Nincs szövetségi tilalom a váltságdíjak kifizetésére, de az OFAC kockázata fenyeget

A szövetségi törvények nem tiltják a zsarolóvírus-váltságdíj kifizetését, de a történet itt nem ér véget

A Spodek Law Group nemrégiben közzétett jogi magyarázata olyan pontot tesz, amely sok zsarolóvírussal sújtott szervezetet meglep: nincs olyan szövetségi törvény, amely kategorikusan tiltaná a váltságdíj kifizetését. Ez akkor is igaz, ha a támadó kiléte a fizetés időpontjában ismeretlen. A titkosított rendszerekkel, ellopott ügyféladatokkal és növekvő leállási idővel küzdő vállalatok számára ez zöld utat jelenthet – fizess, és lépj tovább.

De ez nem így van. Az, hogy nincs általános büntetőjogi tilalom, nem jelenti azt, hogy a váltságdíjfizetés kockázatmentes. A valódi veszély egy teljesen más irányból érkezik: a Pénzügyminisztérium Külföldi Vagyonellenőrzési Hivatala (OFAC) által érvényesített szankciós jogból.

Hogyan jönnek a képbe az OFAC szankciók

Az OFAC listákat vezet a blokkolt személyekről, szervezetekről és joghatóságokról, amelyek kiberbűnözéshez, államilag támogatott hackertevékenységhez és más tiltott cselekményekhez kötődnek. Ha egy zsarolóvírus-váltságdíj szankcionált személyhez vagy átfogó szankciókkal sújtott országhoz kerül, az áldozat szervezetet – és esetenként a fizetést lebonyolító közvetítőket is – polgári jogi szankciók sújthatják, függetlenül a szándéktól. Más szóval, egy vállalatnak nem kell tudnia arról, hogy szankcionált szereplőnek küld pénzt ahhoz, hogy megsértse a szabályokat; elég, ha a pénz odakerül.

Ez egy objektív felelősségi keretrendszer, és pontosan ez az oka annak, hogy a incidenskezelés mára éppolyan jogi gyakorlattá vált, mint technikaivá. Korábbi tudósításunk arról, hogy a zsarolóvírus-váltságdíjak OFAC szankciókat kockáztatnak, részletesebben bemutatja ezt a dinamikát: az incidenselhárító csapatok ma már rutinszerűen bevonnak külső jogi tanácsadókat és szankciószűrési szakértőket, mielőtt bármilyen fizetést engedélyeznének, pontosan azért, mert egy rossz banki átutalás az adatvédelmi incidensből szabályozói végrehajtási eljárást csinálhat.

A kormány azt is megmutatta, hogy hajlandó szankcionálni a zsarolóvírusokat lehetővé tevő infrastruktúrát, nem csupán magukat a támadókat. A Pénzügyminisztérium döntése, amellyel szankcionált egy zsarolóvírus-műveletekhez köthető VPN-szolgáltatást – amiről a Pénzügyminisztérium első VPN elleni szankciójáról szóló beszámolónkban írtunk –, azt jelzi, hogy a végrehajtási háló messze túlmutat a váltságleveleket gépelő személyeken. A fizetési vagy pénzmosási lánc bármely szereplője – beleértve a pénz útját anonimizáló szolgáltatásokat is – célponttá válhat.

Az adatvédelmi szempont, amelyet az áldozatok gyakran figyelmen kívül hagynak

Míg a zsarolóvírusokkal kapcsolatos szankciókról szóló tudósítások többsége a fizető vállalat pénzügyi és jogi kitettségére összpontosít, van egy adatvédelmi dimenzió, amely több figyelmet érdemel. Amikor egy szervezet váltságdíjat fizet, gyakran azért teszi, hogy megakadályozza ellopott személyes adatok (ügyfélnyilvántartások, egészségügyi információk, munkavállalói fájlok) nyilvánosságra kerülését vagy értékesítését. A fizetés azonban nem garantálja, hogy az adatokat törlik, vagy hogy később nem bukkannak fel újra. Azok a támadók, akik már kiszivárogtatták az érzékeny adatokat, a fizetés után is megőrzik az alkupozíciójukat, és nincs olyan kikényszeríthető mechanizmus, amely arra kötelezné őket, hogy betartsák a törlési ígéretet.

Ez a valóság a nyilvánosság előtt is kibontakozik. Legutóbbi írásunk arról, hogy a zsarolóvírus-váltságdíjak csökkennek, miközben a 23andMe 18 millió dollárral egyezik ki, megmutatja, hogy egy adatvédelmi incidens utóhatása hogyan folytatódhat jóval a váltságdíjjal kapcsolatos döntés után, és az érintett személyek viselik a kiszivárgott genetikai és személyes adatok következményeit, függetlenül attól, hogy a vállalat mit döntött. A fogyasztók számára az igazgatótanácsokban és ügyvédi irodákban zajló szankcióvita valójában egy proxy-harc arról, hogy az adataik magánjellegűek maradnak-e.

A bűnüldözési eredmények újabb kontextust adnak. A Ransom Cartel művelet mögött álló hacker 16 éves börtönbüntetése – amelyről a belarusz hacker Ransom Cartel ügyéről szóló tudósításunkban számoltunk be részletesen – azt mutatja, hogy a büntetőeljárások valóban megtörténnek, de általában évekkel azután, hogy az áldozatok és ügyfeleik már elszenvedték a kárt.

Mit jelent ez Önnek?

Ha vállalkozást vezet, a tanulság nem az, hogy a zsarolóvírus-váltságdíjak biztonságosak, csak azért, mert egyetlen büntető törvény sem tiltja őket kifejezetten. A szankciós kitettség valós, és akkor is fennáll, ha nem tudta, kinek fizet. Mielőtt bármilyen fizetés megtörténik, a szervezeteknek szankciószűrést, jogi felülvizsgálatot és világos megértést kell végezniük arról, hogy az OFAC bírságok jóhiszemű szándéktól függetlenül alkalmazhatók.

Ha Ön olyan fogyasztó, akinek az adatai egy ilyen incidensbe keveredtek, a tanulság más, de kapcsolódó: az, hogy egy vállalat váltságdíjat fizet, nem ugyanaz, mintha az adatai védve lennének. A fizetési döntéseket jogi és pénzügyi kockázatszámítások alakítják, nem feltétlenül az, ami a legjobban védi az Ön magánéletét.

Főbb tanulságok

• Nincs olyan szövetségi törvény, amely kategorikusan tiltaná a zsarolóvírus-váltságdíjak kifizetését, de az OFAC szankciók polgári jogi felelősséget teremthetnek.
• A szankciós jog szerinti felelősség akkor is fennállhat, ha nem tudta, hogy a fizetés blokkolt személyhez vagy joghatósághoz került.
• A váltságdíj kifizetése nem garantálja, hogy az ellopott adatokat törlik, vagy távol tartják a bűnözői piacterektől.
• A szervezeteknek jogi tanácsadót és szankciószűrést kell bevonniuk, mielőtt bármilyen zsarolóvírus-váltságdíjat kifizetnének.
• Az incidens által érintett fogyasztóknak önállóan kell figyelniük az adatvédelmi kitettséget, ahelyett, hogy feltételeznék, hogy a fizetés megoldotta a kockázatot.