفرین بودند و گروه آسیایی این شرکت، چند هفته بعد از تصمیم توقف پوشش پرداخت باج مورد حمله قرار گرفت. هنوز مشخص نیست که آیا این حمله به اطلاعیه قبلی این شرکت مربوط می‌شود یا خیر، اما این مسأله نشان می‌دهد که بسیاری از بیمه‌دهندگان قبل از ارائه مشاوره امنیتی به مشتریان‌شان باید فکری به حال حفاظت از سیستم‌های خودشان بکنند.
سخن پایانی
شواهدی وجود دارد که نشان می‌دهد تغییر در راه است. طبق مقاله‌ای که اخیرا در مجله Financial Times منتشر شده است، بیمه‌گذاران در حال افزایش دادن حق بیمه هستند و شرایط سخت‌گیرانه‌تری در مورد استراتژی‌های امنیتی استفاده شده برای شرکت‌ها در نظر گرفته‌اند. Washington Post هم‌چنین گزارش داده است که شرکت‌های بیمه خواستار امنیت بالایی هستند و در حال کاهش مقادیر پرداختی به شرکت‌ها می‌باشند.
تمام این پیشنهادات می‌تواند در ابتدا از وقوع حمله باج‌افزاری جلوگیری کرده و یا خسارت چنین حملاتی را کاهش دهد. این کار به این معناست که در صورت وقوع حمله سایبری، پرداخت باج به جای این که راحت‌ترین شیوه خلاص شدن از وضعیت باشد، باید به عنوان آخرین راه چاره در نظر گرفته شود.
این موضوع می‌تواند خطرات موجود در صنعت بیمه سایبری را در آینده کاهش دهد تا شرکت‌های بیمه مجبور نباشند برای رمزگشایی پس از حمله باج‌افزاری هزینه‌های سنگینی متحمل شوند.
خطرات و فرصت‌هایی که فضای مجازی برای ما به همراه دارد، بار دیگر مسئله اهمیت ایجاد فضایی ایمن را به ما گوشزد می‌کند. مهم‌تر از هرچیز در کشور ما باید بتوانیم زیرساخت‌های امنیت سایبری را به‌طور بنیادی تقویت کرده و راه را برای سوءاستفاده‌های احتمالی از این حوزه تا جای ممکن تنگ کنیم.
منابع
https://threatpost.com/cyber-insurance-ransomware-payments/۱۶۶۵۸۰/
https://www.wired.com/story/ransomware-insurance-payments/
https://www.zdnet.com/article/ransomware-has-become-an-existential-threat-that-means-cyber-insurance-is-about-to-change/
