Kada isplata ransomwarea postane problem savezne usklađenosti

Ransomware je odavno prerastao rutinske IT glavobolje. Za mnoge organizacije, napad ransomwarea sada pokreće punu krizu koja uključuje pravne savjetnike, provedbu zakona, osiguravatelje, a ponekad i savezne regulatore, i to sve prije nego što su pogođeni sustavi uopće obnovljeni. Nedavna pravna analiza o legalnosti ransomwarea i iznude iznosi stvarnost koju mnogi rukovoditelji još uvijek podcjenjuju: odluka o plaćanju otkupnine nije samo poslovna odluka. To je odluka sa stvarnom pravnom izloženošću, osobito kada se u priču uključi Ured za kontrolu strane imovine (OFAC) američkog Ministarstva financija.

OFAC održava popise sankcija koji uključuju kibernetičke kriminalne skupine, pojedince i jurisdikcije koje ih štite. Ako isplata ransomwarea završi u rukama sankcioniranog subjekta, čak i nenamjerno, organizacija koja plaća može se suočiti s građanskim kaznama bez obzira na namjeru. To je otrežnjujuća komplikacija za tvrtke čiji je instinkt u krizi jednostavno riješiti problem što je brže moguće.

Zašto plaćanje ne jamči da će problem nestati

Osim rizika od sankcija, postoji praktičan razlog za razmišljanje prije nego što se sredstva pošalju iznuđivaču: plaćanje često ne rješava temeljnu prijetnju podacima i privatnosti organizacije. Prethodno istraživanje ovdje je pokazalo da 1 od 3 platitelja ransomwarea biva ponovno napadnuto, što znači da plaćanje može označiti početak drugog kruga iznude umjesto kraja prvog. Posebni podaci to potvrđuju: studija je otkrila da se 37% žrtava ransomwarea suočava s drugim zahtjevom nakon što su već jednom platili, a daljnja izvješća pokazuju da ransomware bande ponovno iznuđuju 22% žrtava koje su vjerovale da su zatvorile to poglavlje.

Ovaj obrazac je od ogromne važnosti za privatnost. Mnogi incidenti ransomwarea danas uključuju izvlačenje podataka zajedno s enkripcijom, što znači da osjetljivi podaci o kupcima, podaci o zaposlenicima ili zdravstvene informacije možda već leže na kriminalnom serveru bez obzira na to je li otkupnina plaćena. Plaćanje za obećanje o brisanju ne nudi provedivu garanciju, a ponovljeni pokušaji iznude sugeriraju da se to obećanje često krši.

Promjenjiva ekonomija isplata otkupnina

Postoje znakovi da se računica mijenja. Kao što je pokriveno u nedavnom pregledu, isplate ransomwarea padaju na razini cijele industrije jer sve više organizacija odlučuje obnoviti sustave iz sigurnosnih kopija, surađivati s provedbom zakona i podnijeti reputacijski udarac umjesto da financiraju kriminalne pothvate koji možda podliježu sankcijama. Istovremeno, sami zahtjevi nastavljaju rasti. Proboj u Stadler Rail uključujući zahtjev od 12,3 milijuna dolara od bande Everest ilustrira kako su iznosi iznude dosegnuli razmjere daleko iznad onoga što mnoge srednje velike organizacije mogu tiho apsorbirati ili opravdati plaćanje, neovisno o riziku sankcija.

Ova kombinacija – manje organizacija plaća, ali zahtjevi postaju sve veći – sugerira da akteri prijetnji sve više ciljaju subjekte za koje vjeruju da imaju i sredstva i motivaciju za brzo plaćanje, poput onih koji rukuju reguliranim podacima ili upravljaju kritičnom infrastrukturom.

Što to znači za vas

Ako vaša organizacija rukuje osjetljivim podacima, bilo da se radi o podacima kupaca, zdravstvenim informacijama ili financijskim detaljima, pravna izloženost vezana uz ransomware nadilazi neposrednu operativnu štetu. Prije nego što se incident uopće dogodi, vrijedi razumjeti sljedeće:

  • Plaćanje otkupnine bez odgovarajućeg due diligence-a moglo bi vašu organizaciju izložiti provedbenim mjerama OFAC-a, neovisno o obvezama prijave povrede podataka.
  • Plaćanje ne jamči brisanje podataka niti zaštitu od budućih pokušaja iznude, s obzirom na to koliko često žrtve bivaju ponovno ciljane.
  • Police kibernetičkog osiguranja sve više zahtijevaju dokumentirane planove odgovora na incidente i pravno savjetovanje prije nego što se odobri bilo kakva isplata otkupnine.
  • Regulatori i sudovi sve više obraćaju pozornost na to kako organizacije rješavaju i odluku o plaćanju i posljedice po privatnost za pogođene pojedince.

Za obične potrošače, ovo naglašava zašto su minimizacija podataka, jaka autentifikacija na računima i praćenje obavijesti o povredama podataka važni. Čak i kada tvrtka plati, nema jamstva da vaši podaci već nisu izvučeni i kopirani negdje drugdje.

Praktične smjernice

Organizacije koje se suočavaju s ovim okruženjem trebale bi izgraditi plan odgovora na incidente mnogo prije nego što napad pogodi, koji uključuje pravne savjetnike upoznate s okvirom sankcija OFAC-a, jasne procedure eskalacije i politiku o tome hoće li se uopće razmatrati plaćanja otkupnina. Savjetovanje s provedbom zakona i smjernicama samog OFAC-a rano u incidentu može pomoći razjasniti izloženost sankcijama prije nego što se bilo kakva sredstva pomaknu. Pojedinci bi, u međuvremenu, trebali ozbiljno shvatiti obavijesti o povredama podataka, promijeniti ponovno korištene lozinke i omogućiti višefaktorsku autentifikaciju gdje god su uključeni osjetljivi računi. Ransomware ne nestaje, ali razumijevanje pravnog terena oko isplata otkupnina i sankcija OFAC-a sada je ključni dio upravljanja i korporativnim rizikom i osobnom privatnošću nakon napada.