身代金支払いを禁じる連邦法はない、しかしそれが全てではない

Spodek Law Groupによる最近の法的解説は、ランサムウェア攻撃を受けた多くの組織を驚かせるポイントを指摘している。それは、身代金の支払いを一律に禁止する連邦法は存在しないということだ。これは、支払い時点で攻撃者の身元が不明な場合でも当てはまる。システムの暗号化、顧客データの窃取、そして拡大するダウンタイムに直面している企業にとって、これは単に身代金を支払って先に進めというゴーサインのように聞こえるかもしれない。

そうではない。包括的な刑事罰の欠如は、身代金の支払いにリスクがないことを意味するわけではない。真のリスクは全く別の方向、すなわち財務省外国資産管理室（OFAC）によって執行される制裁法に由来する。

OFAC制裁が関わってくる場面

OFACは、サイバー犯罪、国家支援のハッキング、その他の違法行為に関連するブロック指定個人、団体、法域のリストを管理している。身代金の支払いが制裁対象者や包括的に制裁対象となっている国の手に渡った場合、被害組織、そして時には支払いを促進した仲介者も、故意の有無に関わらず民事制裁を受ける可能性がある。つまり、企業は制裁対象者に送金していると知らなくても、ルールに違反する可能性がある。単に送金したという事実だけで十分なのだ。

これは厳格責任の枠組みであり、まさにこれが、侵害対応が技術的な問題と同じくらい法的な問題となっている理由である。以前の報道（身代金支払いがOFAC制裁リスクを招く理由と企業が知るべきこと）では、このダイナミクスをより詳細に解説している。現在、インシデント対応チームは、支払いを承認する前に、外部の法律顧問や制裁スクリーニングの専門家を定期的に関与させている。これは、間違った送金がデータ侵害を規制執行措置に変える可能性があるからに他ならない。

政府はまた、攻撃者自身だけでなく、ランサムウェアを可能にするインフラを制裁する用意があることを示している。ランサムウェア活動に関連するVPNサービスを制裁した財務省の決定（財務省、ランサムウェア関連で初のVPNサービス制裁を実施に関する我々の報道で取り上げている）は、執行の網が身代金要求書を書いている個人をはるかに超えて及ぶことを示唆している。資金の流れを匿名化するサービスを含む、支払いまたは資金洗浄チェーンに関与する誰もが標的になり得る。

被害者が見落としがちなプライバシーの視点

ランサムウェア制裁に関する報道のほとんどは、支払いを行った企業の財務的および法的リスクに焦点を当てているが、もっと注目されるべきはプライバシーの側面である。組織が身代金を支払うのは、多くの場合、窃取された個人データ（顧客記録、健康情報、従業員ファイル）が公開または販売されるのを防ぐためである。しかし、支払いはデータの削除を保証するものではなく、後日再び表面化しないとも限らない。機密記録を既に外部に持ち出した攻撃者は、支払いが完了した後も影響力を保持しており、削除の約束を守らせる強制力のあるメカニズムは存在しない。

この現実は公に展開されている。最近の記事（23andMeが約1800万ドルで和解する中、身代金支払いが減少している理由）では、企業が身代金についてどのような決定を下したかに関係なく、侵害による影響がその後も長く続き、影響を受けた個人が遺伝情報や個人データの暴露という結果を被る様子を示している。消費者の視点から見ると、役員室や法律事務所で行われている制裁の議論は、実際には彼らのデータがプライベートに保たれるかどうかをめぐる代理戦争なのである。

法執行機関による結果は、もう一つの文脈を加える。Ransom Cartel作戦の背後にいたハッカーに言い渡された16年の実刑判決（Ransom Cartel事件でベラルーシ人ハッカーに懲役16年に関する我々の報道で詳述）は、起訴が確かに行われることを示しているが、それは通常、被害者とその顧客が既に損害を被ってから何年も経ってからである。

これがあなたにとって意味すること

あなたがビジネスを経営しているなら、ここでの教訓は、身代金の支払いを明確に禁止する刑事法がないからといって安全ではないということだ。制裁のリスクは現実であり、誰に支払っているか知らなかった場合でも適用される。支払いを行う前に、組織には制裁スクリーニング、法的レビュー、そして誠実な意図に関係なくOFACの罰則が適用され得るという明確な理解が必要である。

あなたのデータがこうしたインシデントに巻き込まれた可能性のある消費者であれば、その教訓は異なるが関連している。すなわち、企業が身代金を支払うことと、あなたのデータが保護されることは同じではない。支払いの決定は、あなたのプライバシーを最も保護するものではなく、法的・財務的リスクの計算によって形作られるのだ。

主なポイント

  • 身代金の支払いを一律に禁止する連邦法は存在しないが、それでもOFAC制裁が民事責任を生む可能性がある。
  • 制裁法に基づく責任は、支払いがブロック指定された人物や法域に渡ったという認識がなくても問われる可能性がある。
  • 身代金を支払っても、窃取されたデータが削除されることや、犯罪市場に出回らないことは保証されない。
  • 組織は、身代金を支払う前に、法律顧問と制裁スクリーニングを関与させるべきである。
  • 侵害の影響を受けた消費者は、支払いによってリスクが解決されたと考えるのではなく、独自に情報漏洩を監視するべきである。