Miasto miało polisę cyber. I tak nie dostało 5 milionów dolarów
Hamilton w Kanadzie zrobił wszystko, co się zwykle radzi po ransomware: nie zapłacił okupu, zgłosił atak, odbudował systemy. A półtora roku później okazało się, że ubezpieczyciel i tak nie pokryje części strat: bo w dniu ataku jedna funkcja zabezpieczeń nie była w pełni włączona.
Atak, który miasto przetrwało bez płacenia okupu
25 lutego 2024 miasto Hamilton (Ontario, Kanada) padło ofiarą ataku ransomware. Według relacji władz miasta incydent udało się ograniczyć w ciągu 48 godzin, a atakujący zażądali okupu w wysokości około 18,5 mln dolarów kanadyjskich. Miasto, zgodnie z powszechną rekomendacją służb i ekspertów, nie zapłaciło.
Cena tej decyzji okazała się jednak wysoka. Odbudowa systemów i obsługa incydentu kosztowały ostatecznie ok. 18,3 mln dolarów: tyle, ile wyniosłoby samo okup, tylko rozłożone na odbudowę infrastruktury, a nie na transfer do przestępców. Firma Deloitte, obsługująca stronę finansową odbudowy, rozlicza miasto na około 388 tys. dolarów miesięcznie: kontrakt ma trwać do listopada 2026. Pełny raport z incydentu zajął władzom miasta 17 miesięcy.
5 milionów dolarów odmowy i jeden powód
Na sesji rady miasta 30 lipca 2025 urzędnicy ujawnili, że ubezpieczyciel odmówił pokrycia 5 mln dolarów ze zgłoszonej szkody. Powód podany w raporcie dla radnych: w momencie ataku uwierzytelnianie wieloczynnikowe (MFA) nie było w pełni wdrożone w systemach miasta, a polisa wprost wyłączała odpowiedzialność za szkody, których główną przyczyną był brak MFA. Wdrażanie MFA miasto zaczęło w styczniu 2024: miesiąc przed atakiem.
Burmistrzyni Andrea Horwath zauważyła na sesji, że metoda ataku „nie była tym rodzajem uwierzytelniania wieloczynnikowego, o którym wszyscy myślimy": sugerując, że sprawa jest bardziej techniczna, niż wygląda z zewnątrz. Pełniący obowiązki dyrektora IT (CIO) Cyrus Tehrani argumentował wobec radnych, że atak prawdopodobnie powiódłby się nawet z MFA włączonym w pełni, czyli że ocena ubezpieczyciela jest, według miasta, dyskusyjna merytorycznie, nie tylko formalnie.
To nie zmieniło decyzji ubezpieczyciela. Radny Brad Clark dopytywał bezpośrednio, kto odpowiada za to, że wdrożenie MFA się spóźniło: Tehrani odpowiedział, że decyzja o harmonogramie zapadła „prawdopodobnie za czasów poprzedniego kierownictwa". City Manager Marnie Cluckie dodała, że „nie było jednej konkretnej osoby, która zdecydowała, żeby tego nie robić": co dobrze opisuje, jak w praktyce wygląda odpowiedzialność rozmyta między zespołami i kolejnymi kadencjami zarządu.
Dlaczego to ważne, nawet jeśli Twoja firma nie jest miastem
Podobny mechanizm może zadziałać w polisach cyber sprzedawanych w Polsce. Ogólne warunki ubezpieczenia (OWU) bywają zbudowane tak, że wypłata zależy od tego, czy firma miała wdrożone podstawowe zabezpieczenia, takie jak backup, aktualizacje czy uwierzytelnianie wieloskładnikowe (MFA). Pisałem o nim w kontekście grupy przestępczej rozbitej przez polskie służby. Po zgłoszeniu szkody ubezpieczyciel może sprawdzić, czy deklarowane zabezpieczenia faktycznie działały, a takie sprawdzenie, jak w Hamilton, może trwać miesiące.
Nie znaleziono publicznie nagłośnionego polskiego przypadku takiej odmowy. Brak głośnej sprawy nie dowodzi jednak, że ryzyko nie istnieje, dlatego warto przeczytać warunki własnej polisy, zanim będzie potrzebna.
Jak sprawdzić, czy Twoja polisa cyber w ogóle zadziała
- Przeczytaj dokładnie listę wymaganych zabezpieczeń w OWU: nie tylko sumę ubezpieczenia, ale warunki, od których zależy wypłata (MFA, backup, aktualizacje, szyfrowanie).
- Sprawdź, czy to, co zadeklarowałeś/-aś przy zawieraniu polisy, jest faktycznie wdrożone wszędzie: nie tylko na papierze albo w jednym systemie, ale w całej infrastrukturze, łącznie z kontami uprzywilejowanymi.
- Nie traktuj „w trakcie wdrażania" jako „wdrożone": jak pokazuje Hamilton, częściowe wdrożenie MFA w momencie ataku nie wystarczyło, żeby uniknąć odmowy.
- Dokumentuj zabezpieczenia na bieżąco: zrzuty ekranu konfiguracji, daty wdrożeń, raporty z audytów, żeby mieć czym odpowiedzieć, jeśli ubezpieczyciel zacznie sprawdzać okoliczności szkody.
- Rozważ niezależny audyt bezpieczeństwa przed odnowieniem polisy, nie tylko przy jej zawieraniu, wymagania ubezpieczycieli i realny stan zabezpieczeń mogą się rozjechać z czasem.
Najczęstsze pytania
Czy ubezpieczyciel odmówił wypłaty całej szkody?
Nie. Odmowa dotyczyła 5 mln dolarów kanadyjskich z całkowitych kosztów incydentu, które wyniosły ok. 18,3 mln dolarów. Pozostała część kosztów była pokrywana z innych źródeł, w tym z budżetu miasta.
Czy miasto się z tym zgadza?
Nie do końca. Pełniący obowiązki dyrektora IT argumentował na sesji rady miasta, że atak prawdopodobnie powiódłby się nawet z pełnym wdrożeniem MFA, sugerując, że decyzja ubezpieczyciela jest dyskusyjna merytorycznie. To nie zmieniło jednak faktycznej odmowy wypłaty.
Czy w Polsce zdarzył się podobny, nagłośniony przypadek?
Nie znaleziono publicznie nagłośnionej polskiej sprawy o odmowę wypłaty z polisy cyber z tego powodu. Polskie OWU zawierają jednak analogiczne wyłączenia odpowiedzialności za brak podstawowych zabezpieczeń, więc mechanizm teoretycznie działa identycznie.
Powiązane materiały
Źródła
- CBC: „Insurance won't cover $5M in City of Hamilton claims for cyberattack, citing lack of log-in security” (31.07.2025)
- CHCH News: „Councillors seek answers after Hamilton denied insurance claim for 2024 cyberattack” (31.07.2025)
Opisany przypadek dotyczy miasta Hamilton w Kanadzie, jasno oznaczamy go jako kontekst zagraniczny. Nie znaleziono publicznie nagłośnionego, analogicznego polskiego przypadku w momencie publikacji (16 października 2026), choć podobne warunki (uzależnienie wypłaty od podstawowych zabezpieczeń) mogą występować także w polskich polisach cyber. Sprawdź je w OWU własnej polisy.
Sprawdź, czy Twoje zabezpieczenia faktycznie spełniają warunki polisy
W 1 dzień sprawdzam, czy to, co zadeklarowałeś/-aś ubezpieczycielowi, faktycznie działa w Twojej firmie: zanim sprawdzi to ktoś inny, przy zgłaszaniu szkody.
Audyt kosztuje 1 500 zł netto i kończy się prostym raportem z listą rzeczy do poprawy.
Autor:
Radek Rzążewski (AudytBiura.pl)
Zobacz profil na LinkedIn
Na co dzień zajmuję się cyberbezpieczeństwem (SOC / monitoring / analiza zagrożeń). W audytach pokazuję właścicielom małych firm, gdzie mogą stracić dane, pieniądze albo dostęp do poczty i co trzeba poprawić.
Ostatnia aktualizacja: