Een verzekeringsmaatschappij moet het losgeld dat een klant na een ransomware-aanval betaalde vergoeden, zo heeft het gerechtshof Den Haag in hoger beroep geoordeeld. In 2021 werd het niet nader genoemde bedrijf getroffen door de DoppelPaymer-ransomware. Bij de ransomware-aanval werden vitale back-upsystemen van het bedrijf geraakt en wisten de aanvallers ruim dertienduizend bestanden te stelen.

Het getroffen bedrijf schakelde een cybersecuritybedrijf in, dat uiteindelijk voor de getroffen onderneming het losgeld aan de criminelen betaalde. De hoogte van het losgeldbedrag is niet bekendgemaakt. Wel had het getroffen bedrijf een cyberverzekering afgesloten en deed vervolgens een claim bij de verzekeringsmaatschappij. Die weigerde het losgeld te vergoeden, omdat de ransomwaregroep op een sanctielijst van de Amerikaanse overheid staat en daarom de sanctieclausules van toepassing waren.

Het getroffen bedrijf stapte daarop naar de rechtbank en vorderde dat de schade alsnog werd betaald. Volgens de rechter heeft de verzekeringsmaatschappij onvoldoende onderbouwd dat het sancties door de Amerikaanse overheid riskeert als het de losgeldbetaling vergoedt. "De enkele mogelijkheid dat OFAC secundaire sancties kan opleggen aan [appellante] is onvoldoende om in deze procedure rechtsgevolgen aan die stelling te kunnen verbinden", aldus het hof, dat het vonnis van de rechtbank bekrachtigt. Omdat de verzekeraar wederom aan het kortste eind trekt moet het ook de proceskosten van het bedrijf vergoeden.