Žádný federální zákaz plateb výkupného, ale hrozí riziko OFAC

Žádný federální zákon nezakazuje platby ransomwaru, ale to není celý příběh

Nedávný právní výklad od Spodek Law Group upozorňuje na fakt, který překvapuje mnoho organizací zasažených ransomwarem: neexistuje žádný federální zákon, který by kategoricky zakazoval platbu výkupného. To platí i v případě, kdy totožnost útočníka není v době platby známa. Pro společnosti čelící zašifrovaným systémům, ukradeným datům zákazníků a narůstajícím výpadkům to může znít jako zelená k zaplacení a pokračování dál.

Není. Absence plošného trestního zákazu neznamená, že jsou platby výkupného bez rizika. Skutečné nebezpečí přichází z úplně jiného směru: ze sankčních předpisů vymáhaných Úřadem pro kontrolu zahraničních aktiv (OFAC) při ministerstvu financí.

Kde vstupují do hry sankce OFAC

OFAC vede seznamy blokovaných jednotlivců, subjektů a jurisdikcí spojených s kyberkriminalitou, státem podporovanými hackerskými aktivitami a dalšími nelegálními činnostmi. Pokud platba výkupného skončí v rukou sankcionované osoby nebo komplexně sankcionované země, může postižená organizace, a někdy i zprostředkovatelé, kteří platbu provedli, čelit občanskoprávním sankcím bez ohledu na úmysl. Jinými slovy, společnost nemusí vědomě posílat peníze sankcionovanému subjektu, aby porušila pravidla; stačí, že je prostě pošle.

Jedná se o režim objektivní odpovědnosti, a právě proto se reakce na narušení stala stejně tak právním jako technickým úkonem. Naše dřívější zpravodajství o tom, jak platby výkupného představují riziko sankcí OFAC, rozebírá tuto dynamiku podrobněji: týmy reakce na incidenty dnes běžně zapojují externí právníky a specialisty na prověřování sankcí ještě před schválením jakékoli platby právě proto, že špatný bankovní převod může proměnit únik dat v regulační donucovací řízení.

Vláda rovněž ukázala, že je ochotna sankcionovat infrastrukturu umožňující ransomware, nejen samotné útočníky. Rozhodnutí ministerstva financí sankcionovat VPN službu spojenou s ransomware operacemi, o němž informujeme v naší zprávě o první sankční akci ministerstva financí proti VPN, signalizuje, že donucovací síť sahá daleko za jednotlivce píšící výhružné zprávy. Každý v platebním řetězci nebo řetězci praní peněz, včetně služeb anonymizujících finanční stopu, se může stát cílem.

Aspekt soukromí, který oběti často přehlížejí

Přestože většina zpravodajství o sankcích souvisejících s ransomwarem se zaměřuje na finanční a právní rizika pro platící společnost, existuje rozměr soukromí, který si zaslouží větší pozornost. Když organizace zaplatí výkupné, často tak činí, aby zabránila zveřejnění nebo prodeji ukradených osobních údajů (záznamy o zákaznících, zdravotní informace, zaměstnanecké soubory). Platba však nezaručuje, že data budou smazána nebo že se později znovu neobjeví. Útočníci, kteří již citlivé záznamy exfiltrovali, si udržují páku i poté, co platba proběhne, a neexistuje žádný vymahatelný mechanismus, který by je nutil slib vymazání dodržet.

Tato realita se odehrává veřejně. Náš nedávný článek o tom, jak platby výkupného klesají, zatímco 23andMe se vyrovnává za 18 milionů dolarů, ukazuje, jak následky úniku mohou trvat ještě dlouho po jakémkoli rozhodnutí o výkupném, přičemž dotčené osoby nesou důsledky vystavení genetických a osobních údajů bez ohledu na to, co se společnost rozhodla zaplatit. Pro spotřebitele je debata o sankcích probíhající v zasedacích místnostech a advokátních kancelářích ve skutečnosti zástupným bojem o to, zda jejich data zůstanou v soukromí.

Další vrstvu kontextu přidávají výsledky vymáhání práva. Šestnáctiletý trest uložený hackerovi stojícímu za operací Ransom Cartel, podrobně popsaný v našem zpravodajství o případu běloruského hackera a Ransom Cartel, ukazuje, že ke stíhání dochází, ale obvykle přichází několik let poté, co oběti a jejich zákazníci již utrpěli škodu.

Co to znamená pro vás

Pokud vedete firmu, závěr není takový, že platby výkupného jsou bezpečné jen proto, že je žádný trestní zákon výslovně nezakazuje. Sankční riziko je reálné a vztahuje se na vás, i když jste nevěděli, komu platíte. Před jakoukoli platbou musí organizace prověřit sankce, provést právní kontrolu a mít jasné povědomí o tom, že sankce OFAC lze uplatnit bez ohledu na dobrou víru.

Pokud jste spotřebitel, jehož údaje mohou být při některém z těchto incidentů ohroženy, ponaučení je jiné, ale související: že společnost zaplatila výkupné, neznamená, že jsou vaše data chráněna. Rozhodnutí o platbě jsou utvářena propočtem právních a finančních rizik, nikoli nutně tím, co nejlépe chrání vaše soukromí.

Klíčové poznatky

• Žádný federální zákon kategoricky nezakazuje platby výkupného, ale sankce OFAC stále mohou znamenat občanskoprávní odpovědnost.
• Odpovědnost podle sankčního práva vzniká i bez vědomí, že platba směřovala k blokované osobě či jurisdikci.
• Zaplacení výkupného nezaručuje, že ukradená data budou smazána nebo se nedostanou na trestná tržiště.
• Organizace by měly před jakoukoli platbou výkupného zapojit právního zástupce a prověřit sankční seznamy.
• Spotřebitelé zasažení únikem dat by měli situaci nezávisle monitorovat a nespoléhat na to, že platba riziko vyřešila.