Um ataque informático compromete os sistemas de refrigeração de um supermercado. A temperatura sobe, os alimentos deixam de reunir condições de conservação e toneladas de produtos têm de ser destruídas. O prejuízo pode atingir milhões de euros, mas quem paga a fatura? A resposta poderá não estar no seguro de cibersegurança nem na apólice tradicional de danos materiais. O recente incidente que afetou supermercados franceses expôs uma zona de incerteza na proteção financeira do retalho alimentar, levantando questões sobre a responsabilidade de operadores, fornecedores tecnológicos e seguradoras.

A digitalização do retalho alimentar trouxe ganhos de eficiência na gestão das lojas, dos armazéns e das cadeias de abastecimento. Mas também criou uma nova categoria de risco: a possibilidade de um ataque informático provocar danos físicos em mercadorias e interromper operações essenciais.

O ciberataque que afetou sistemas de refrigeração de supermercados franceses, em outubro, tornou essa vulnerabilidade particularmente evidente. Aproximadamente 350 estabelecimentos viram os seus sistemas de frio comprometidos, depois dos atacantes terem conseguido manipular remotamente equipamentos conectados à Internet, elevando as temperaturas em determinados casos até 50 graus Celsius.

O resultado foi a perda de produtos frescos e congelados, com prejuízos que, segundo uma estimativa avançada por Thierry Cotillard, presidente do grupo Les Mousquetaires, proprietário do Intermarché, poderão atingir dezenas de milhões de euros.

Mas, depois da destruição dos alimentos, surgiu uma questão potencialmente mais complexa: a responsabilidade pelo pagamento dessas perdas.

Prejuízo físico provocado por um ataque digital

O problema resulta da forma como os contratos de seguro tradicionalmente separam diferentes categorias de riscos.

As apólices de cibersegurança foram desenvolvidas sobretudo para responder às consequências de incidentes informáticos, podendo incluir despesas de investigação, recuperação de sistemas, resposta à crise e determinadas perdas de exploração.

Já os seguros de danos materiais destinam-se a proteger bens físicos perante acontecimentos previstos no contrato.

Quando um ataque informático provoca a deterioração de alimentos, estas duas realidades cruzam-se. O incidente tem origem digital, mas o prejuízo manifesta-se fisicamente, através da perda de mercadorias que deixam de poder ser comercializadas. É precisamente nesta interseção que podem surgir lacunas de cobertura.

Segundo quatro corretores de seguros consultados pela Reuters, as apólices tradicionais de cibersegurança geralmente excluem perdas físicas resultantes de ataques informáticos. Por sua vez, os seguros de danos materiais podem conter exclusões específicas para incidentes cibernéticos, mesmo quando estes acabam por provocar danos em bens segurados.

A consequência é que uma empresa pode dispor de diferentes apólices e, ainda assim, descobrir que nenhuma responde integralmente ao prejuízo.

Seguro de cibersegurança, multirriscos ou avaria de equipamentos?

A dificuldade torna-se mais evidente quando se analisam as diferentes coberturas de seguro potencialmente envolvidas. As apólices de cibersegurança podem contemplar despesas de intervenção técnica, investigação do incidente e determinados custos associados à interrupção da atividade, mas nem sempre abrangem os danos físicos provocados nas mercadorias.

Por outro lado, os seguros de danos materiais ou multirriscos podem cobrir a deterioração de bens e a perda de existências, embora alguns contratos prevejam exclusões quando os prejuízos têm origem num incidente informático. Também os seguros de avaria de máquinas ou de deterioração de mercadorias podem oferecer proteção para produtos armazenados em condições de refrigeração, dependendo dos riscos especificamente cobertos e das eventuais exclusões relacionadas com ciberataques.

A situação torna-se ainda mais complexa quando estão em causa perdas de exploração. Embora algumas apólices possam compensar os prejuízos decorrentes da interrupção da atividade comercial, essa cobertura está frequentemente condicionada à ocorrência de danos materiais abrangidos pelo contrato ou ao cumprimento de outros requisitos específicos.

Acresce a possibilidade de responsabilização dos fornecedores de equipamentos ou serviços tecnológicos, caso se demonstre que o incidente resultou de um incumprimento das suas obrigações. Nestes casos, a eventual indemnização dependerá das responsabilidades contratualmente estabelecidas, da legislação aplicável e da demonstração de uma relação causal entre a falha e os prejuízos.

Assim, a classificação contratual do incidente pode ser determinante para estabelecer quem suporta os prejuízos. A existência de diferentes apólices não garante, por si só, uma cobertura integral, sendo necessário analisar as condições, exclusões e limites de cada contrato, bem como as circunstâncias concretas em que ocorreu o ciberataque.

O caso francês trouxe esta discussão para o centro do debate. Thierry Cotillard admitiu mesmo a possibilidade de uma disputa judicial para determinar a responsabilidade pelos prejuízos.

Esta situação ilustra outra dimensão do problema: quando os seguros não respondem, as empresas podem procurar apurar se houve responsabilidade de terceiros na origem ou agravamento das perdas. O processo poderá envolver fornecedores de equipamentos, empresas responsáveis pela manutenção, prestadores de serviços tecnológicos e os próprios operadores comerciais.

Contudo, a existência de uma vulnerabilidade num equipamento não significa, por si só, que o fabricante ou prestador de serviços seja automaticamente responsável pelos danos. Essa responsabilidade dependerá das obrigações contratuais, das medidas de segurança exigíveis, do conhecimento das vulnerabilidades e da demonstração de uma relação causal com o prejuízo.

Software desatualizado pode complicar indemnizações

Outro dos aspetos identificados no incidente francês foi a utilização de equipamentos com software desatualizado. A autoridade francesa de resposta a incidentes de segurança, CERT-FR, confirmou o comprometimento de controladores remotos de refrigeração de diferentes fabricantes, incluindo Danfoss, Copeland e Dixell. O organismo alertou para os riscos associados à exposição direta à Internet dos painéis de gestão destes equipamentos e recomendou medidas de proteção dos acessos e atualização dos sistemas.

No plano segurador, a existência de software desatualizado pode tornar-se relevante quando as empresas assumiram obrigações específicas de manutenção ou aplicação de correções de segurança. Emma Pleut, responsável pela área de cibersegurança da WTW em França, explicou à Reuters que as empresas podem declarar, no momento da contratação, políticas de atualização dos sistemas informáticos, incluindo prazos para instalar correções críticas. O incumprimento dessas condições poderá influenciar a avaliação de um pedido de indemnização.

Contudo, não existe uma consequência automática e universal. Paul Gooch, da Tokio Marine Kiln, salientou que a utilização de software desatualizado não constitui, por si só, motivo suficiente para rejeitar uma reclamação. A aplicação de uma exclusão dependerá sempre do contrato e das circunstâncias concretas do incidente.

O problema pode estar também nos fornecedores

A responsabilidade pelos sistemas tecnológicos de uma loja nem sempre pertence exclusivamente ao retalhista. Equipamentos de refrigeração, sistemas de climatização e plataformas de gestão operacional podem ser instalados, configurados e acompanhados por fornecedores externos, frequentemente com acesso remoto para manutenção.

Esta relação cria uma dependência adicional. Se um equipamento for comprometido, torna-se necessário determinar quem tinha responsabilidade pela gestão dos acessos, aplicação de atualizações, monitorização de vulnerabilidades e resposta a incidentes.

O contrato entre o retalhista e o fornecedor assume, por isso, particular importância. As cláusulas de manutenção, níveis de serviço, responsabilidade por falhas de segurança e eventuais limites indemnizatórios podem influenciar a distribuição dos custos.

No caso francês, ainda não existe uma decisão definitiva que permita atribuir publicamente a responsabilidade financeira pelas perdas a um determinado interveniente.

Seguradoras começam a adaptar a oferta

A dimensão crescente do risco associado à tecnologia operacional está a levar o sector segurador a desenvolver soluções mais abrangentes. David Molony, responsável pela área de cibersegurança e patrocinadores financeiros da corretora Aon, explicou à Reuters que determinados sectores, incluindo o retalho alimentar e a indústria farmacêutica, devem avaliar coberturas específicas para mercadorias perecíveis que necessitam de condições rigorosas de conservação.

A corretora tem vindo a estruturar soluções que incluem proteção para existências perecíveis de elevado valor. Estas coberturas procuram responder precisamente às situações em que um incidente digital provoca consequências físicas.

Segundo especialistas do sector, a procura por seguros que integrem riscos cibernéticos e danos materiais poderá aumentar depois dos incidentes registados em França e noutros mercados europeus. Contudo, o alargamento das coberturas também poderá ter consequências no custo dos seguros. A Beazley admitiu à Reuters a possibilidade de os ataques recentes contribuírem para um aumento dos prémios cobrados aos retalhistas.