Хакерские атаки на заводы или водоканалы оставляют западные компании без страховых выплат

Взлом промышленной автоматики на заводах и водоканалах способен обернуться травмами людей, загрязнением окружающей среды, дорогой очисткой территорий и исками от третьих лиц. Обычная киберстраховка подобные убытки покрывает далеко не всегда, а полисы на случай физического ущерба и экологических аварий нередко не стыкуются с ней по условиям. Об этом предупредили специалисты американского страхового брокера Howden US.

Насосы под чужим управлением

С 27 июля несколько коммунальных предприятий как минимум в семи штатах США сообщили об инцидентах в технологических системах, в отдельных случаях с проблемами давления воды и затоплениями. Федеральное бюро расследований (FBI) предупредило, что падение давления в трубопроводах способно привести к проникновению неочищенных грунтовых вод в систему водоснабжения. Хакеру при этом не нужны ни украденные базы, ни выкуп за файлы, достаточно добраться до оборудования, которое управляет насосами и клапанами.

Джульет Уайт, руководитель направления киберстрахования Howden US, отметила, что повреждение имущества и вред здоровью становятся всё более заметной проблемой для страхового рынка. Для подобных потерь существуют отдельные полисы, а киберстраховка не заменяет страхование общей гражданской ответственности и экологических рисков.

Аммиак, нефть и реагенты

Джаред Дубровски, руководитель направления экологических сделок Howden US, обратил внимание на оборудование с удалённым управлением. В качестве гипотетического примера он рассмотрел предприятие с безводным аммиаком и назвал последствия, если атакующий откроет клапан:

• утечка вещества;
• претензии из-за воздействия на здоровье людей;
• расходы на очистку соседних территорий.

На нефтеперерабатывающем заводе похожая манипуляция способна отправить нефть в водоём, а на станции питьевой воды вмешательство в дозировку реагентов создаёт угрозу загрязнения. Точка входа остаётся цифровой, зато основные расходы возникают из-за повреждённого имущества, экологических последствий и требований пострадавших.

Старое оборудование и чужие подрядчики

На водоочистных станциях до сих пор работают устаревшие комплексы операционных технологий (OT), которые не всегда поддерживают современные средства наблюдения за сетевой активностью и обнаружения вторжений. Джульет Уайт указала, что водохозяйственные предприятия часто сохраняют чёткое разделение между OT и обычной ИТ-инфраструктурой, тогда как энергетические компании объединяли корпоративные и производственные сети, открывая атакующему путь к управлению оборудованием.

Брокерам приходится выяснять, какие подрядчики имеют доступ к промышленным системам и кто заплатит, если взлом через стороннего поставщика остановит предприятие. Джульет Уайт рекомендовала начать с трёх действий:

• составить перечень критически значимых внешних партнёров;
• определить требования к их защите и страхованию;
• оценить последствия компрометации каждого поставщика.

Начинать, по её словам, стоит с базовой гигиены доступа, то есть с проверки физического и сетевого доступа к чувствительным системам, правильного распределения разрешений и многофакторной аутентификации, а не с модных платформ обнаружения угроз.

Полисы нужно сверять друг с другом

Договоры на защиту имущества, общую гражданскую ответственность, киберриски, ответственность руководителей и экологические происшествия необходимо сопоставлять между собой, и по каждому полису клиент должен видеть:

• какие события он покрывает;
• какие исключения действуют;
• в какой очерёдности выплачивается возмещение.

Джаред Дубровски назвал отсутствие согласованности между направлениями страхования одной из самых серьёзных проблем, поскольку пробелы обнаруживаются уже после происшествия. Если специалисты отключили автоматику, чтобы предотвратить аварию, или перешли на ручное управление, компенсация потерянной выручки остаётся под вопросом. Джульет Уайт пояснила, что многое зависит от того, как в договоре определены вмешательство злоумышленника и предупредительное отключение оборудования. Российским предприятиям с давно установленными АСУ ТП стоит проверить свои договоры на те же формулировки, потому что они определяют выплату независимо от страны.

Что советуют американские ведомства

1 октября Национальный институт стандартов и технологий США (NIST) опубликовал рекомендации по защите водохозяйственной инфраструктуры, а 30 июля 2026 года FBI и Агентство по охране окружающей среды США предупредили о проникновениях через подключённые к интернету программируемые логические контроллеры, когда злоумышленники меняли пароли и сетевые адреса устройств. Институт и ведомства рекомендовали:

• сегментировать сети и защищать удалённые подключения;
• контролировать разрешения;
• убрать прямой доступ к контроллерам из интернета и поставить межсетевые экраны.

Эксперты CISOCLUB прокомментировали публикацию и отметили, что главный разрыв проходит между цифровой причиной аварии и физическим счётом за неё. Страховщики привыкли считать киберриск через утечки данных и простои серверов, а клапан, открытый чужой рукой, превращает инцидент в претензии по имуществу, экологии и здоровью людей, где киберполис нередко молчит.

Предприятиям стоит проверять договоры по формулировкам о вмешательстве злоумышленника и предупредительном отключении, потому что одна фраза способна изменить сумму выплаты в несколько раз. Российским промышленным компаниям, у которых сети АСУ ТП и корпоративные сети могут соединяться через общие каналы удалённого доступа, нужно сопоставить схему подключений с перечнем страховых покрытий. Подрядчик с удалённым доступом остаётся самым уязвимым звеном, и требования к его защите должны попасть в договор до подписания, а не после аварии.