Tidak Ada Undang-Undang Federal yang Melarang Pembayaran Ransomware, Tapi Itu Bukan Cerita Lengkapnya

Penjelasan hukum terbaru dari Spodek Law Group mengungkapkan fakta yang mengejutkan banyak organisasi yang terkena serangan ransomware: tidak ada undang-undang federal yang secara kategoris melarang pembayaran tebusan. Hal itu berlaku bahkan ketika identitas penyerang tidak diketahui pada saat pembayaran dilakukan. Bagi perusahaan yang menghadapi sistem terenkripsi, data pelanggan yang dicuri, dan waktu henti yang terus meningkat, ini mungkin terdengar seperti lampu hijau untuk membayar dan melanjutkan operasi.

Tidak demikian. Absennya larangan pidana menyeluruh bukan berarti pembayaran ransomware bebas risiko. Paparan risiko sebenarnya datang dari arah yang sama sekali berbeda: hukum sanksi yang diberlakukan oleh Office of Foreign Assets Control Departemen Keuangan, atau OFAC.

Ketika Sanksi OFAC Mulai Berperan

OFAC mengelola daftar individu, entitas, dan yurisdiksi yang diblokir terkait dengan kejahatan siber, peretasan yang disponsori negara, dan aktivitas gelap lainnya. Jika pembayaran ransomware berakhir di tangan orang yang terkena sanksi atau negara yang dikenai sanksi komprehensif, organisasi korban, dan terkadang perantara yang memfasilitasi pembayaran, dapat menghadapi hukuman perdata terlepas dari niat. Dengan kata lain, perusahaan tidak perlu secara sadar mengirimkan uang kepada aktor yang terkena sanksi untuk melanggar aturan; cukup dengan mengirimkannya, titik.

Ini adalah kerangka pertanggungjawaban ketat, dan inilah tepatnya mengapa respons terhadap pelanggaran kini menjadi latihan hukum sekaligus teknis. Liputan kami sebelumnya tentang bagaimana pembayaran ransomware berisiko melanggar sanksi OFAC mengupas dinamika ini secara lebih rinci: tim respons insiden sekarang secara rutin melibatkan penasihat hukum eksternal dan spesialis penyaringan sanksi sebelum mengizinkan pembayaran apa pun, karena transfer dana yang salah dapat mengubah pelanggaran data menjadi tindakan penegakan regulasi.

Pemerintah juga telah menunjukkan kesediaannya untuk menjatuhkan sanksi pada infrastruktur yang memungkinkan ransomware, bukan hanya penyerangnya sendiri. Keputusan Departemen Keuangan untuk menjatuhkan sanksi pada layanan VPN yang terkait dengan operasi ransomware, yang dibahas dalam laporan kami tentang tindakan sanksi VPN pertama Departemen Keuangan, menandakan bahwa jaring penegakan meluas jauh melampaui individu yang mengetik catatan tebusan. Siapa pun dalam rantai pembayaran atau pencucian uang, termasuk layanan yang menganonimkan jejak uang, dapat menjadi target.

Sudut Privasi yang Sering Dilewatkan Korban

Sementara sebagian besar liputan tentang sanksi ransomware berfokus pada paparan finansial dan hukum bagi perusahaan yang membayar, ada dimensi privasi yang layak mendapat perhatian lebih. Ketika sebuah organisasi membayar tebusan, sering kali hal itu dilakukan untuk mencegah data pribadi yang dicuri (catatan pelanggan, informasi kesehatan, berkas karyawan) dipublikasikan atau dijual. Namun pembayaran tidak menjamin bahwa data tersebut dihapus atau tidak akan muncul kembali nanti. Penyerang yang telah mengeksfiltrasi catatan sensitif tetap memiliki pengaruh bahkan setelah pembayaran diselesaikan, dan tidak ada mekanisme yang dapat ditegakkan yang memaksa mereka untuk menepati janji penghapusan.

Kenyataan itu telah terlihat secara publik. Artikel terbaru kami tentang bagaimana pembayaran ransomware menurun seiring 23andMe membayar penyelesaian $18 juta menunjukkan bagaimana dampak dari sebuah pelanggaran dapat berlanjut lama setelah keputusan tebusan apa pun, dengan individu yang terkena dampak menanggung konsekuensi dari data genetik dan pribadi yang terekspos terlepas dari apa yang diputuskan perusahaan untuk membayar. Bagi konsumen, perdebatan sanksi yang terjadi di ruang rapat dan kantor hukum sebenarnya adalah pertarungan proksi tentang apakah data mereka tetap privat.

Hasil penegakan hukum menambahkan lapisan konteks lain. Hukuman 16 tahun yang dijatuhkan kepada seorang peretas di balik operasi Ransom Cartel, yang dirinci dalam liputan kami tentang kasus kartel tebusan peretas Belarusia, menunjukkan bahwa penuntutan memang terjadi, namun biasanya baru terjadi bertahun-tahun setelah korban dan pelanggan mereka telah menyerap kerusakan.

Apa Artinya Ini Bagi Anda

Jika Anda menjalankan bisnis, kesimpulannya bukanlah bahwa pembayaran ransomware itu aman hanya karena tidak ada undang-undang pidana yang melarangnya secara langsung. Paparan sanksi itu nyata, dan berlaku bahkan ketika Anda tidak tahu kepada siapa Anda membayar. Sebelum melakukan pembayaran apa pun, organisasi memerlukan penyaringan sanksi, tinjauan hukum, dan pemahaman yang jelas bahwa hukuman OFAC dapat berlaku terlepas dari niat baik.

Jika Anda seorang konsumen yang datanya mungkin terlibat dalam salah satu insiden ini, pelajarannya berbeda namun terkait: perusahaan yang membayar tebusan tidak sama dengan data Anda yang terlindungi. Keputusan pembayaran dibentuk oleh kalkulasi risiko hukum dan finansial, bukan oleh apa yang paling melindungi privasi Anda.

Poin-Poin Penting

  • Tidak ada undang-undang federal yang secara kategoris melarang pembayaran ransomware, namun sanksi OFAC tetap dapat menimbulkan tanggung jawab perdata.
  • Tanggung jawab di bawah hukum sanksi dapat timbul bahkan tanpa pengetahuan bahwa pembayaran ditujukan kepada orang atau yurisdiksi yang diblokir.
  • Membayar tebusan tidak menjamin data yang dicuri dihapus atau dijauhkan dari pasar gelap kriminal.
  • Organisasi harus melibatkan penasihat hukum dan penyaringan sanksi sebelum melakukan pembayaran ransomware apa pun.
  • Konsumen yang terkena dampak pelanggaran harus memantau eksposur secara mandiri daripada berasumsi bahwa pembayaran telah menyelesaikan risiko.