Verzekeraars deinzen terug voor ransomware

De aanval op AXA is uitgevoerd op Aziatische vestigingen van het bedrijf. De IT-activiteiten in Thailand, Maleisië, Hong Kong en de Filipijnen zijn getroffen door gijzelingssoftware, hebben diverse media al gemeld. De daders claimen ook 3TB aan zeer gevoelige gegevens te hebben gestolen, en ze dreigen met DDoS-aanvallen op het netwerk van de verzekeraar.

Losgeldbetaling

Achter dit nieuwste geval van gegevensgijzeling en datadiefstal zit de bredere trend van cyberverzekering en losgeldbetaling. Het besluit van AXA om zijn beleid te wijzigen zodat klanten niet langer dekking genieten voor eventuele betaling aan digitale afpersers kan een omslagpunt zijn. AXA behoort tot de top vijf verzekeraars in Europa en reageert in wezen op kritische geluiden vanuit het Franse ministerie van Justitie.

Op een hoorzitting van de Franse senaat vorige maand zijn zorgen geuit over de wereldwijde epidemie van ransomware. Justitie heeft daarbij gesteld dat de uitgedragen boodschap moet zijn dat losgeld niet wordt betaald, en ook niet wordt vergoed. Frankrijk staat volgens securitybedrijf Emsisoft op de tweede plaats na de Verenigde Staten wat betreft de schade die ransomware vorig jaar heeft aangericht.

Kosten voor verdediging en herstel

AXA's herziening van verzekeringspolissen geldt alleen voor nieuwe polissen. Bestaande klanten met een cyberverzekering, of een verzekering met een dekkingscomponent voor digitale zaken, worden dus niet geraakt door deze verandering. Ook geldt er geen wijziging wat betreft dekking voor de kosten voor reageren op en herstellen van een ransomware-aanval. Andere verzekeraars zouden wel naar dit soort wijzigingen kijken, stelt Dark Reading.

Feit is dat verzekeraars al geruime tijd afkerig - of: huiverig - zijn wat betreft het vergoeden van schade en kosten bij security-incidenten. In tegenstelling tot wat veel ondernemers aannemen, worden cyberrisico's niet per definitie gedekt door verzekeringen. Niet door traditionele bedrijfsverzekeringen maar ook niet altijd door speciale cyberverzekeringen. Voor laatstgenoemde gelden - net als bij bijvoorbeeld brandverzekeringen - ook bepaalde vereisten; te nemen maatregelen om de risico's in te perken. De wereldwijd uitgebroken NotPetya-malware heeft op dit vlak voor veel ophef in de verzekeringsbranche gezorgd.