Όταν μια Πληρωμή Λύτρων Γίνεται Πρόβλημα Ομοσπονδιακής Συμμόρφωσης

Το ransomware έχει ξεπεράσει κατά πολύ το πεδίο των συνήθων προβλημάτων πληροφορικής. Για πολλούς οργανισμούς, μια επίθεση ransomware πυροδοτεί πλέον μια πλήρη κρίση που εμπλέκει νομικούς συμβούλους, διωκτικές αρχές, ασφαλιστικούς φορείς και μερικές φορές ομοσπονδιακές ρυθμιστικές αρχές, όλα αυτά πριν καν αποκατασταθούν τα επηρεασμένα συστήματα. Μια πρόσφατη νομική ανάλυση σχετικά με τις νομικές πτυχές του ransomware και της εκβίασης αποτυπώνει μια πραγματικότητα που πολλά στελέχη εξακολουθούν να υποτιμούν: η απόφαση να πληρώσουν λύτρα δεν είναι μια αμιγώς επιχειρηματική επιλογή. Είναι μια απόφαση με πραγματικό νομικό ρίσκο, ιδίως όταν μπαίνει στο παιχνίδι το Γραφείο Ελέγχου Ξένων Περιουσιακών Στοιχείων (OFAC) του Υπουργείου Οικονομικών των ΗΠΑ.

Ο OFAC διατηρεί καταλόγους κυρώσεων που περιλαμβάνουν ομάδες κυβερνοεγκληματιών, άτομα και τις δικαιοδοσίες που τους φιλοξενούν. Εάν μια πληρωμή λύτρων καταλήξει στα χέρια μιας υπό κυρώσεις οντότητας, ακόμη και εν αγνοία, ο οργανισμός που πληρώνει μπορεί να αντιμετωπίσει αστικές κυρώσεις ανεξάρτητα από την πρόθεση. Αυτή είναι μια δυσάρεστη λεπτομέρεια για εταιρείες που το ένστικτό τους σε μια κρίση είναι απλώς να εξαφανίσουν το πρόβλημα το συντομότερο δυνατό.

Γιατί η Πληρωμή δεν Εγγυάται ότι το Πρόβλημα Εξαφανίζεται

Πέρα από τον κίνδυνο κυρώσεων, υπάρχει ένας πρακτικός λόγος για να σκεφτείτε διπλά πριν στείλετε χρήματα σε έναν εκβιαστή: η πληρωμή συχνά δεν επιλύει την υποκείμενη απειλή για τα δεδομένα και την ιδιωτικότητα ενός οργανισμού. Έρευνα που καλύφθηκε προηγουμένως εδώ διαπίστωσε ότι 1 στους 3 που πληρώνουν λύτρα ξαναχτυπιούνται, πράγμα που σημαίνει ότι μια πληρωμή μπορεί να σηματοδοτήσει την έναρξη ενός δεύτερου γύρου εκβιασμού και όχι το τέλος του πρώτου. Ξεχωριστά δεδομένα το επιβεβαιώνουν: μια μελέτη διαπίστωσε ότι το 37% των θυμάτων ransomware αντιμετωπίζουν δεύτερη απαίτηση αφού έχουν ήδη πληρώσει μία φορά, και περαιτέρω αναφορές δείχνουν ότι συμμορίες ransomware επανεκβιάζουν το 22% των θυμάτων που πίστευαν ότι είχαν κλείσει την υπόθεση.

Αυτό το μοτίβο έχει τεράστια σημασία για την ιδιωτικότητα. Πολλά περιστατικά ransomware σήμερα περιλαμβάνουν εξαγωγή δεδομένων παράλληλα με την κρυπτογράφηση, πράγμα που σημαίνει ότι ευαίσθητα αρχεία πελατών, δεδομένα εργαζομένων ή πληροφορίες υγείας μπορεί ήδη να βρίσκονται σε έναν εγκληματικό διακομιστή, ανεξάρτητα από το αν καταβληθούν λύτρα. Η πληρωμή για μια υπόσχεση διαγραφής δεν προσφέρει καμία εκτελεστή εγγύηση και οι επαναλαμβανόμενες απόπειρες εκβιασμού υποδηλώνουν ότι αυτή η υπόσχεση συχνά αθετείται.

Τα Μεταβαλλόμενα Οικονομικά Δεδομένα των Πληρωμών Λύτρων

Υπάρχουν ενδείξεις ότι ο υπολογισμός αλλάζει. Όπως καλύφθηκε σε μια πρόσφατη ανασκόπηση, οι πληρωμές λύτρων μειώνονται σε ολόκληρο τον κλάδο καθώς περισσότεροι οργανισμοί επιλέγουν να ανακάμψουν από αντίγραφα ασφαλείας, να συνεργαστούν με τις διωκτικές αρχές και να απορροφήσουν το πλήγμα στη φήμη αντί να χρηματοδοτούν εγκληματικές επιχειρήσεις που μπορεί να βρίσκονται υπό κυρώσεις. Την ίδια στιγμή, οι ίδιες οι απαιτήσεις συνεχίζουν να αυξάνονται. Η παραβίαση δεδομένων της Stadler Rail με απαίτηση 12,3 εκατομμυρίων δολαρίων από τη συμμορία Everest καταδεικνύει πώς τα ποσά εκβιασμού έχουν κλιμακωθεί πολύ πέρα από όσα πολλοί μεσαίοι οργανισμοί μπορούν να απορροφήσουν αθόρυβα ή να δικαιολογήσουν να πληρώσουν, ακόμη και αν αγνοήσουμε τον κίνδυνο κυρώσεων.

Αυτός ο συνδυασμός, λιγότεροι οργανισμοί να πληρώνουν αλλά οι απαιτήσεις να γίνονται μεγαλύτερες, υποδηλώνει ότι οι φορείς απειλής στοχεύουν ολοένα και περισσότερο οντότητες που πιστεύουν ότι έχουν τα μέσα και το κίνητρο να πληρώσουν γρήγορα, όπως εκείνες που διαχειρίζονται ρυθμιζόμενα δεδομένα ή λειτουργούν κρίσιμες υποδομές.

Τι Σημαίνει Αυτό για Εσάς

Εάν ο οργανισμός σας διαχειρίζεται ευαίσθητα δεδομένα, είτε πρόκειται για αρχεία πελατών, πληροφορίες υγείας ή οικονομικές λεπτομέρειες, η νομική έκθεση γύρω από το ransomware εκτείνεται πέρα από την άμεση επιχειρησιακή ζημιά. Πριν προκύψει ποτέ ένα περιστατικό, αξίζει να κατανοήσετε ότι:

  • Η πληρωμή λύτρων χωρίς τη δέουσα επιμέλεια θα μπορούσε να εκθέσει τον οργανισμό σας σε επιβολή κυρώσεων από τον OFAC, ανεξάρτητα από τυχόν υποχρεώσεις γνωστοποίησης παραβίασης.
  • Μια πληρωμή δεν εγγυάται τη διαγραφή δεδομένων ή την προστασία από μελλοντικές απόπειρες εκβιασμού, δεδομένου του πόσο συχνά τα θύματα στοχοποιούνται ξανά.
  • Τα ασφαλιστήρια συμβόλαια κυβερνοασφάλειας απαιτούν όλο και περισσότερο τεκμηριωμένα σχέδια αντιμετώπισης περιστατικών και νομική διαβούλευση πριν εγκριθεί οποιαδήποτε πληρωμή λύτρων.
  • Οι ρυθμιστικές αρχές και τα δικαστήρια δίνουν ολοένα και μεγαλύτερη προσοχή στον τρόπο με τον οποίο οι οργανισμοί διαχειρίζονται τόσο την απόφαση πληρωμής όσο και τις συνέπειες για την ιδιωτικότητα των επηρεαζόμενων ατόμων.

Για τους απλούς καταναλωτές, αυτό υπογραμμίζει γιατί έχει σημασία η ελαχιστοποίηση των δεδομένων, η ισχυρή πιστοποίηση στους λογαριασμούς και η παρακολούθηση των ειδοποιήσεων παραβίασης. Ακόμη και όταν μια εταιρεία πληρώνει, δεν υπάρχει καμία διαβεβαίωση ότι τα δεδομένα σας δεν είχαν ήδη εξαχθεί και αντιγραφεί αλλού.

Πρακτικά Συμπεράσματα

Οι οργανισμοί που αντιμετωπίζουν αυτό το τοπίο θα πρέπει να καταρτίσουν ένα σχέδιο αντιμετώπισης περιστατικών πολύ πριν χτυπήσει μια επίθεση, ένα σχέδιο που θα περιλαμβάνει νομικό σύμβουλο εξοικειωμένο με το πλαίσιο κυρώσεων του OFAC, σαφείς διαδικασίες κλιμάκωσης και μια πολιτική για το αν θα εξετάζονται καν οι πληρωμές λύτρων. Η διαβούλευση με τις διωκτικές αρχές και την καθοδήγηση του ίδιου του OFAC νωρίς σε ένα περιστατικό μπορεί να βοηθήσει στην αποσαφήνιση της έκθεσης σε κυρώσεις πριν μετακινηθούν χρήματα. Τα άτομα, εν τω μεταξύ, θα πρέπει να λαμβάνουν σοβαρά υπόψη τις ειδοποιήσεις παραβίασης, να αλλάζουν κωδικούς πρόσβασης που έχουν επαναχρησιμοποιηθεί και να ενεργοποιούν τον έλεγχο ταυτότητας πολλαπλών παραγόντων όπου εμπλέκονται ευαίσθητοι λογαριασμοί. Το ransomware δεν εξαφανίζεται, αλλά η κατανόηση του νομικού τοπίου γύρω από τις πληρωμές λύτρων και τις κυρώσεις του OFAC αποτελεί πλέον βασικό μέρος της διαχείρισης τόσο του εταιρικού κινδύνου όσο και της προσωπικής ιδιωτικότητας μετά από μια επίθεση.