Ingen føderal lov forbyder ransomware-betalinger, men det er ikke hele historien

En nylig juridisk forklaring fra Spodek Law Group fremhæver et punkt, der overrasker mange organisationer ramt af ransomware: der findes ingen føderal lov, der kategorisk forbyder at betale en løsesum. Det gælder, selv når angriberens identitet er ukendt på betalingstidspunktet. For virksomheder, der står over for krypterede systemer, stjålne kundedata og voksende nedetid, kan dette lyde som et grønt lys til blot at betale og komme videre.

Det er det ikke. Fraværet af et generelt strafferetligt forbud betyder ikke, at ransomware-betalinger er risikofri. Den reelle eksponering kommer fra en helt anden retning: sanktionslovgivningen håndhævet af Finansministeriets kontor for kontrol med udenlandske aktiver, OFAC.

Hvor OFAC-sanktioner kommer ind i billedet

OFAC fører lister over blokerede personer, enheder og jurisdiktioner med tilknytning til cyberkriminalitet, statssponsoreret hacking og andre ulovlige aktiviteter. Hvis en ransomware-betaling ender i hænderne på en sanktioneret person eller et omfattende sanktioneret land, kan offerorganisationen – og nogle gange de formidlere, der lettede betalingen – blive pålagt civilretlige sanktioner uanset hensigt. Med andre ord behøver en virksomhed ikke bevidst at sende penge til en sanktioneret aktør for at komme i konflikt med reglerne; den skal blot sende dem, punktum.

Dette er en objektiv ansvarsramme, og det er netop derfor, at brudhåndtering er blevet lige så meget en juridisk øvelse som en teknisk én. Vores tidligere dækning af, hvordan ransomware-betalinger risikerer OFAC-sanktioner gennemgår denne dynamik mere detaljeret: incident response-teams inddrager nu rutinemæssigt ekstern advokat og sanktionsscreeningsspecialister, før de godkender nogen betaling, netop fordi den forkerte bankoverførsel kan forvandle et databrud til en reguleringsmæssig håndhævelsessag.

Regeringen har også vist, at den er villig til at sanktionere infrastruktur, der muliggør ransomware, ikke kun selve angriberne. Finansministeriets beslutning om at sanktionere en VPN-tjeneste med tilknytning til ransomware-operationer, omtalt i vores rapport om Finansministeriets første VPN-sanktionssag, signalerer, at håndhævelsesnettet rækker langt ud over de personer, der skriver løsesumsedler. Enhver i betalings- eller hvidvaskkæden, herunder tjenester, der anonymiserer pengesporet, kan blive et mål.

Privatlivsaspektet, ofrene ofte overser

Mens det meste af dækningen af ransomware-sanktioner fokuserer på den finansielle og juridiske eksponering for den betalende virksomhed, er der en privatlivsdimension, der fortjener mere opmærksomhed. Når en organisation betaler en løsesum, gør den det ofte for at forhindre, at stjålne personlige data (kunderegistreringer, helbredsoplysninger, medarbejderfiler) bliver offentliggjort eller solgt. Men betaling garanterer ikke, at dataene slettes, eller at de ikke dukker op igen senere. Angribere, der allerede har eksfiltreret følsomme optegnelser, bevarer forhandlingsstyrke, selv efter en betaling er gennemført, og der findes ingen håndhævelig mekanisme, der tvinger dem til at overholde et løfte om sletning.

Denne virkelighed har udspillet sig offentligt. Vores nylige artikel om, hvordan ransomware-betalinger falder, mens 23andMe indgår forlig for 18 millioner dollars, viser, hvordan efterdønningerne af et brud kan fortsætte længe efter enhver løsesumsbeslutning, hvor berørte personer bærer konsekvenserne af eksponerede genetiske og personlige data uanset, hvad virksomheden besluttede at betale. For forbrugerne er sanktionsdebatten, der finder sted i bestyrelseslokaler og advokatkontorer, i virkeligheden en stedfortræderkamp om, hvorvidt deres data forbliver private.

Håndhævelsesresultater tilføjer endnu et lag af kontekst. Den 16-årige dom, der blev afsagt mod en hacker bag Ransom Cartel-operationen, detaljeret beskrevet i vores dækning af den hviderussiske hackers ransom cartel-sag, viser, at retsforfølgelse finder sted, men de kommer typisk år efter, at ofrene og deres kunder allerede har absorberet skaden.

Hvad dette betyder for dig

Hvis du driver en virksomhed, er konklusionen ikke, at ransomware-betalinger er sikre, blot fordi ingen straffelov forbyder dem direkte. Sanktionseksponering er reel, og den gælder, selv når du ikke vidste, hvem du betalte. Inden nogen betaling foretages, har organisationer brug for sanktionsscreening, juridisk gennemgang og en klarøjet forståelse af, at OFAC-sanktioner kan pålægges uanset god tro.

Hvis du er en forbruger, hvis data kan være fanget i en af disse hændelser, er lektien anderledes, men relateret: en virksomhed, der betaler en løsesum, betyder ikke, at dine data er beskyttet. Betalingsbeslutninger formes af juridiske og økonomiske risikoberegninger, ikke nødvendigvis af, hvad der bedst beskytter dit privatliv.

Nøglepunkter

  • Ingen føderal lov forbyder kategorisk ransomware-betalinger, men OFAC-sanktioner kan stadig skabe civilretligt ansvar.
  • Ansvar i henhold til sanktionslovgivningen kan opstå, selv uden kendskab til, at en betaling gik til en blokeret person eller jurisdiktion.
  • At betale en løsesum garanterer ikke, at stjålne data slettes eller holdes væk fra kriminelle markedspladser.
  • Organisationer bør involvere juridisk rådgiver og sanktionsscreening, inden de foretager nogen ransomware-betaling.
  • Forbrugere, der er berørt af et brud, bør uafhængigt overvåge for eksponering snarere end at antage, at en betaling har løst risikoen.