В Японии киберриск копится у общего поставщика, а страхуют каждую компанию отдельно

Шум на рекорде, сигнал в общей инфраструктуре

Генеральный секретарь кабинета министров Минору Кихара 30 октября заявил, что с 1 апреля по 16 октября данные около 260 млн человек утекли или оказались под угрозой утечки. Именно эта цифра попала в заголовки. Однако подсчёт учитывает одного и того же человека в нескольких инцидентах и не охватывает финансовые и телекоммуникационные компании. Настоящая перемена — в скорости роста числа случаев. По данным Jiji, до конца июня сообщали менее чем о 200 случаях в месяц, в июле — о 212, в сентябре — о 303, в октябре — о 830.

Сигнал кроется в источнике этого ускорения. Согласно отчёту PayCloud Holdings от 2 ноября, злоумышленник с 28 по 31 октября проник через общую среду Arara и забрал данные с 97 серверов, принадлежащих компаниям-клиентам. Пострадали до 380 компаний. Asoview сообщила о 15 821 184 записях, группа Bic Camera — примерно о 14,9 млн, Mos Food Services — о 7 517 087. По данным ITmedia, с октября несанкционированный доступ пережили ещё как минимум 3 сервиса почтовых рассылок. Иначе говоря, мишень — не отдельные ритейлеры, а общий слой, который их обслуживает.

Та же неделя, тот же шаблон

Шаблон не ограничивается Японией. По данным Focus Taiwan, Bank SinoPac 4 ноября сообщил, что 427 несанкционированных переводов накануне стали возможны после взлома настроек безопасности у поставщиков его новой системы мобильного банкинга. С 419 счетов было списано около 41,76 млн новых тайваньских долларов, и банк заявил, что потребует компенсацию у поставщика.

В телекоме NTT Docomo 6 ноября сообщила об утечке номеров документов, удостоверяющих личность, и банковских реквизитов не более чем примерно 300 000 человек и пообещала выплатить компенсацию. По данным агентства «Анадолу», 5 ноября в 11:18 по местному времени по всей стране начался сбой голосовой связи, передачи данных и сообщений. Docomo заявила, что связь между двумя событиями неясна; на 8 ноября подтвердить её не удалось.

Полис на компанию, ущерб от одного инцидента

Здесь страховое ограничение проявляется особенно отчётливо. Согласно обзору Innovatopia от 22 октября, в японских полисах покрытие утечки у поставщика зависит от страховщика. Mitsui Sumitomo прямо покрывает утечку чужой информации, переданной страхователю в управление. Tokio Marine, напротив, исключает перебои в электро-, теле- и интернет-инфраструктуре, которая находится вне прямого контроля страхователя. Подпадает ли облачный сервис под это исключение, публичные документы на 22 октября не проясняют.

Даже при наличии покрытия лимит узок. По тому же обзору, в образцах полисов крупных страховщиков лимит выплаты в качестве извинения составляет 1000 иен на человека. Если по этому лимиту заплатить за каждую из 7 517 087 записей, о которых сообщила Mos, сумма составила бы около 7,5 млрд иен. Расчёт выполнен Talay, компания о такой выплате не объявляла. База тоже тонкая: по опросу Японской ассоциации общего страхования за 2025 год, киберстрахование есть лишь у 8,8% МСП, тогда как в ноябре 2024 года доля составляла 10,0%.

Итог таков. Ущерб 380 компаний возникает из одного инцидента, но каждая платит в рамках своего полиса, а нередко и из собственного баланса. Для страховщика это означает накопленный риск: претензии из одной и той же уязвимости приходят в один период продления. Отразилось ли это накопление на условиях продления у какого-либо страховщика, на 8 ноября подтвердить не удалось.

Государство создаёт спасательную команду, но не пул

По данным AP, премьер-министр Санаэ Такаити 6 ноября объявила экстренный киберпакет примерно на 10 млрд иен. Он предусматривает экспертную группу при Министерстве экономики, которую создадут до конца ноября. Кроме того, появится государственно-частная спасательная команда для первичного реагирования в атакованных компаниях. В изложении AP нет ни страхования, ни государственного пула, ни сертификации поставщиков. Таким образом, пакет разделяет расходы на реагирование в момент атаки, но счёт за компенсации и простой оставляет компании.

Отслеживать стоит 3 порога. Первый — останется ли число случаев у Комиссии в ноябре выше октябрьских 830. Второй — когда и после какой проверки Arara вновь запустит сервис, закрытый с 31 октября. Третий — размер компенсации Docomo на человека. Чем сильнее она превысит полисный лимит в 1000 иен на человека, тем очевиднее, что разница оплачивается из собственного капитала.