Кибератака на FirstVDS: кто оплатит убытки и сработают ли ограничения ответственности?

Октябрьская история с кибератакой на хостинг-провайдеров через уязвимость программного обеспечения VMmanager 6 в очередной раз ставит вопрос о том, кто должен отвечать за убытки, вызванные кибератакой, и можно ли считать кибератаку форс-мажором.

17 октября произошла кибератака, которая затронула ряд хостинг-провайдеров, прежде всего, FirstVDS. Цитата из статьи Forbes: «Хостинг-провайдер FirstVDS 18 октября разослал клиентам уведомление о взломе, предупредив, что на части серверов была запущена программа для кражи данных… Злоумышленники получили доступ к части ее инфраструктуры через уязвимость в VMmanager 6».

Под угрозой оказались пароли доступа, токены доступа к облачным сервисам, криптокошельков и пользовательских документов. Для части клиентов инцидент обернулся временной недоступностью сервисов.

27 октября хостинг-провайдер FirstVDS и разработчик VMmanager 6, компания ISPsystem, опубликовали постмортемы атаки. В технической части позиции согласуются между собой. Тем не менее документы расходятся в акцентах, которые могут приобрести значение при распределении убытков.

По версии хостинг-провайдера, платформа управления виртуализацией VMmanager 6, разработанная ISPsystem, была скомпрометирована. Злоумышленники получили административный доступ к панели и использовали ее штатные функции для запуска сборщика данных.

Разработчик признал, что «злоумышленник проникал на серверы с использованием контрабанды HTTP-запросов (HTTP Request Smuggling). Для этого использовалась ранее неизвестная 0-day уязвимость в нашем сервисе».

Но при этом ISPsystem заявил следующее:

Открытый контур не означает автоматически смешанную вину и необходимость разделить ответственность между хостером и вендором. «VMmanager 6 Hosting» предназначен специально для хостинг-провайдеров, что подразумевает открытый контур. Другое дело, если хостер нарушил конкретные требования безопасности и это повлияло на последствия, тогда такое поведение должно учитываться при распределении ответственности.

FirstVDS объявил, что начнет рассматривать вопросы компенсации. Для провайдера это важный момент, ведь выплаты и урегулирование претензий влияют на отношения с клиентом.

Представим, что клиент требует от хостера возместить простой и работу привлеченных специалистов, а также упущенную выгоду от несостоявшихся продаж. Можно ли переложить такие компенсации клиентам на вендора?

В лицензионном договоре между хостером и вендором, вероятно, есть пункт об ограничении ответственности. Но, как известно, ограничить ответственность договором между предпринимателями можно только за неумышленное нарушение обязательства. А это уже является вопросом судебной оценки и требует установления степени заботливости и осмотрительности при исполнении обязательства.

По нашей практике споров о взыскании убытков, возникших в результате кибератак, этот вопрос не так прост как кажется.

Ссылки на использование злоумышленниками ИИ и беспрецедентный характер атаки недостаточны для того, чтобы рассматривать кибератаку как форс-мажор, дающий свободу от ответственности.

В судебной практике по форс-мажору, например, сильный ветер не относится к обстоятельствам непреодолимой силы, пока такой ветер не подпадает под категорию «ураган». Но если ветер, приобретая разрушительную силу и скорость, превращается в ураган, то он становится форс-мажором. Чтобы корректно оценить, приобрела ли кибератака из-за использования ИИ характер непреодолимой силы и превратилась в «ураган», нужны детали, а не просто заявление о беспрецедентном характере.

*****

Как видно из постмортемов FirstVDS и ISPsystem, каждый стелет свою соломку. Кейс очень интересный для всего рынка. Будем следить.