Aucune interdiction fédérale des paiements de rançon, mais le risque de sanctions OFAC plane

Aucune loi fédérale n'interdit les paiements de rançon, mais ce n'est pas toute l'histoire

Une récente note explicative du cabinet Spodek Law Group fait un constat qui surprend de nombreuses organisations touchées par un rançongiciel : il n'existe aucune loi fédérale interdisant catégoriquement de payer une rançon. Cela reste vrai même lorsque l'identité de l'attaquant est inconnue au moment du paiement. Pour les entreprises confrontées à des systèmes chiffrés, à des données clients volées et à des temps d'arrêt qui s'accumulent, cela peut ressembler à un feu vert pour payer et passer à autre chose.

Ce n'est pas le cas. L'absence d'une interdiction pénale générale ne signifie pas que les paiements de rançon sont sans risque. Le véritable risque vient d'une tout autre direction : le droit des sanctions appliqué par l'Office of Foreign Assets Control (OFAC) du département du Trésor.

L'entrée en jeu des sanctions de l'OFAC

L'OFAC tient des listes de personnes, d'entités et de juridictions bloquées liées à la cybercriminalité, au piratage soutenu par des États et à d'autres activités illicites. Si un paiement de rançon arrive entre les mains d'une personne sanctionnée ou d'un pays faisant l'objet de sanctions globales, l'organisation victime, et parfois les intermédiaires qui ont facilité le paiement, peuvent se voir infliger des sanctions civiles, quelle que soit l'intention. En d'autres termes, une entreprise n'a pas besoin d'envoyer sciemment de l'argent à un acteur sanctionné pour enfreindre les règles ; il lui suffit de l'envoyer, point final.

Il s'agit d'un régime de responsabilité objective, et c'est précisément pourquoi la réponse aux violations est devenue autant un exercice juridique que technique. Notre article précédent sur la façon dont les paiements de rançon risquent des sanctions de l'OFAC examine cette dynamique plus en détail : les équipes de réponse aux incidents font désormais régulièrement appel à des avocats externes et à des spécialistes de la vérification des sanctions avant d'autoriser tout paiement, précisément parce qu'un mauvais virement peut transformer une violation de données en une action coercitive réglementaire.

Le gouvernement a également montré qu'il est disposé à sanctionner les infrastructures qui facilitent les rançongiciels, pas seulement les attaquants eux-mêmes. La décision du Trésor de sanctionner un service VPN lié à des opérations de rançongiciel, abordée dans notre rapport sur la première action de sanctions du Trésor visant un VPN, indique que le filet répressif s'étend bien au-delà des personnes qui rédigent les notes de rançon. Toute personne dans la chaîne de paiement ou de blanchiment, y compris les services qui anonymisent la piste financière, peut devenir une cible.

L'angle de la vie privée que les victimes négligent souvent

Alors que la plupart des articles sur les sanctions liées aux rançongiciels se concentrent sur l'exposition financière et juridique de l'entreprise qui paie, il y a une dimension relative à la vie privée qui mérite plus d'attention. Lorsqu'une organisation paie une rançon, c'est souvent pour empêcher que des données personnelles volées (dossiers clients, informations de santé, fichiers des employés) ne soient publiées ou vendues. Mais le paiement ne garantit pas que ces données soient supprimées ou qu'elles ne refassent pas surface ultérieurement. Les attaquants qui ont déjà exfiltré des enregistrements sensibles conservent un moyen de pression même après le paiement, et il n'existe aucun mécanisme exécutoire les obligeant à honorer une promesse de suppression.

Cette réalité se manifeste publiquement. Notre récent article sur la façon dont les paiements de rançon chutent alors que 23andMe conclut un accord de 18 millions de dollars montre que les conséquences d'une violation peuvent persister longtemps après toute décision de rançon, les personnes concernées subissant les conséquences de l'exposition de leurs données génétiques et personnelles, indépendamment de ce que l'entreprise a décidé de payer. Pour les consommateurs, le débat sur les sanctions qui se tient dans les salles de conseil et les cabinets d'avocats est en réalité une lutte par procuration pour savoir si leurs données resteront confidentielles.

Les résultats des poursuites judiciaires ajoutent une autre couche de contexte. La peine de 16 ans infligée à un pirate informatique à l'origine de l'opération du cartel de rançon, détaillée dans notre article sur le cas du cartel de rançon du pirate biélorusse, montre que les poursuites ont bien lieu, mais qu'elles arrivent généralement des années après que les victimes et leurs clients ont déjà absorbé les dégâts.

Ce que cela signifie pour vous

Si vous dirigez une entreprise, la leçon à retenir n'est pas que les paiements de rançon sont sans danger simplement parce qu'aucune loi pénale ne les interdit catégoriquement. L'exposition aux sanctions est réelle et s'applique même lorsque vous ne saviez pas à qui vous payiez. Avant tout paiement, les organisations doivent procéder à une vérification des sanctions, à un examen juridique et comprendre clairement que les sanctions de l'OFAC peuvent s'appliquer quelle que soit l'intention de bonne foi.

Si vous êtes un consommateur dont les données pourraient être impliquées dans l'un de ces incidents, la leçon est différente mais liée : ce n'est pas parce qu'une entreprise paie une rançon que vos données sont protégées. Les décisions de paiement sont dictées par des calculs de risque juridique et financier, pas nécessairement par ce qui protège le mieux votre vie privée.

Points clés à retenir

• Aucune loi fédérale n'interdit catégoriquement les paiements de rançon, mais les sanctions de l'OFAC peuvent néanmoins entraîner une responsabilité civile.
• La responsabilité au titre du droit des sanctions peut être engagée même sans savoir que le paiement est allé à une personne ou une juridiction bloquée.
• Payer une rançon ne garantit pas que les données volées soient supprimées ou qu'elles ne se retrouvent pas sur les marchés criminels.
• Les organisations devraient impliquer leur service juridique et une vérification des sanctions avant d'effectuer tout paiement de rançon.
• Les consommateurs touchés par une violation devraient surveiller de manière indépendante l'exposition de leurs données plutôt que de supposer qu'un paiement a résolu le risque.