Liittovaltio ei kiellä lunnasmaksuja, mutta OFAC-riski uhkaa

Mikään liittovaltion laki ei kiellä kiristysohjelmalunnaiden maksamista, mutta se ei ole koko totuus

Spodek Law Groupin tuore oikeudellinen selvitys tuo esiin seikan, joka yllättää monet kiristysohjelmahyökkäyksen kohteeksi joutuneet organisaatiot: mikään liittovaltion laki ei kategorisesti kiellä lunnaiden maksamista. Tämä pätee silloinkin, kun hyökkääjän henkilöllisyys on maksuhetkellä tuntematon. Yrityksille, jotka kamppailevat salattujen järjestelmien, varastettujen asiakastietojen ja kasvavien käyttökatkosten kanssa, tämä saattaa kuulostaa vihreältä valolta vain maksaa ja jatkaa eteenpäin.

Näin se ei ole. Kategorisen rikosoikeudellisen kiellon puuttuminen ei tarkoita, että kiristysohjelmalunnaiden maksaminen olisi riskitöntä. Todellinen altistuminen tulee aivan eri suunnasta: valtiovarainministeriön Office of Foreign Assets Controlin eli OFAC:n valvomasta pakotelaista.

Kuinka OFAC-pakotteet tulevat kuvaan mukaan

OFAC ylläpitää luetteloita estetyistä henkilöistä, yhteisöistä ja lainkäyttöalueista, jotka on kytketty kyberrikollisuuteen, valtiolliseen hakkerointiin ja muuhun laittomaan toimintaan. Jos kiristysohjelmalunnaat päätyvät pakotteen kohteena olevan henkilön tai kattavasti pakotetun maan käsiin, uhriorganisaatio – ja joskus maksun mahdollistaneet välikädet – voi joutua siviilioikeudellisten seuraamusten kohteeksi aikomuksesta riippumatta. Toisin sanoen yrityksen ei tarvitse tietoisesti lähettää rahaa pakotteen kohteena olevalle toimijalle rikkoakseen sääntöjä; se riittää, että se vain lähettää sen.

Kyseessä on ankaran vastuun kehys, ja juuri siksi tietomurtoihin reagoinnista on tullut yhtä lailla oikeudellinen kuin tekninen harjoitus. Aiempi kattauksemme siitä, kuinka kiristysohjelmalunnaat uhkaavat OFAC-pakotteilla, käy läpi tätä dynamiikkaa tarkemmin: tietoturvapoikkeamien hallintatiimit ottavat nyt rutiininomaisesti mukaan ulkopuolisia lakimiehiä ja pakoteseulonta-asiantuntijoita ennen minkään maksun hyväksymistä, juuri siksi, että väärä tilisiirto voi muuttaa tietomurron sääntelyyn perustuvaksi täytäntöönpanotoimeksi.

Hallitus on myös osoittanut olevansa valmis asettamaan pakotteita kiristysohjelmia mahdollistavalle infrastruktuurille, ei pelkästään hyökkääjille itselleen. Valtiovarainministeriön päätös asettaa pakotteita kiristysohjelmatoimintaan kytköksissä olevalle VPN-palvelulle, jota käsiteltiin raportissamme valtiovarainministeriön ensimmäisestä VPN-pakotetoimesta, viestittää, että valvontaverkko ulottuu paljon pidemmälle kuin lunnasviestejä kirjoittaviin henkilöihin. Kuka tahansa maksu- tai rahanpesuketjussa, mukaan lukien palvelut, jotka anonymisoivat rahajäljen, voi joutua kohteeksi.

Yksityisyydensuojaulottuvuus, jonka uhrit usein sivuuttavat

Vaikka suurin osa kiristysohjelmapakotteita koskevasta uutisoinnista keskittyy maksavan yrityksen taloudelliseen ja oikeudelliseen altistumiseen, on olemassa yksityisyydensuojan ulottuvuus, joka ansaitsee enemmän huomiota. Kun organisaatio maksaa lunnaat, se tekee sen usein estääkseen varastettujen henkilötietojen (asiakastiedot, terveystiedot, työntekijätiedostot) julkaisemisen tai myynnin. Maksu ei kuitenkaan takaa, että tiedot poistetaan tai etteivät ne nouse uudelleen esiin myöhemmin. Hyökkääjät, jotka ovat jo vieneet arkaluonteisia tietueita, säilyttävät vipuvoimansa myös maksun suorittamisen jälkeen, eikä ole olemassa täytäntöönpanokelpoista mekanismia, joka pakottaisi heidät kunnioittamaan poistolupausta.

Tämä todellisuus on näkynyt julkisuudessa. Tuore juttumme siitä, kuinka kiristysohjelmien lunnaat vähenevät 23andMen sopiessa 18 miljoonalla dollarilla, osoittaa, kuinka tietomurron seuraukset voivat jatkua pitkään minkä tahansa lunnaspäätöksen jälkeen, ja altistuneet henkilöt kantavat seuraukset paljastuneista geneettisistä ja henkilötiedoista riippumatta siitä, mitä yritys päätti maksaa. Kuluttajille johtoryhmien huoneissa ja asianajotoimistoissa käytävä pakotekeskustelu on todellisuudessa sijaiskiista siitä, pysyvätkö heidän tietonsa yksityisinä.

Lainvalvonnan tulokset lisäävät toisen kerroksen kontekstia. Ransom Cartel -operaation takana olleelle hakkerille langetettu 16 vuoden tuomio, jota käsiteltiin kattauksessamme valkovenäläisen hakkerin Ransom Cartel -tapauksesta, osoittaa, että syytetoimia tapahtuu, mutta ne tulevat tyypillisesti vuosia sen jälkeen, kun uhrit ja heidän asiakkaansa ovat jo kärsineet vahingot.

Mitä tämä tarkoittaa sinulle

Jos johdat yritystä, johtopäätös ei ole, että kiristysohjelmalunnaiden maksaminen olisi turvallista vain siksi, ettei mikään rikoslaki kiellä sitä suoraan. Pakotealtistus on todellista, ja se pätee silloinkin, kun et tiennyt kenelle maksoit. Ennen minkään maksun suorittamista organisaatiot tarvitsevat pakoteseulonnan, oikeudellisen tarkastelun ja selkeän ymmärryksen siitä, että OFAC-seuraamuksia voidaan soveltaa hyvästä tarkoituksesta riippumatta.

Jos olet kuluttaja, jonka tiedot saattavat olla osallisena jossain näistä tapauksista, opetus on erilainen mutta liittyvä: se, että yritys maksaa lunnaat, ei ole sama asia kuin se, että tietosi ovat suojattuja. Maksupäätöksiä muovaavat oikeudelliset ja taloudelliset riskilaskelmat, eivät välttämättä se, mikä parhaiten suojaa yksityisyyttäsi.

Keskeiset huomiot

• Mikään liittovaltion laki ei kategorisesti kiellä kiristysohjelmalunnaiden maksamista, mutta OFAC-pakotteet voivat silti aiheuttaa siviilioikeudellisen vastuun.
• Pakotelain mukainen vastuu voi syntyä, vaikkei olisi tiennyt maksun päätyneen estetylle henkilölle tai lainkäyttöalueelle.
• Lunnaiden maksaminen ei takaa, että varastetut tiedot poistetaan tai pidetään poissa rikollisilta markkinapaikoilta.
• Organisaatioiden tulisi ottaa mukaan oikeudellinen neuvonantaja ja pakoteseulonta ennen minkään lunnasmaksun suorittamista.
• Tietomurron kohteeksi joutuneiden kuluttajien tulisi seurata altistumista itsenäisesti sen sijaan, että olettaisivat maksun ratkaisseen riskin.