Ninguna ley federal prohíbe los pagos de ransomware, pero esa no es toda la historia

Un reciente análisis legal de Spodek Law Group resalta un punto que sorprende a muchas organizaciones afectadas por ransomware: no existe una ley federal que prohíba categóricamente pagar un rescate. Esto sigue siendo cierto incluso cuando se desconoce la identidad del atacante en el momento del pago. Para las empresas que enfrentan sistemas cifrados, datos de clientes robados y un tiempo de inactividad creciente, esto podría sonar como luz verde para pagar y seguir adelante.

No lo es. La ausencia de una prohibición penal general no significa que los pagos de ransomware estén libres de riesgos. La verdadera exposición proviene de una dirección completamente diferente: la ley de sanciones aplicada por la Oficina de Control de Activos Extranjeros (OFAC) del Departamento del Tesoro.

Dónde entran en juego las sanciones de la OFAC

La OFAC mantiene listas de personas, entidades y jurisdicciones bloqueadas vinculadas al ciberdelito, la piratería patrocinada por el estado y otras actividades ilícitas. Si un pago de ransomware termina en manos de una persona sancionada o de un país sancionado de manera integral, la organización víctima —y a veces los intermediarios que facilitaron el pago— pueden enfrentar sanciones civiles independientemente de su intención. En otras palabras, una empresa no necesita enviar dinero a sabiendas a un actor sancionado para infringir las reglas; basta con que lo envíe, punto.

Este es un marco de responsabilidad objetiva, y es precisamente por eso que la respuesta a las brechas se ha convertido tanto en un ejercicio legal como técnico. Nuestra cobertura anterior sobre cómo los pagos de ransomware arriesgan sanciones de la OFAC recorre esta dinámica con más detalle: los equipos de respuesta a incidentes ahora suelen incluir a asesores externos y especialistas en control de sanciones antes de autorizar cualquier pago, precisamente porque una transferencia electrónica equivocada puede convertir una filtración de datos en una acción de cumplimiento normativo.

El gobierno también ha demostrado estar dispuesto a sancionar la infraestructura que posibilita el ransomware, no solo a los propios atacantes. La decisión del Tesoro de sancionar un servicio VPN vinculado a operaciones de ransomware, cubierta en nuestro informe sobre la primera acción de sanciones de VPN del Tesoro, indica que la red de cumplimiento se extiende mucho más allá de los individuos que escriben las notas de rescate. Cualquier persona en la cadena de pago o lavado de dinero, incluidos los servicios que anonimizan el rastro del dinero, puede convertirse en un objetivo.

El ángulo de la privacidad que las víctimas suelen pasar por alto

Si bien la mayoría de la cobertura sobre las sanciones por ransomware se centra en la exposición financiera y legal de la empresa que paga, hay una dimensión de privacidad que merece más atención. Cuando una organización paga un rescate, a menudo lo hace para evitar que los datos personales robados (registros de clientes, información de salud, archivos de empleados) se publiquen o vendan. Pero el pago no garantiza que esos datos se eliminen o que no resurjan más tarde. Los atacantes que ya han exfiltrado registros confidenciales conservan influencia incluso después de que se liquide el pago, y no existe un mecanismo coercitivo que los obligue a cumplir una promesa de eliminación.

Esa realidad se ha estado manifestando públicamente. Nuestro artículo reciente sobre cómo los pagos de ransomware están cayendo mientras 23andMe llega a un acuerdo por 18 millones de dólares muestra cómo las consecuencias de una filtración pueden continuar mucho después de cualquier decisión de rescate, con los individuos afectados soportando las consecuencias de la exposición de datos genéticos y personales, independientemente de lo que la empresa decidiera pagar. Para los consumidores, el debate sobre sanciones que ocurre en salas de juntas y despachos de abogados es en realidad una lucha indirecta sobre si sus datos permanecen privados.

Los resultados de la aplicación de la ley añaden otra capa de contexto. La sentencia de 16 años impuesta a un hacker detrás de la operación Ransom Cartel, detallada en nuestra cobertura del caso del hacker bielorruso del cartel de rescate, demuestra que los enjuiciamientos ocurren, pero generalmente llegan años después de que las víctimas y sus clientes ya han absorbido el daño.

Lo que esto significa para usted

Si dirige una empresa, la conclusión no es que los pagos de ransomware sean seguros simplemente porque ninguna ley penal los prohíba explícitamente. La exposición a las sanciones es real y se aplica incluso cuando no sabía a quién le estaba pagando. Antes de realizar cualquier pago, las organizaciones necesitan un control de sanciones, una revisión legal y una comprensión clara de que las sanciones de la OFAC pueden aplicarse independientemente de la intención de buena fe.

Si es un consumidor cuyos datos pueden verse involucrados en uno de estos incidentes, la lección es diferente pero relacionada: que una empresa pague un rescate no significa que sus datos estén protegidos. Las decisiones de pago están determinadas por cálculos de riesgo legal y financiero, no necesariamente por lo que mejor protege su privacidad.

Puntos clave

  • Ninguna ley federal prohíbe categóricamente los pagos de ransomware, pero las sanciones de la OFAC aún pueden generar responsabilidad civil.
  • La responsabilidad bajo la ley de sanciones puede surgir incluso sin conocimiento de que un pago fue a una persona o jurisdicción bloqueada.
  • Pagar un rescate no garantiza que los datos robados se eliminen o se mantengan fuera de los mercados criminales.
  • Las organizaciones deben involucrar a asesores legales y realizar controles de sanciones antes de realizar cualquier pago de ransomware.
  • Los consumidores afectados por una filtración deben monitorear la exposición de forma independiente, en lugar de asumir que un pago resolvió el riesgo.