De acordo com um relatório recente da Marsh Re, o impacto da interrupção do serviço Microsoft 365 no setor de seguros deverá ser mínimo, principalmente devido à natureza desigual da interrupção e à probabilidade de que a maioria das perdas se limite a atrasos operacionais e de produtividade de curto prazo.
Embora o incidente tenha causado atritos operacionais generalizados, tanto a corretora de resseguros Marsh Re quanto os analistas da Morningstar DBRS preveem que as consequências financeiras para o mercado de seguros serão contidas, consistindo principalmente em atrasos de produtividade de curto prazo, em vez de interrupções graves que paralisem a receita.
Embora a corretora não forneça um valor, visto que ainda é muito cedo para afirmar algo com certeza, a Morningstar DBRS estimou o prejuízo global segurado entre US$ 300 milhões e US$ 500 milhões.
“O evento foi uma interrupção significativa e desigual com ampla exposição, não uma paralisação total, falha na nuvem ou ataque cibernético. Com duração superior a 12 horas, pode acarretar perdas por interrupção de negócios devido à dependência de operações críticas, mas o impacto geral no mercado de seguros deverá ser mínimo devido a atrasos de produtividade de curto prazo”, afirmou a Marsh Re.
O incidente foi uma interrupção significativa do serviço Microsoft 365, e não uma falha completa, envolvendo a indisponibilidade temporária ou o desempenho degradado de servidores operacionais que suportam serviços dependentes.
O impacto variou conforme o serviço, a função, a região e o inquilino, com alguns recursos permanecendo disponíveis enquanto outros apresentaram falhas ou atrasos no acesso.
Segundo a Marsh Re, o Outlook e o Exchange Online sofreram interrupções mais evidentes, além de impactos secundários no Teams, SharePoint, OneDrive, Microsoft 365 Copilot, Microsoft Defender XDR, Planner, To Do e conectores usados por serviços externos de IA, como ChatGPT e Claude.
Em 13 de novembro, às 8h da manhã (horário do leste dos EUA), os serviços pareciam estar se recuperando de forma geral, embora atrasos intermitentes residuais persistissem.
Segundo a Marsh Re, os relatórios públicos não encontraram evidências de acesso não autorizado, exfiltração de dados ou criptografia maliciosa, e o incidente parece ter sido causado por uma falha técnica, e não por um ataque deliberado.
Para as empresas afetadas, as reivindicações de seguro decorrentes da interrupção apresentarão alguns obstáculos. Por exemplo, as apólices cibernéticas padrão geralmente cobrem interrupções contingentes nos negócios causadas por falhas de fornecedores terceirizados, desde que a interrupção exceda determinados períodos de carência, normalmente em média quatro horas para empresas menores e 12 horas ou mais para empresas maiores.
No entanto, os segurados também precisam comprovar uma perda real de lucro líquido, o que é difícil quando as interrupções se limitam principalmente às comunicações internas e ao acesso a e-mails, explicam os analistas da Marsh Re.
Além disso, a redação das apólices relativas a eventos não maliciosos varia significativamente em todo o mercado.
Mario de Cicco, vice-presidente de Instituições Financeiras Europeias da Morningstar DBRS, declarou o seguinte sobre o incidente: “A falha da Microsoft pode resultar em uma série de pedidos de indenização, principalmente relacionados a empresas que sofreram perdas financeiras, interrupções operacionais e atrasos no atendimento aos clientes.
“No entanto, nem todas as empresas terão direito automático a indenização, pois isso depende dos termos e condições de suas apólices de seguro. Algumas apólices de seguro cibernético cobrem apenas perdas causadas por ataques cibernéticos maliciosos, enquanto a interrupção da Microsoft parece ter resultado de uma falha técnica e não de um ataque deliberado. Além disso, algumas apólices incluem períodos de carência antes que a cobertura de interrupção de negócios entre em vigor.”
Segundo de Cicco, as respostas financeiras finais das seguradoras dependerão de mecanismos específicos da apólice, incluindo franquias, sub-limites e exclusões, o que significa que as perdas econômicas que ficarem fora desses parâmetros rígidos serão absorvidas diretamente pela empresa afetada.
“Em nossa opinião, o impacto geral do incidente de segurança cibernética da Microsoft sobre as seguradoras provavelmente será limitado, com estimativas de perdas globais seguradas entre US$ 300 milhões e US$ 500 milhões, bem abaixo das estimativas para o incidente da CrowdStrike. Isso reflete a cobertura potencialmente limitada das apólices de seguro cibernético existentes e as exclusões para falhas tecnológicas não maliciosas. No entanto, essa ainda é uma estimativa preliminar, dada a natureza contínua do incidente e a incerteza em torno de sua duração final e impacto geral”, concluiu de Cicco.
Para efeito de comparação, a CyberCube, fornecedora de análises de risco cibernético para o setor de seguros, relatou anteriormente que o incidente com a CrowdStrike resultou em perdas para o setor de seguros entre US$ 400 milhões e US$ 1,5 bilhão.