Nessuna legge federale vieta i pagamenti ransomware, ma non è tutta la storia

Un recente approfondimento legale dello Spodek Law Group mette in luce un punto che sorprende molte organizzazioni colpite da ransomware: non esiste alcuna legge federale che vieti categoricamente di pagare un riscatto. Questo vale anche quando l'identità dell'aggressore è sconosciuta al momento del pagamento. Per le aziende che si trovano ad affrontare sistemi crittografati, dati dei clienti rubati e crescenti tempi di inattività, questa potrebbe sembrare un via libera per pagare e voltare pagina.

Non lo è. L'assenza di un divieto penale generale non significa che i pagamenti ransomware siano privi di rischi. L'esposizione reale arriva da una direzione completamente diversa: la normativa sulle sanzioni applicata dall'Office of Foreign Assets Control del Dipartimento del Tesoro, meglio noto come OFAC.

Come entrano in gioco le sanzioni OFAC

L'OFAC mantiene elenchi di individui, entità e giurisdizioni bloccati, legati a crimini informatici, hacking sponsorizzato da Stati e altre attività illecite. Se un pagamento ransomware finisce nelle mani di una persona sanzionata o di un Paese soggetto a sanzioni complessive, l'organizzazione vittima, e talvolta gli intermediari che hanno agevolato il pagamento, possono incorrere in sanzioni civili indipendentemente dall'intenzionalità. In altre parole, un'azienda non deve necessariamente inviare consapevolmente denaro a un soggetto sanzionato per violare le regole; deve semplicemente inviarlo, punto.

Si tratta di un quadro di responsabilità oggettiva, ed è proprio questo il motivo per cui la risposta a una violazione è diventata tanto un esercizio legale quanto tecnico. La nostra precedente copertura su come i pagamenti ransomware rischiano le sanzioni OFAC analizza questa dinamica più nel dettaglio: i team di risposta agli incidenti ora coinvolgono regolarmente consulenti legali esterni e specialisti dello screening delle sanzioni prima di autorizzare qualsiasi pagamento, proprio perché il bonifico sbagliato può trasformare una violazione dei dati in un'azione esecutiva normativa.

Il governo ha anche dimostrato di essere disposto a sanzionare l'infrastruttura che abilita il ransomware, non solo gli aggressori stessi. La decisione del Tesoro di sanzionare un servizio VPN legato a operazioni ransomware, trattata nel nostro report sulla prima azione sanzionatoria del Tesoro contro un servizio VPN, segnala che la rete di applicazione si estende ben oltre gli individui che scrivono le richieste di riscatto. Chiunque faccia parte della catena di pagamento o riciclaggio, inclusi i servizi che anonimizzano la traccia del denaro, può diventare un bersaglio.

L'aspetto della privacy che le vittime spesso trascurano

Mentre la maggior parte della copertura sulle sanzioni ransomware si concentra sull'esposizione finanziaria e legale per l'azienda che paga, c'è una dimensione della privacy che merita maggiore attenzione. Quando un'organizzazione paga un riscatto, spesso lo fa per impedire che i dati personali rubati (documenti dei clienti, informazioni sanitarie, fascicoli dei dipendenti) vengano pubblicati o venduti. Ma il pagamento non garantisce che i dati vengano cancellati o che non riemergano in seguito. Gli aggressori che hanno già esfiltrato dati sensibili mantengono la loro leva anche dopo che un pagamento è andato a buon fine, e non esiste alcun meccanismo coercitivo che li costringa a onorare una promessa di cancellazione.

Questa realtà si sta manifestando pubblicamente. Il nostro recente articolo su come i pagamenti ransomware stanno diminuendo mentre 23andMe patteggia per 18 milioni di dollari mostra come le conseguenze di una violazione possano continuare a lungo dopo qualsiasi decisione sul riscatto, con le persone colpite che sopportano le conseguenze dell'esposizione di dati genetici e personali indipendentemente da quanto l'azienda abbia deciso di pagare. Per i consumatori, il dibattito sulle sanzioni che si svolge nelle sale riunioni e negli studi legali è in realtà una lotta per procura sul fatto che i loro dati restino privati.

Gli esiti delle azioni delle forze dell'ordine aggiungono un ulteriore livello di contesto. La condanna a 16 anni inflitta a un hacker dietro l'operazione Ransom Cartel, descritta nella nostra copertura del caso del cartello ransomware dell'hacker bielorusso, dimostra che le azioni penali avvengono, ma in genere arrivano anni dopo che le vittime e i loro clienti hanno già assorbito il danno.

Cosa significa per te

Se gestisci un'azienda, il punto non è che i pagamenti ransomware siano sicuri semplicemente perché nessuna legge penale li vieta esplicitamente. L'esposizione alle sanzioni è reale e si applica anche quando non sapevi a chi stavi pagando. Prima di effettuare qualsiasi pagamento, le organizzazioni hanno bisogno di screening delle sanzioni, revisione legale e una chiara comprensione che le sanzioni OFAC possono essere applicate indipendentemente dall'intento in buona fede.

Se sei un consumatore i cui dati potrebbero essere coinvolti in uno di questi incidenti, la lezione è diversa ma correlata: un'azienda che paga un riscatto non equivale alla protezione dei tuoi dati. Le decisioni di pagamento sono determinate da calcoli di rischio legale e finanziario, non necessariamente da ciò che protegge meglio la tua privacy.

Punti chiave

  • Nessuna legge federale vieta categoricamente i pagamenti ransomware, ma le sanzioni OFAC possono comunque creare responsabilità civile.
  • La responsabilità ai sensi della normativa sulle sanzioni può sorgere anche senza la consapevolezza che un pagamento sia andato a una persona o giurisdizione bloccata.
  • Pagare un riscatto non garantisce che i dati rubati vengano cancellati o tenuti fuori dai mercati criminali.
  • Le organizzazioni dovrebbero coinvolgere consulenti legali e screening delle sanzioni prima di effettuare qualsiasi pagamento ransomware.
  • I consumatori colpiti da una violazione dovrebbero monitorare autonomamente l'esposizione anziché presumere che un pagamento abbia risolto il rischio.