Nijedan savezni zakon ne zabranjuje plaćanje otkupnine, ali to nije cijela priča

Nedavno pravno objašnjenje odvjetničke grupe Spodek Law Group ističe tvrdnju koja iznenađuje mnoge organizacije pogođene ransomwareom: ne postoji savezni zakon koji kategorički zabranjuje plaćanje otkupnine. To vrijedi čak i kada je identitet napadača nepoznat u trenutku plaćanja. Za tvrtke koje se suočavaju sa šifriranim sustavima, ukradenim podacima kupaca i sve većim zastojima, ovo bi moglo zvučati kao zeleno svjetlo da jednostavno plate i nastave dalje.

Nije tako. Nepostojanje opće kaznene zabrane ne znači da su plaćanja otkupnine bez rizika. Stvarna izloženost dolazi iz sasvim drugog smjera: zakona o sankcijama koje provodi Ured za kontrolu strane imovine (OFAC) pri Ministarstvu financija.

Gdje nastupaju sankcije OFAC-a

OFAC održava popise blokiranih pojedinaca, subjekata i jurisdikcija povezanih s kibernetičkim kriminalom, hakerskim napadima pod pokroviteljstvom države i drugim nezakonitim aktivnostima. Ako plaćanje otkupnine završi u rukama sankcionirane osobe ili u sveobuhvatno sankcioniranoj zemlji, organizacija žrtva, a ponekad i posrednici koji su omogućili plaćanje, mogu se suočiti s građanskim kaznama bez obzira na namjeru. Drugim riječima, tvrtka ne mora znati da šalje novac sankcioniranom akteru da bi prekršila pravila; dovoljno je da ga pošalje, točka.

Ovo je okvir stroge odgovornosti i upravo je to razlog zašto je odgovor na povredu postao jednako pravna vježba koliko i tehnička. Naše ranije izvješće o tome kako plaćanja otkupnine riskiraju sankcije OFAC-a detaljnije opisuje ovu dinamiku: timovi za odgovor na incidente sada rutinski uključuju vanjske odvjetnike i stručnjake za provjeru sankcija prije nego što odobre bilo kakvo plaćanje, upravo zato što pogrešan bankovni prijenos može pretvoriti povredu podataka u regulatornu provedbenu mjeru.

Vlada je također pokazala da je spremna sankcionirati infrastrukturu koja omogućuje ransomware, a ne samo same napadače. Odluka Ministarstva financija da sankcionira VPN uslugu povezanu s operacijama ransomwarea, opisana u našem izvješću o prvoj akciji sankcioniranja VPN-a od strane Ministarstva financija, signalizira da se mreža provedbe proteže daleko izvan pojedinaca koji pišu poruke s otkupninom. Svatko u lancu plaćanja ili pranja novca, uključujući usluge koje anonimiziraju trag novca, može postati meta.

Kut privatnosti koji žrtve često zanemaruju

Dok se većina izvještavanja o sankcijama za ransomware usredotočuje na financijsku i pravnu izloženost tvrtke koja plaća, postoji dimenzija privatnosti koja zaslužuje više pažnje. Kada organizacija plati otkupninu, često to čini kako bi spriječila da se ukradeni osobni podaci (zapisi kupaca, zdravstvene informacije, datoteke zaposlenika) objave ili prodaju. Ali plaćanje ne jamči da su ti podaci izbrisani ili da se kasnije neće ponovno pojaviti. Napadači koji su već izvukli osjetljive zapise zadržavaju utjecaj čak i nakon što je plaćanje izvršeno, a ne postoji provediv mehanizam koji bi ih prisilio da ispoštuju obećanje o brisanju.

Ta se stvarnost javno odvija. Naš nedavni članak o tome kako plaćanja otkupnine opadaju dok 23andMe pristaje na nagodbu od 18 milijuna dolara pokazuje kako se posljedice povrede mogu nastaviti dugo nakon odluke o otkupnini, pri čemu pogođeni pojedinci snose posljedice izloženih genetskih i osobnih podataka bez obzira na to što je tvrtka odlučila platiti. Za potrošače, rasprava o sankcijama koja se vodi u sobama za sastanke i odvjetničkim uredima zapravo je borba oko toga hoće li njihovi podaci ostati privatni.

Ishodi provedbe zakona dodaju još jedan sloj konteksta. Kazna od 16 godina zatvora izrečena hakeru koji stoji iza operacije Ransom Cartel, detaljno opisana u našem izvješću o slučaju bjeloruskog hakera i kartela za otkupnine, pokazuje da se kazneni progoni događaju, ali obično godinama nakon što su žrtve i njihovi kupci već pretrpjeli štetu.

Što to znači za vas

Ako vodite tvrtku, zaključak nije da su plaćanja otkupnine sigurna samo zato što ih nijedan kazneni zakon izričito ne zabranjuje. Izloženost sankcijama je stvarna i primjenjuje se čak i kada niste znali kome plaćate. Prije bilo kakvog plaćanja, organizacije trebaju provjeru sankcija, pravnu reviziju i jasno razumijevanje da se kazne OFAC-a mogu primijeniti bez obzira na namjeru u dobroj vjeri.

Ako ste potrošač čiji bi podaci mogli biti zahvaćeni nekim od ovih incidenata, lekcija je drugačija, ali povezana: to što tvrtka plaća otkupninu ne znači da su vaši podaci zaštićeni. Odluke o plaćanju oblikovane su pravnim i financijskim izračunima rizika, a ne nužno onim što najbolje štiti vašu privatnost.

Ključni zaključci

  • Nijedan savezni zakon kategorički ne zabranjuje plaćanje otkupnine, ali sankcije OFAC-a i dalje mogu stvoriti građansku odgovornost.
  • Odgovornost prema zakonu o sankcijama može nastati čak i bez znanja da je plaćanje otišlo blokiranoj osobi ili jurisdikciji.
  • Plaćanje otkupnine ne jamči da su ukradeni podaci izbrisani ili da neće završiti na kriminalnim tržištima.
  • Organizacije bi trebale uključiti pravne savjetnike i provjeru sankcija prije nego što izvrše bilo kakvo plaćanje otkupnine.
  • Potrošači pogođeni povredom trebali bi samostalno pratiti izloženost umjesto da pretpostave da je plaćanje riješilo rizik.