Amikor egy ransomware-fizetés szövetségi megfelelőségi problémává válik

A ransomware már messze túllépett a rutinszerű informatikai bosszúságok körén. Sok szervezet számára egy ransomware-támadás ma már teljes körű válságot idéz elő, jogi tanácsadókat, bűnüldöző szerveket, biztosítókat és néha szövetségi szabályozó hatóságokat is bevonva, még mielőtt az érintett rendszereket helyreállították volna. Egy nemrégiben készült jogi elemzés a ransomware és zsarolás jogszerűségéről olyan valóságot tár fel, amelyet sok vezető még mindig alábecsül: a váltságdíj kifizetéséről hozott döntés nem pusztán üzleti döntés. Ez olyan döntés, amely valós jogi kockázattal jár, különösen akkor, amikor az amerikai Pénzügyminisztérium Külföldi Vagyonellenőrzési Hivatala (OFAC) is képbe kerül.

Az OFAC olyan szankciós listákat vezet, amelyek kiberbűnözői csoportokat, magánszemélyeket és az őket befogadó joghatóságokat tartalmazzák. Ha egy ransomware-fizetés szankcionált entitáshoz kerül, akár véletlenül is, a fizető szervezet polgári jogi bírsággal sújtható, függetlenül a szándéktól. Ez józanító fordulat azoknak a cégeknek, amelyeknek válság esetén az az ösztöne, hogy a lehető leggyorsabban megszabaduljanak a problémától.

Miért nem garantálja a fizetés, hogy a probléma eltűnik

A szankciós kockázaton túl van egy gyakorlati ok is, amiért érdemes kétszer is meggondolni a pénzátutalást egy zsarolónak: a fizetés gyakran nem oldja meg a szervezet adatait és magánéletét fenyegető alapvető veszélyt. Az itt korábban ismertetett kutatás megállapította, hogy minden harmadik ransomware-fizetőt újra megtámadnak, ami azt jelenti, hogy a fizetés a második zsarolási kör kezdetét jelentheti, nem pedig az első végét. Külön adatok is alátámasztják ezt: egy tanulmány szerint a ransomware áldozatok 37%-a második követeléssel szembesül azt követően, hogy már egyszer fizetett, és további jelentések szerint a ransomware bandák az áldozatok 22%-át újra zsarolják, akik azt hitték, hogy lezárták a fejezetet.

Ez a minta rendkívül fontos a magánélet szempontjából. Manapság sok ransomware-incidens adatok kiszivárogtatásával jár együtt a titkosítás mellett, ami azt jelenti, hogy érzékeny ügyféladatok, munkavállalói adatok vagy egészségügyi információk már akkor is egy bűnözői szerveren lehetnek, függetlenül attól, hogy fizetnek-e váltságdíjat. A törlési ígéretért való fizetés nem nyújt kikényszeríthető garanciát, és az ismételt zsarolási kísérletek arra utalnak, hogy ezt az ígéretet gyakran megszegik.

A váltságdíjfizetések változó gazdaságtana

Vannak jelek, hogy a számítások változnak. Ahogy egy nemrégiben készült összefoglalóban beszámoltunk róla, a ransomware-fizetések az egész iparágban csökkennek, mivel egyre több szervezet dönt a biztonsági mentésekből való helyreállítás mellett, működik együtt a bűnüldöző szervekkel, és viseli a hírnévbeli károkat ahelyett, hogy bűnözői vállalkozásokat finanszírozna, amelyek szankciók alatt állhatnak. Ugyanakkor maguk a követelések tovább nőnek. A Stadler Rail adatvédelmi incidense, amelyben az Everest banda 12,3 millió dollárt követelt, jól mutatja, hogy a zsarolási összegek messze túlnőttek azon, amit sok közepes méretű szervezet csendben elnyelhet vagy kifizetésként indokolhatna, a szankciós kockázattól eltekintve is.

Ez a kombináció – kevesebb szervezet fizet, de a követelések egyre nagyobbak – arra utal, hogy a fenyegető szereplők egyre inkább olyan entitásokat céloznak meg, amelyekről úgy vélik, hogy mind pénzügyi lehetőségük, mind motivációjuk megvan a gyors fizetésre, például azokat, amelyek szabályozott adatokat kezelnek vagy kritikus infrastruktúrát működtetnek.

Mit jelent ez Önnek

Ha az Ön szervezete érzékeny adatokat kezel, legyen szó ügyféladatokról, egészségügyi információkról vagy pénzügyi részletekről, a ransomware-rel kapcsolatos jogi kockázatok túlmutatnak a közvetlen működési károkon. Mielőtt egy incidens bekövetkezne, érdemes megérteni, hogy:

  • A váltságdíj kifizetése megfelelő körültekintés nélkül OFAC végrehajtási intézkedésnek teheti ki szervezetét, függetlenül az adatvédelmi incidensek bejelentésére vonatkozó kötelezettségektől.
  • A fizetés nem garantálja az adatok törlését vagy a jövőbeli zsarolási kísérletekkel szembeni védelmet, tekintettel arra, hogy milyen gyakran célozzák meg újra az áldozatokat.
  • A kiberbiztosítási kötvények egyre inkább megkövetelik a dokumentált incidenskezelési terveket és a jogi konzultációt, mielőtt bármilyen váltságdíjfizetést engedélyeznének.
  • A szabályozó hatóságok és a bíróságok egyre nagyobb figyelmet fordítanak arra, hogy a szervezetek hogyan kezelik mind a fizetési döntést, mind az érintett személyek magánéleti következményeit.

A hétköznapi fogyasztók számára ez rávilágít arra, hogy miért fontos az adatminimalizálás, az erős hitelesítés a fiókokon, valamint az adatvédelmi incidensekkel kapcsolatos értesítések figyelemmel kísérése. Még akkor is, ha egy vállalat fizet, nincs garancia arra, hogy az Ön adatait nem szerezték meg és másolták le máshol korábban.

Hasznosítható tanulságok

Azoknak a szervezeteknek, amelyek ezzel a környezettel szembesülnek, jóval egy támadás bekövetkezése előtt incidenskezelési tervet kell kidolgozniuk, amely tartalmazza az OFAC szankciós keretrendszerét ismerő jogi tanácsadót, egyértelmű eszkalációs eljárásokat, valamint irányelvet arra vonatkozóan, hogy egyáltalán fontolóra veszik-e a váltságdíjfizetést. A bűnüldöző szervekkel és az OFAC útmutatásával való konzultáció az incidens korai szakaszában segíthet tisztázni a szankciós kockázatokat, mielőtt bármilyen pénzmozgás történne. Az egyéneknek eközben komolyan kell venniük az adatvédelmi incidensekről szóló értesítéseket, meg kell változtatniuk az újrahasznált jelszavakat, és többtényezős hitelesítést kell engedélyezniük minden olyan esetben, ahol érzékeny fiókokról van szó. A ransomware nem fog eltűnni, de a váltságdíjfizetések és az OFAC-szankciók jogi környezetének megértése ma már alapvető része a vállalati kockázat és a személyes magánélet kezelésének egy támadás után.