Kun lunnasmaksusta tulee liittovaltion vaatimustenmukaisuusongelma

Kiristyshaittaohjelmat ovat jo kaukana tavanomaisista IT-ongelmista. Monille organisaatioille kiristyshaittaohjelmahyökkäys käynnistää täysimittaisen kriisin, johon osallistuvat lakimiehet, lainvalvontaviranomaiset, vakuutusyhtiöt ja toisinaan liittovaltion sääntelyviranomaiset – kaikki ennen kuin edes järjestelmät on saatu palautettua. Tuore oikeudellinen analyysi kiristyshaittaohjelmien ja kiristyksen laillisuudesta tuo esiin todellisuuden, jota monet johtajat edelleen aliarvioivat: päätös maksaa lunnaita ei ole pelkästään liiketoimintapäätös. Se on päätös, johon liittyy todellinen oikeudellinen vastuu, erityisesti kun Yhdysvaltain valtiovarainministeriön Office of Foreign Assets Control (OFAC) astuu kuvaan.

OFAC ylläpitää pakotelistoja, jotka kattavat kyberrikollisryhmät, yksilöt sekä niitä suojelevat lainkäyttöalueet. Jos lunnasmaksu päätyy pakotelistatun tahon käsiin, edes tietämättään, maksava organisaatio voi joutua siviilioikeudellisiin seuraamuksiin riippumatta tarkoituksesta. Tämä on karu mutka yrityksille, joiden ensivaisto kriisissä on yksinkertaisesti saada ongelma pois päiväjärjestyksestä mahdollisimman nopeasti.

Miksi maksaminen ei takaa ongelman poistumista

Pakoteriskin lisäksi on käytännöllinen syy harkita kahdesti ennen varojen siirtämistä kiristäjälle: maksaminen ei useinkaan poista taustalla olevaa uhkaa organisaation tiedoille ja yksityisyydelle. Aiemmin käsitellyssä tutkimuksessa todettiin, että kolmasosa lunnaiden maksajista joutuu uuden hyökkäyksen kohteeksi, mikä tarkoittaa, että maksu voi olla alkusysäys toiselle kiristyskierrokselle ensimmäisen päättymisen sijaan. Erillinen data tukee tätä: tutkimuksessa havaittiin, että 37 % lunnaiden uhreista kohtaa toisen vaatimuksen maksettuaan jo kerran, ja lisäraportointi osoittaa, että kiristyshaittaohjelmajengit kiristävät uudelleen 22 % uhreista, jotka uskoivat asian olevan loppuun käsitelty.

Tämä kaava on yksityisyyden kannalta erittäin merkittävä. Monet nykypäivän kiristyshaittaohjelmatapaukset sisältävät tietovientivarkauden salaamisen lisäksi, eli arkaluontoiset asiakastiedot, työntekijätiedot tai terveystiedot saattavat jo olla rikollisen palvelimella riippumatta siitä, maksetaanko lunnaita. Maksu lupauksesta tietojen poistosta ei tarjoa täytäntöönpanokelpoista takuuta, ja toistuvat kiristysyritykset viittaavat siihen, että tämä lupaus rikotaan usein.

Lunnaiden maksamisen muuttuva talous

On merkkejä siitä, että laskelmat ovat muuttumassa. Kuten tuoreessa yhteenvedossa kerrottiin, lunnasmaksut ovat laskeneet koko toimialalla, kun yhä useammat organisaatiot valitsevat varmuuskopioista palauttamisen, tekevät yhteistyötä lainvalvontaviranomaisten kanssa ja ottavat vastaan mainehaitan sen sijaan, että rahoittaisivat rikollisia yrityksiä, jotka saattavat olla pakotteiden alaisia. Samaan aikaan itse vaatimukset jatkavat kasvuaan. Stadler Railin tietomurto, johon liittyi 12,3 miljoonan dollarin vaatimus Everest-jengiltä, havainnollistaa, miten kiristyssummat ovat kasvaneet kauas siitä, mitä monet keskisuuret organisaatiot voivat hiljaisesti kattaa tai oikeuttaa maksettavaksi – pakoteriskistä puhumattakaan.

Tämä yhdistelmä – harvemmat organisaatiot maksavat, mutta vaatimukset kasvavat – viittaa siihen, että uhkatoimijat kohdistavat hyökkäyksensä yhä useammin tahoihin, joilla he uskovat olevan sekä keinot että motivaatio maksaa nopeasti, kuten säänneltyä tietoa käsittelevät tai kriittistä infrastruktuuria ylläpitävät yritykset.

Mitä tämä tarkoittaa sinulle

Jos organisaatiosi käsittelee arkaluontoisia tietoja – olipa kyse asiakasrekistereistä, terveystiedoista tai taloustiedoista – kiristyshaittaohjelmiin liittyvä oikeudellinen vastuu ulottuu välittömiä toiminnallisia vahinkoja pidemmälle. Ennen kuin tapahtumaa on edes sattunut, on hyvä ymmärtää, että:

  • Lunnaiden maksaminen ilman asianmukaista huolellisuutta voi altistaa organisaatiosi OFAC:n toimeenpanotoimille erillään mahdollisista tietovuotoilmoitusvelvoitteista.
  • Maksu ei takaa tietojen poistamista eikä suojaa tulevilta kiristysyrityksiltä, kun otetaan huomioon, kuinka usein uhreja tavoitellaan uudelleen.
  • Kybervakuutukset vaativat yhä useammin dokumentoituja tapahtumiin reagointisuunnitelmia ja oikeudellista konsultaatiota ennen lunnaiden maksamisen sallimista.
  • Sääntelyviranomaiset ja tuomioistuimet kiinnittävät entistä enemmän huomiota siihen, miten organisaatiot hoitavat sekä maksupäätöksen että vaikutuksen alaisten henkilöiden yksityisyyden seuraukset.

Tavallisille kuluttajille tämä korostaa, miksi tietojen minimointi, vahva tunnistautuminen tileillä ja tietovuotoilmoitusten seuranta ovat tärkeitä. Vaikka yritys maksaisi, ei ole takeita siitä, etteikö tietojasi olisi jo viety ja kopioitu muualle.

Käytännön opit

Tässä toimintaympäristössä toimivien organisaatioiden kannattaa laatia tapahtumiin reagointisuunnitelma hyvissä ajoin ennen hyökkäystä. Suunnitelmassa tulee olla mukana OFAC:n pakotekehikkoon perehtynyt lakimies, selkeät eskalaatiomenettelyt ja linjaus siitä, harkitaanko lunnaiden maksamista lainkaan. Lainvalvontaviranomaisten ja OFAC:n oman ohjeistuksen kuuleminen tapahtuman alkuvaiheessa voi auttaa selvittämään pakoteriskin ennen kuin varat liikkuvat. Yksityishenkilöiden puolestaan kannattaa ottaa tietovuotoilmoitukset vakavasti, vaihtaa uudelleenkäytetyt salasanat ja ottaa käyttöön monivaiheinen tunnistautuminen kaikkialla, missä arkaluontoisia tilejä on. Kiristyshaittaohjelmat eivät ole katoamassa, mutta lunnaiden maksamiseen ja OFAC-pakotteisiin liittyvän oikeudellisen maaston ymmärtäminen on nyt olennainen osa sekä yritysriskin että henkilökohtaisen yksityisyyden hallintaa hyökkäyksen jälkimainingeissa.