拒保！保險巨頭安盛（AXA）停止勒索軟件贖金保險業(yè)務(wù)
近日，全球保險業(yè)巨頭安盛公司(AXA)周四宣布將暫停向法國客戶提供勒索軟件贖金賠付服務(wù)的政策，這也是保險行業(yè)首次終止勒索軟件賠付業(yè)務(wù)。
作為歐洲排名前五的保險公司，安盛表示，由于法國司法和網(wǎng)絡(luò)安全官員在上個月于巴黎舉行的參議院圓桌會議上對全球勒索軟件的肆虐所表達的擔憂，正在暫停這一服務(wù)。
網(wǎng)絡(luò)犯罪檢察官約翰娜·布魯斯(Johanna Brousse)在聽證會上說：“今天，對于勒索軟件，我們的態(tài)度是三個字：不付錢。”據(jù)網(wǎng)絡(luò)安全公司Emsisoft透露，去年勒索軟件對美國企業(yè)、醫(yī)院、學校和地方政府攻擊造成的損失方面超過了法國，據(jù)估計法國的相關(guān)總體損失超過55億美元。
美國安盛子公司(美國網(wǎng)絡(luò)保險的主要承銷商之一)的發(fā)言人克里斯汀•韋爾斯基(Christine Weirsky)表示，此次“停服”僅適用于法國，不會影響現(xiàn)行政策。她說，這也不會影響針對勒索軟件攻擊做出反應(yīng)并從中恢復(fù)的保險覆蓋范圍。
安盛還表示，犯罪分子只有在支付了贖金之后才提供軟件密鑰來解鎖數(shù)據(jù)。去年開始，越來越多的勒索軟件團伙開始竊取敏感數(shù)據(jù)，并以泄漏數(shù)據(jù)作為要挾，逼迫受害者付款。這促使贖金支付增加了近三倍，平均超過30萬美元。勒索軟件攻擊的平均恢復(fù)時間為三周。
保險行業(yè)在賠付勒索軟件贖金方面受到了廣泛的批評。塔夫茨大學的網(wǎng)絡(luò)安全專家約瑟芬·沃爾夫指出，它(勒索軟件保險業(yè)務(wù))已被納入組織的風險管理實踐中，“這是開展業(yè)務(wù)的成本之一。我認為這確實令人擔憂，因為這助長了勒索軟件業(yè)務(wù)的持續(xù)發(fā)展，人們一直在支付贖金(形成惡性循環(huán))。”
上周，一個公私合作的工作組向白宮提交了一份長達81頁的緊急行動計劃，其中指出，勒索軟件犯罪分子的財富增長只會助長更多的全球犯罪，包括恐怖主義。但是作者沒有提倡禁止支付贖金，說支付有時可能是一家陷入困境的企業(yè)避免破產(chǎn)的唯一途徑。美國官員則稱勒索軟件是對國家安全的威脅，一些立法者呼吁對缺乏IT資源易受攻擊的地方當局立即進行財務(wù)救濟。
美國網(wǎng)絡(luò)保險公司Resilience首席索賠官，工作組聯(lián)合主席邁克爾·菲利普斯(Michael Phillips)表示：“法國安盛(AXA France)的這一決定突顯了網(wǎng)絡(luò)安全保險市場的持續(xù)動蕩”，因為保險公司正努力成功承保勒索軟件賠付業(yè)務(wù)，但不斷上升的索賠金額已經(jīng)威脅到贏利能力。
菲利普斯表示，他并不認為美國保險公司也會加入“拒保勒索軟件”的行列。但好的保險公司對客戶的網(wǎng)絡(luò)安全衛(wèi)生要求越來越嚴格。許多受害者，例如資金短缺的州和地方政府，沒有對安全進行足夠的投資，并且容易成為勒索軟件犯罪分子的獵物。
通常，這些罪犯會事先收集有關(guān)潛在目標的情報，并知道受害者何時投保了勒索軟件贖金賠付保險，有時他們甚至知道保單的最高付款限額。
Emsisoft分析師布雷特·卡洛(Brett Callow)稱，安盛公司的決定很明智，并指出，有些組織似乎更愿意支付贖金，如果這些錢不是自己掏腰包的話。“打破這種惡性循環(huán)的唯一方法是切斷現(xiàn)金流，停止賠付贖金的做法很可能會有效。”
【本文是51CTO專欄作者“安全牛”的原創(chuàng)文章，轉(zhuǎn)載請通過安全牛（微信公眾號id:gooann-sectv）獲取授權(quán)】
