Cuando el malware NotPetya paralizó en 2017 las operaciones informáticas de gigantes globales como la farmacéutica Merck y la multinacional de alimentación Mondelēz, el impacto financiero no se limitó a la reconstrucción de servidores y la pérdida de ingresos. El verdadero terremoto operativo se trasladó a las oficinas de las compañías aseguradoras. Cuando las empresas afectadas reclamaron indemnizaciones millonarias bajo sus pólizas de riesgo tecnológico, la respuesta del sector asegurador abrió una brecha legal sin precedentes: la invocación de la cláusula de «acto de guerra».
Históricamente, los contratos de seguros han excluido los daños derivados de conflictos bélicos entre naciones. La lógica tradicional resultaba sencilla: los destrozos causados por bombardeos, invasiones territoriales o artillería pesada son de tal magnitud que resultarían insostenibles para el mercado asegurador privado. Sin embargo, la migración de las hostilidades geopolíticas al terreno digital ha desdibujado las fronteras de lo que constituye una acción de guerra convencional.
La proliferación de operaciones cibernéticas atribuidas a grupos de amenazas avanzadas persistentes (APT) respaldados por gobiernos plantea un dilema conceptual y jurídico. Identificar el límite donde termina la delincuencia informática común y dónde comienza una agresión estatal se ha convertido en el litigio más complejo de la industria aseguradora contemporánea, obligando a reescribir los estándares de cobertura a escala global.
La metamorfosis de las hostilidades: del conflicto físico a la agresión en la red
La cláusula de guerra nació en el sector marítimo y comercial para proteger a las aseguradoras ante contingencias catastróficas imprevistas provocadas por enfrentamientos armados entre estados soberanos. Durante más de un siglo, su aplicación dependía de criterios objetivos: una declaración formal de guerra, el despliegue de fuerzas militares uniformadas o el uso de armamento físico con impacto geográfico delimitado.
En el espacio cibernético, estas coordenadas desaparecen. Los ataques digitales no respetan fronteras físicas, se propagan a través de infraestructuras privadas y, en la mayoría de las ocasiones, no son seguidos por una declaración formal de hostilidades entre naciones.
Un código malicioso diseñado para desactivar redes críticas en una zona de conflicto puede traspasar el objetivo inicial y causar estragos colaterales en sistemas corporativos ubicados al otro lado del planeta. Para las empresas aseguradas, esta dispersión genera una incertidumbre crítica: una pérdida financiera derivada de un incidente informático puede ser catalogada como siniestro cubierto o como daño excluido según la interpretación legal que se dé al origen del ataque.
El desafío de la atribución: probar la autoría en un entorno de denegación plausible
El pilar sobre el que pivota el debate jurídico es el problema técnico de la atribución. En la ciberseguridad, atribuir con certeza matemática un ataque a un gobierno concreto es un proceso extremadamente complejo. Los actores maliciosos emplean infraestructuras intermedias, herramientas de código abierto, direcciones IP falsificadas y tácticas de «bandera falsa» (false flag) para ocultar su identidad y sembrar dudas sobre su filiación.
+-------------------------------------------------------------------+
| EL PROCESO DE ATRIBUCIÓN CIBERNÉTICA |
| |
| [ Artefacto Malicioso ] |
| | |
| v |
| [ Análisis Forense / TTPs ] ---> Coincidencia de patrones |
| | |
| v |
| [ Informes de Inteligencia ] --> Indicadores contextuales |
| | |
| v |
| [ Declaración Política ] ------> Atribución gubernamental |
| (Nivel de prueba variable) |
+-------------------------------------------------------------------+
Para que una aseguradora pueda denegar el pago de una indemnización amparándose en la cláusula de guerra, debe demostrar ante un tribunal que el incidente fue ordenado, financiado o ejecutado por un Estado soberano o sus agentes dirigidos.
Los precedentes judiciales de NotPetya
El enfrentamiento judicial entre la farmacéutica Merck y la aseguradora Ace American (filial de Chubb) se convirtió en el caso emblemático del sector. Tras sufrir pérdidas superiores a los 1.400 millones de dólares por la infección de NotPetya, la aseguradora rechazó la cobertura alegando que el ataque formaba parte de una campaña militar de origen estatal contra la infraestructura ucraniana.
El Tribunal Superior de Nueva Jersey falló a favor de la empresa asegurada. La resolución judicial determinó que el lenguaje tradicional de la exclusión de guerra no aplicaba al caso, dado que la cláusula estaba redactada para referirse a conflictos armados físicos y no mencionaba explícitamente las operaciones cibernéticas no declaradas. Un criterio similar se impuso en la disputa entre Mondelēz y Zurich Insurance, forzando a la industria a reconocer que los formularios contractuales antiguos eran inadecuados para el ámbito digital.
El impulso de reestructuración: las directrices de Lloyd’s de Londres
Ante la acumulación de litigios y el aumento del riesgo sistémico, los principales mercados de reaseguro exigieron un cambio estructural en las reglas de contratación. La respuesta más decisiva procedió de Lloyd’s of London, el mercado de seguros más influyente del mundo en la fijación de estándares corporativos.
A través de una serie de boletines del mercado, Lloyd’s estableció la obligación para sus miembros de incluir cláusulas específicas de exclusión de ciberguerra en todas las pólizas de ciberriesgo expedidas a partir de 2023. El marco propuesto exige definir de manera clara y diferenciada las siguientes categorías:
- Ciberoperaciones estatales: Exclusión aplicable a ataques que formen parte de una guerra declarada o de hostilidades armadas directas entre estados.
- Ataques cibernéticos respaldados por estados fuera de conflictos armados: Cláusulas que delimitan qué tipo de agresiones digitales patrocinadas por un gobierno están cubiertas y cuáles quedan excluidas si afectan a infraestructuras críticas nacionales.
- Criterios de atribución formales: Requisito de establecer previamente en el contrato qué evidencias o declaraciones oficiales (como atribuciones públicas hechas por gobiernos occidentales o agencias internacionales) se considerarán válidas para determinar el origen del ataque.
Esta estandarización busca evitar la ambigüedad contractual, precisando exactamente bajo qué condiciones un asegurado pierde la cobertura cuando se determina la participación de un actor estatal.
Impacto estratégico para la gestión de riesgos en las empresas
La endurecida postura de los mercados de seguros altera la estrategia de ciberresiliencia corporativa. Confiar exclusivamente en la contratación de un ciberseguro como mecanismo primario de transferencia de riesgo financiero se ha vuelto una práctica insuficiente.
Redefinición de los términos de suscripción
Las compañías aseguradoras han elevado de forma sustancial los requisitos mínimos de seguridad exigidos antes de emitir o renovar una póliza. Para obtener cobertura, las organizaciones deben certificar la implementación efectiva de medidas de protección avanzadas:
| Medida Técnica Requerida | Objetivo de Seguridad |
| Autenticación de Múltiple Factor (MFA) | Mitigar la vulneración de credenciales corporativas en todos los accesos remotos. |
| Detección y Respuesta en Endpoint (EDR) | Monitorizar comportamientos anómalos en tiempo real en la red corporativa. |
| Segmentación de Red y Copias de Seguridad Inmutables | Limitar el alcance de infecciones por ransomware o wipers y garantizar la recuperación. |
| Gestión de Parches y Vulnerabilidades | Reducir la ventana de exposición ante fallos conocidos en software expuesto a Internet. |
La falta de cumplimiento estricto de estos controles puede provocar no solo el rechazo de una reclamación en caso de siniestro, sino la anulación inmediata de la validez de la póliza contratada.
La brecha del riesgo sistémico y el papel del Estado
El debate sobre la cláusula de guerra saca a la luz un límite infranqueable: la incapacidad del mercado privado de seguros para absorber por sí solo las pérdidas derivadas de un ciberataque catastrófico contra la infraestructura crítica de un país. Si un ataque informático paraliza simultáneamente las redes eléctricas, el sistema financiero y las telecomunicaciones de una nación, el coste acumulado superaría con frecuencia el capital disponible en los mercados de reaseguro globales.
Esta realidad ha reactivado las discusiones sobre la necesidad de crear esquemas de cobertura públicos o mixtos, similares a los fondos estatales de indemnización de daños por terrorismo o catástrofes naturales. Bajo este enfoque, el sector privado asumiría las pérdidas hasta un umbral determinado, mientras que el Estado actuaría como prestamista o asegurador de último recurso ante eventos cibernéticos de carácter bélico o sistémico.
El choque entre las definiciones jurídicas nacidas en el siglo XX y la naturaleza volátil de la confrontación digital en el siglo XXI ha obligado a transformar el sector de los ciberseguros. Las cláusulas de exclusión de guerra ya no pueden interpretarse bajo la lógica de las fronteras físicas y el armamento convencional. En un escenario donde los recursos de computación se utilizan como vectores de presión geopolítica, la claridad en la redacción de las pólizas, el rigor en las atribuciones técnicas y el fortalecimiento de la infraestructura defensiva propia son los únicos pilares capaces de ofrecer certidumbre financiera a las organizaciones.
Acerca del autor
