Δεν Υπάρχει Ομοσπονδιακός Νόμος που να Απαγορεύει τις Πληρωμές Λύτρων, Αλλά Αυτό δεν Είναι Όλη η Ιστορία

Μια πρόσφατη νομική ανάλυση από το Spodek Law Group επισημαίνει κάτι που εκπλήσσει πολλούς οργανισμούς που πλήττονται από ransomware: δεν υπάρχει ομοσπονδιακό καταστατικό που να απαγορεύει κατηγορηματικά την πληρωμή λύτρων. Αυτό ισχύει ακόμη και όταν η ταυτότητα του επιτιθέμενου είναι άγνωστη τη στιγμή της πληρωμής. Για εταιρείες που αντιμετωπίζουν κρυπτογραφημένα συστήματα, κλεμμένα δεδομένα πελατών και αυξανόμενο χρόνο διακοπής λειτουργίας, αυτό μπορεί να ακούγεται σαν πράσινο φως για να πληρώσουν και να προχωρήσουν.

Δεν είναι. Η απουσία μιας γενικής ποινικής απαγόρευσης δεν σημαίνει ότι οι πληρωμές λύτρων είναι χωρίς κίνδυνο. Η πραγματική έκθεση προέρχεται από μια εντελώς διαφορετική κατεύθυνση: το δίκαιο των κυρώσεων που επιβάλλεται από το Office of Foreign Assets Control του Υπουργείου Οικονομικών, ή αλλιώς OFAC.

Πώς Εισέρχονται οι Κυρώσεις του OFAC στην Εικόνα

Το OFAC διατηρεί λίστες μπλοκαρισμένων ατόμων, οντοτήτων και δικαιοδοσιών που συνδέονται με κυβερνοέγκλημα, κρατικά υποστηριζόμενες επιθέσεις hacking και άλλες παράνομες δραστηριότητες. Αν μια πληρωμή λύτρων καταλήξει στα χέρια ενός ατόμου υπό κυρώσεις ή μιας χώρας υπό ολοκληρωμένες κυρώσεις, το θύμα-οργανισμός και μερικές φορές οι ενδιάμεσοι που διευκόλυναν την πληρωμή, μπορούν να αντιμετωπίσουν αστικές κυρώσεις ανεξαρτήτως πρόθεσης. Με άλλα λόγια, μια εταιρεία δεν χρειάζεται να στείλει εν γνώσει της χρήματα σε έναν υπό κυρώσεις δράστη για να παραβεί τους κανόνες· απλά πρέπει να τα στείλει, τελεία.

Αυτό είναι ένα πλαίσιο αντικειμενικής ευθύνης και είναι ακριβώς ο λόγος που η αντιμετώπιση παραβιάσεων έχει γίνει τόσο νομική άσκηση όσο και τεχνική. Η προηγούμενη κάλυψή μας για το πώς οι πληρωμές λύτρων κινδυνεύουν να υποστούν κυρώσεις από το OFAC αναλύει αυτή τη δυναμική λεπτομερέστερα: οι ομάδες αντιμετώπισης περιστατικών πλέον εμπλέκουν τακτικά εξωτερικούς νομικούς συμβούλους και ειδικούς ελέγχου κυρώσεων προτού εγκρίνουν οποιαδήποτε πληρωμή, ακριβώς επειδή ένα λάθος τραπεζικό έμβασμα μπορεί να μετατρέψει μια παραβίαση δεδομένων σε ρυθμιστική ενέργεια επιβολής.

Η κυβέρνηση έχει επίσης δείξει ότι είναι διατεθειμένη να επιβάλλει κυρώσεις σε υποδομές που διευκολύνουν το ransomware, όχι μόνο στους ίδιους τους επιτιθέμενους. Η απόφαση του Υπουργείου Οικονομικών να επιβάλει κυρώσεις σε μια υπηρεσία VPN που συνδέεται με επιχειρήσεις ransomware, όπως καλύψαμε στην αναφορά μας για την πρώτη ενέργεια κυρώσεων του Υπουργείου Οικονομικών σε VPN, υποδεικνύει ότι το δίχτυ επιβολής εκτείνεται πολύ πέρα από τα άτομα που πληκτρολογούν σημειώματα λύτρων. Οποιοσδήποτε στην αλυσίδα πληρωμής ή ξεπλύματος χρήματος, συμπεριλαμβανομένων υπηρεσιών που ανωνυμοποιούν το χρηματικό ίχνος, μπορεί να γίνει στόχος.

Η Πτυχή Ιδιωτικότητας που τα Θύματα Συχνά Παραβλέπουν

Ενώ το μεγαλύτερο μέρος της κάλυψης των κυρώσεων για ransomware εστιάζει στην οικονομική και νομική έκθεση για την εταιρεία που πληρώνει, υπάρχει μια διάσταση ιδιωτικότητας που αξίζει περισσότερη προσοχή. Όταν ένας οργανισμός πληρώνει λύτρα, συχνά το κάνει για να αποτρέψει τη δημοσίευση ή την πώληση κλεμμένων προσωπικών δεδομένων (αρχεία πελατών, πληροφορίες υγείας, αρχεία εργαζομένων). Αλλά η πληρωμή δεν εγγυάται ότι τα δεδομένα θα διαγραφούν ή ότι δεν θα επανεμφανιστούν αργότερα. Οι επιτιθέμενοι που έχουν ήδη εξαγάγει ευαίσθητα αρχεία διατηρούν μόχλευση ακόμη και μετά την εκκαθάριση μιας πληρωμής και δεν υπάρχει κανένας εκτελεστός μηχανισμός που να τους αναγκάζει να τιμήσουν την υπόσχεση διαγραφής.

Αυτή η πραγματικότητα έχει εκτυλίσσεται δημόσια. Το πρόσφατο άρθρο μας για το πώς οι πληρωμές λύτρων μειώνονται ενώ η 23andMe συμβιβάζεται για 18 εκατομμύρια δολάρια δείχνει πώς οι επιπτώσεις από μια παραβίαση μπορούν να συνεχιστούν πολύ μετά από οποιαδήποτε απόφαση λύτρων, με τα επηρεαζόμενα άτομα να φέρουν τις συνέπειες των εκτεθειμένων γενετικών και προσωπικών δεδομένων ανεξάρτητα από το τι αποφάσισε να πληρώσει η εταιρεία. Για τους καταναλωτές, η συζήτηση για τις κυρώσεις που λαμβάνει χώρα σε αίθουσες συνεδριάσεων και γραφεία δικηγόρων είναι στην πραγματικότητα μια έμμεση μάχη για το αν τα δεδομένα τους παραμένουν ιδιωτικά.

Τα αποτελέσματα επιβολής του νόμου προσθέτουν άλλη μια διάσταση πλαισίου. Η ποινή 16 ετών που επιβλήθηκε σε έναν χάκερ πίσω από την επιχείρηση Ransom Cartel, λεπτομερώς αναφερόμενη στην κάλυψή μας για την υπόθεση του λευκορώσου χάκερ με το καρτέλ λύτρων, δείχνει ότι οι διώξεις συμβαίνουν, αλλά συνήθως φτάνουν χρόνια αφότου τα θύματα και οι πελάτες τους έχουν ήδη απορροφήσει τη ζημιά.

Τι Σημαίνει Αυτό για Εσάς

Εάν διευθύνετε μια επιχείρηση, το συμπέρασμα δεν είναι ότι οι πληρωμές λύτρων είναι ασφαλείς απλώς και μόνο επειδή κανένα ποινικό καταστατικό δεν τις απαγορεύει άμεσα. Η έκθεση σε κυρώσεις είναι πραγματική και ισχύει ακόμη και όταν δεν γνωρίζατε σε ποιον πληρώνατε. Πριν από οποιαδήποτε πληρωμή, οι οργανισμοί χρειάζονται έλεγχο κυρώσεων, νομική αναθεώρηση και μια ξεκάθαρη κατανόηση ότι οι ποινές του OFAC μπορούν να εφαρμοστούν ανεξάρτητα από την πρόθεση καλής πίστης.

Εάν είστε καταναλωτής του οποίου τα δεδομένα ενδέχεται να εμπλακούν σε ένα από αυτά τα περιστατικά, το μάθημα είναι διαφορετικό αλλά σχετικό: η πληρωμή λύτρων από μια εταιρεία δεν σημαίνει ότι τα δεδομένα σας προστατεύονται. Οι αποφάσεις πληρωμής διαμορφώνονται από υπολογισμούς νομικού και οικονομικού κινδύνου, όχι απαραίτητα από το τι προστατεύει καλύτερα την ιδιωτικότητά σας.

Βασικά Συμπεράσματα

  • Κανένα ομοσπονδιακό καταστατικό δεν απαγορεύει κατηγορηματικά τις πληρωμές λύτρων, αλλά οι κυρώσεις του OFAC μπορούν ακόμα να δημιουργήσουν αστική ευθύνη.
  • Η ευθύνη βάσει του δικαίου των κυρώσεων μπορεί να προκύψει ακόμη και χωρίς γνώση ότι μια πληρωμή πήγε σε μπλοκαρισμένο άτομο ή δικαιοδοσία.
  • Η πληρωμή λύτρων δεν εγγυάται ότι τα κλεμμένα δεδομένα διαγράφονται ή κρατούνται εκτός εγκληματικών αγορών.
  • Οι οργανισμοί θα πρέπει να εμπλέκουν νομικούς συμβούλους και ελέγχους κυρώσεων πριν από οποιαδήποτε πληρωμή λύτρων.
  • Οι καταναλωτές που επηρεάζονται από μια παραβίαση θα πρέπει να παρακολουθούν ανεξάρτητα για έκθεση αντί να υποθέτουν ότι μια πληρωμή επιλύει τον κίνδυνο.