Когато плащането на рансъмуер се превръща в проблем за федералното съответствие

Рансъмуерът отдавна е излязъл от рамките на рутинните ИТ проблеми. За много организации атаката с рансъмуер вече предизвиква пълномащабна криза, включваща правни консултанти, правоприлагащи органи, застрахователи, а понякога и федерални регулатори – всичко това преди засегнатите системи дори да бъдат възстановени. Един скорошен правен анализ относно законовите аспекти на рансъмуера и изнудването представя реалност, която много ръководители все още подценяват: решението за плащане на откуп не е чисто бизнес решение. То е решение с реален правен риск, особено когато в картината се появи Службата за контрол на чуждестранните активи (OFAC) към Министерството на финансите на САЩ.

OFAC поддържа санкционни списъци, които включват киберпрестъпни групи, физически лица и юрисдикциите, които ги укриват. Ако плащане на рансъмуер попадне в ръцете на санкционирана страна, дори и несъзнателно, плащащата организация може да бъде изправена пред граждански санкции, независимо от намерението. Това е отрезвяващ обрат за компаниите, чийто инстинкт по време на криза е просто да накарат проблема да изчезне възможно най-бързо.

Защо плащането не гарантира, че проблемът изчезва

Отвъд риска от санкции, има и практическа причина да се помисли два пъти, преди да се преведат средства на изнудвач: плащането често не разрешава основната заплаха за данните и поверителността на организацията. Изследване, разгледано по-рано тук, установи, че 1 от 3 платили рансъмуер биват атакувани отново, което означава, че плащането може да бележи началото на втори кръг изнудване, вместо края на първия. Отделни данни потвърждават това: проучване установи, че 37% от жертвите на рансъмуер са изправени пред второ искане след като вече са платили веднъж, а последващо докладване показва, че рансъмуер банди изнудват повторно 22% от жертвите, които са смятали, че са затворили главата.

Тази закономерност е изключително важна за поверителността. Много инциденти с рансъмуер днес включват извличане на данни заедно с криптирането, което означава, че чувствителни клиентски записи, данни на служители или здравна информация може вече да се намират на престъпен сървър, независимо дали е платен откуп. Плащането за обещание за изтриване не предлага приложима гаранция, а повторните опити за изнудване предполагат, че това обещание често се нарушава.

Променящата се икономика на откупните плащания

Има признаци, че сметките се променят. Както беше отразено в скорошен обзор, плащанията при рансъмуер намаляват в целия сектор, тъй като повече организации избират да се възстановят от резервни копия, да си сътрудничат с правоприлагащите органи и да поемат репутационния удар, вместо да финансират престъпни предприятия, които може да са под санкции. Същевременно, самите искания продължават да растат. Пробивът в Stadler Rail, включващ искане за $12,3 милиона от бандата Everest, илюстрира как сумите за изнудване са нараснали далеч отвъд това, което много средно големи организации могат тихомълком да поемат или да оправдаят пред себе си, като оставим настрана риска от санкции.

Тази комбинация – по-малко организации плащат, но исканията стават все по-големи – предполага, че заплашващите играчи все повече се насочват към организации, за които смятат, че имат както средствата, така и мотивацията да платят бързо, като например такива, обработващи регулирани данни или управляващи критична инфраструктура.

Какво означава това за вас

Ако вашата организация обработва чувствителни данни, независимо дали клиентски записи, здравна информация или финансови детайли, правният риск около рансъмуера се простира отвъд непосредствените оперативни щети. Преди изобщо да е настъпил инцидент, си струва да разберете, че:

  • Плащането на откуп без подходяща дължима проверка може да изложи вашата организация на принудителни действия от OFAC, отделно от всякакви задължения за уведомяване за пробив.
  • Плащането не гарантира изтриване на данни или защита от бъдещи опити за изнудване, предвид колко често жертвите биват атакувани отново.
  • Кибер застрахователните полици все повече изискват документирани планове за реакция при инциденти и правна консултация, преди да бъде разрешено каквото и да е плащане на откуп.
  • Регулаторите и съдилищата обръщат по-голямо внимание на това как организациите се справят както с решението за плащане, така и с последиците за поверителността на засегнатите лица.

За обикновените потребители това подчертава защо минимизирането на данни, силното удостоверяване на акаунти и мониторингът за уведомления за пробив имат значение. Дори когато дадена компания плати, няма гаранция, че вашите данни вече не са били извлечени и копирани другаде.

Практически изводи

Организациите, изправени пред тази среда, трябва да изградят план за реакция при инциденти доста преди атаката да настъпи, който включва правен консултант, запознат с рамката за санкции на OFAC, ясни процедури за ескалация и политика дали изобщо ще се обмислят плащания на откуп. Консултацията с правоприлагащите органи и насоките на самата OFAC в началото на инцидент може да помогне за изясняване на риска от санкции, преди да се преместят каквито и да е средства. Междувременно, физическите лица трябва да приемат насериозно уведомленията за пробиви, да сменят повторно използвани пароли и да активират многофакторно удостоверяване навсякъде, където са включени чувствителни акаунти. Рансъмуерът няма да изчезне, но разбирането на правния терен около откупните плащания и санкциите на OFAC вече е основна част от управлението както на корпоративния риск, така и на личната поверителност след атака.