Няма федерален закон, който да забранява плащанията на откуп при рансъмуер, но това не е цялата истина

Скорошно правно разяснение от Spodek Law Group подчертава нещо, което изненадва много организации, пострадали от рансъмуер: няма федерален закон, който категорично да забранява плащането на откуп. Това важи дори когато самоличността на нападателя е неизвестна към момента на плащането. За компании, изправени пред криптирани системи, откраднати клиентски данни и нарастващ престой, това може да звучи като зелена светлина просто да платят и да продължат напред.

Не е така. Липсата на абсолютна наказателна забрана не означава, че плащанията на откуп са безрискови. Истинската заплаха идва от съвсем друга посока: санкционното законодателство, прилагано от Службата за контрол на чуждестранните активи към Министерството на финансите (OFAC).

Къде се намесват санкциите на OFAC

OFAC поддържа списъци с блокирани лица, организации и юрисдикции, свързани с киберпрестъпност, спонсориран от държавата хактивизъм и друга незаконна дейност. Ако плащане на откуп попадне в ръцете на санкционирано лице или на държава под всеобхватни санкции, организацията жертва, а понякога и посредниците, улеснили плащането, могат да понесат граждански санкции, независимо от намерението. С други думи, не е необходимо една компания съзнателно да изпрати пари на санкциониран субект, за да наруши правилата; достатъчно е просто да ги изпрати.

Това е рамка на безвиновна отговорност и именно затова реакцията при пробив се е превърнала в толкова правно упражнение, колкото и техническо. По-ранният ни материал за това как плащанията на откуп крият риск от санкции на OFAC разглежда тази динамика по-подробно: екипите за реакция при инциденти днес рутинно включват външни адвокати и специалисти по проверка за санкции, преди да разрешат каквото и да е плащане, именно защото грешният банков превод може да превърне пробива на данни в регулаторно принудително действие.

Правителството също така показа, че е готово да санкционира инфраструктура, която подпомага рансъмуер, а не само самите нападатели. Решението на Министерството на финансите да наложи санкции на VPN услуга, свързана с рансъмуер операции, отразено в репортажа ни за първата санкция на Министерството на финансите срещу VPN услуга, сигнализира, че правоприлагащата мрежа се простира далеч отвъд лицата, които пишат съобщенията с искане на откуп. Всеки участник във веригата на плащане или изпиране на пари, включително услугите, които анонимизират паричната следа, може да се превърне в мишена.

Аспектът на неприкосновеността на личния живот, който жертвите често пренебрегват

Докато повечето анализи на санкциите, свързани с рансъмуер, се фокусират върху финансовия и правния риск за плащащата компания, съществува измерение, свързано с личните данни, което заслужава повече внимание. Когато една организация плати откуп, тя често го прави, за да попречи на откраднати лични данни (клиентски досиета, здравна информация, досиета на служители) да бъдат публикувани или продадени. Но плащането не гарантира, че данните ще бъдат изтрити или че няма да се появят отново по-късно. Нападателите, които вече са изтеглили чувствителни записи, запазват лостове за влияние дори след като плащането бъде извършено, и не съществува действащ механизъм, който да ги принуди да спазят обещание за изтриване.

Тази реалност се разиграва публично. Скорошният ни материал за това как плащанията на откуп намаляват, докато 23andMe постига споразумение за 18 милиона долара показва как последиците от пробив могат да продължат дълго след всяко решение за откуп, като засегнатите лица понасят последствията от изложени генетични и лични данни, независимо какво компанията е решила да плати. За потребителите дебатът за санкции, който се води в заседателните зали и адвокатските кантори, всъщност е борба за това дали техните данни ще останат поверителни.

Резултатите от правоприлагането добавят още един слой контекст. 16-годишната присъда, наложена на хакера, стоящ зад операцията Ransom Cartel, описана подробно в отразяването ни на делото срещу беларуския хакер за схемата Ransom Cartel, показва, че наказателни преследвания се случват, но те обикновено идват години след като жертвите и техните клиенти вече са понесли щетите.

Какво означава това за вас

Ако управлявате бизнес, изводът не е, че плащанията на откуп са безопасни, само защото нито един наказателен закон не ги забранява изрично. Рискът от санкции е реален и се прилага дори когато не сте знаели на кого плащате. Преди да се извърши каквото и да е плащане, организациите се нуждаят от проверка за санкции, правен преглед и ясно разбиране, че санкциите на OFAC могат да бъдат наложени независимо от добросъвестното намерение.

Ако сте потребител, чиито данни може да са замесени в някой от тези инциденти, урокът е различен, но свързан: това, че дадена компания плаща откуп, не е равносилно на това вашите данни да бъдат защитени. Решенията за плащане се формират от правни и финансови изчисления на риска, а не непременно от това какво най-добре защитава вашата неприкосновеност.

Основни изводи

  • Нито един федерален закон не забранява категорично плащанията на откуп при рансъмуер, но санкциите на OFAC все пак могат да породят гражданска отговорност.
  • Отговорността по санкционното законодателство може да възникне дори без знание, че плащането е достигнало до блокирано лице или юрисдикция.
  • Плащането на откуп не гарантира, че откраднатите данни ще бъдат изтрити или че няма да попаднат на престъпни пазари.
  • Организациите трябва да ангажират правен съвет и проверка за санкции, преди да извършат каквото и да е плащане на откуп.
  • Потребителите, засегнати от пробив, трябва самостоятелно да следят за излагане на данни, вместо да приемат, че плащането е премахнало риска.