Las pólizas de seguro cibernético suelen denegar de plano las reclamaciones relacionadas con la guerra y el terrorismo. Esto se debe a que indemnizar a las empresas por los daños generalizados derivados de una ciberguerra llevaría a muchas aseguradoras a la quiebra. Sin embargo, algunas formas habituales de riesgo catastrófico que actualmente se descartan por estar relacionadas con la guerra podrían convertirse pronto en una responsabilidad del Gobierno a la hora de mitigarlas.
En julio, la Oficina de Responsabilidad Gubernamental de los Estados Unidos ( , GAO) recomendó que los Departamentos de Seguridad Nacional y del Tesoro evaluaran si es necesario un «respaldo» federal —similar al seguro público que cubre las pérdidas de cosechas— para las pólizas de seguro cibernético que protegen contra los ataques a infraestructuras críticas. Las aseguradoras privadas han intentado cada vez más compensar las pérdidas derivadas del ransomware y otros ataques cibernéticos clasificándolas como actos de guerra.
Para las aseguradoras, los ciberataques contra infraestructuras críticas se perciben como una forma de guerra cuando son los propios Estados los que patrocinan y dirigen el caos.
«Las aseguradoras no están preparadas para ofrecer cobertura frente a actos de guerra», afirma Sridhar Manyem, director de investigación y análisis del sector en AM Best, una agencia de calificación internacional especializada en el sector de los seguros. «Por eso las exclusiones por actos de guerra han sido habituales desde hace más de 100 años». Las exclusiones relativas a los conflictos bélicos en la cobertura de los seguros surgieron en el artículo 1930s como respuesta a la Guerra Civil Española.
Por ejemplo, las aseguradoras han denegado cada vez con mayor frecuencia las reclamaciones por ciberataques que tienen su origen en Ucrania y Rusia, debido a que ambos países se encuentran inmersos en un conflicto armado. Sin embargo, los abogados de las organizaciones estadounidenses encargadas de las infraestructuras críticas señalan que, técnicamente, Estados Unidos no se encuentra en guerra con ninguna nación, al menos no en el sentido tradicional. Por ello, sostienen que los ataques procedentes de Rusia deben considerarse desde la misma perspectiva que cualquier otra fuente de amenaza.
Las disputas legales determinan las exclusiones
Las aseguradoras ya dependen del reembolso del Programa de Seguros contra Riesgos de Terrorismo (TRIP) de la Ley de Protección de la Patria ( ) , que se creó tras el 9/11 para cubrir actos de terrorismo y ciberataques de «carácter violento o coercitivo». El problema con el programa TRIP: la mayoría de los ciberataques no se consideran actos de guerra ni de terrorismo en el marco de dicho programa, aunque provoquen pérdidas catastróficas.
«Las aseguradoras no están preparadas para ofrecer cobertura frente a actos de guerra.»Sridhar Manyem, director de investigación y análisis del sector de AM Best
Un importante desacuerdo sobre la interpretación de los límites de cobertura llegó a los tribunales en 2017 , cuando el gigante farmacéutico Merck demandó a las aseguradoras por la cobertura de 1.4 000 millones de dólares en pérdidas relacionadas con el ataque de malware « » NotPetya , que se atribuyó a hackers militares rusos. En el caso « January 2022», , Merck salió victoriosa en un proceso en el que un tribunal de Nueva Jersey dictaminó que la cláusula de exclusión por guerra solo se aplicaba a la guerra armada, y no a la cibernética. Merck había solicitado el reembolso de los gastos derivados del ciberataque a través de una póliza de seguro de bienes a todo riesgo, en lugar de una póliza cibernética independiente.
Es poco probable que esta sentencia sea el punto y final de esta historia. A medida que han aumentado los casos de ransomware , y , así como los de suplantación de identidad en el correo electrónico empresarial (BEC), las aseguradoras han registrado mayores pérdidas tanto en las pólizas cibernéticas independientes como en aquellas combinadas con otros tipos de seguros. Por cada dólar de cobertura que ofrecen, las aseguradoras pierden ahora unos 65 céntimos en los seguros cibernéticos independientes y combinados.
Esa cifra supone más del doble de los denominados «índices de siniestralidad» observados en 2017, que se situaron en 27.5 céntimos para las pólizas combinadas y en 35.4 céntimos para las pólizas independientes, según un estudio de AM Best titulado « » ( ). Los índices de siniestralidad de 65 céntimos por cada dólar se sitúan muy por encima del nivel de comodidad de la mayoría de las aseguradoras.
«El seguro, tal y como se practica actualmente, suele ser un juego en el que, tanto si sale cara como si sale cruz, ellos siempre ganan», afirma Eric Gyasi, experto en ciberseguridad y abogado que dirige investigaciones de respuesta a incidentes en nombre de empresas que sufren ciberataques e intrusiones a gran escala para Stroz Friedberg, una empresa de Aon. «El ciberespacio ha alterado bastante ese modelo».
El riesgo asociado al seguro cibernético presenta el inconveniente de que no se puede diversificar tan fácilmente como otros tipos de cobertura. Considere la posibilidad de contratar un seguro contra inundaciones. Si se produce una gran inundación en un estado, los ingresos generados en los estados que no se ven afectados por inundaciones graves contribuyen a compensar las pérdidas de la aseguradora.
Sin embargo, los ciberataques rara vez se limitan a un solo lugar. Cuando ataques a gran escala como el de NotPetya afectan a infraestructuras críticas, cualquier organización que cuente con hardware o software vulnerable puede verse afectada. Las aseguradoras no pueden diversificar su cartera para eludir ese tipo de riesgo.
Las aseguradoras cibernéticas trasladan el coste
Como consecuencia del drástico aumento de los delitos informáticos, algunas aseguradoras han venido subiendo las primas y las franquicias, al tiempo que han endurecido las exclusiones y han reducido los tipos de empresas a las que están dispuestas a ofrecer cobertura. Algunas aseguradoras, entre ellas Lloyd’s of London, han anunciado que ya no cubrirán ningún ciberataque atribuible a Estados-nación. Según se ha informado, Lloyd’s también ha comenzado este año a desaconsejar a sus aproximadamente 100 miembros de los sindicatos que suscriban pólizas de seguros cibernéticos. Del mismo modo, Chubb se ha pronunciado públicamente con una estrategia destinada a limitar la cobertura de incidentes de ciberseguridad de gran alcance.
«El seguro, tal y como se practica actualmente, suele ser un juego en el que, tanto si sale cara como si sale cruz, ellos siempre ganan. La ciberseguridad ha alterado considerablemente ese modelo.»Eric Gyasi, vicepresidente de gestión de proyectos de Stroz Friedberg
Gyasi afirma que, por eso, cree que es probable que las disputas sobre las exclusiones relacionadas con la guerra y el terrorismo se agraven antes de que mejoren. El seguro cibernético es una forma de cobertura aún incipiente y, en cierto sentido, las aseguradoras están actuando a ciegas. Los modelos actuariales de la « » que utilizan las aseguradoras para predecir el riesgo están en constante evolución. Además, adolecen de una falta de datos, ya que muchas —si no la mayoría— de las empresas víctimas de ciberataques evitan notificar los incidentes. Mientras tanto, las normas y los requisitos para los asegurados siguen evolucionando.
Al mismo tiempo, según la GAO, los intentos de piratería informática contra infraestructuras críticas se han vuelto más sofisticados y frecuentes. Esto quedó dolorosamente patente cuando un ataque de ransomware contra Colonial Pipeline interrumpió el suministro de petróleo a la costa este en 2021.
[Lea también: El ransomware está causando estragos en el sector de los seguros cibernéticos]
Observadores como Gyasi, de Stroz Friedberg, afirman que este tipo de incidentes tan graves explican por qué el Gobierno federal debe diseñar un sistema —similar al que ofrece la FDIC con el seguro de depósitos para los bancos— que garantice que los seguros cibernéticos cubran los ataques contra infraestructuras críticas, independientemente de que se consideren relacionados con la guerra.
«Si estoy en lo cierto, el Gobierno federal tendrá que establecer una medida de protección para algunas de estas cuestiones», afirma. «El impacto amplio y profundo que tiene un fallo en las infraestructuras críticas exige algún tipo de responsabilidad compartida entre el Gobierno y los operadores».
Para ello, la Reserva Federal tendrá que decidir cómo se definen las infraestructuras críticas nacionales: «El verdadero problema es que este ámbito está cambiando muy rápidamente», afirma Gyasi. «Es como intentar clavar un poste en el suelo y descubrir que es arena movediza».
