랜섬웨어 지급을 금지하는 연방법은 없지만, 그게 전부는 아닙니다

Spodek Law Group의 최근 법률 해설은 랜섬웨어 공격을 받은 많은 조직을 놀라게 하는 한 가지 사실을 지적합니다. 바로 랜섬 지급을 전면적으로 금지하는 연방 법률은 존재하지 않는다는 점입니다. 이는 지급 시점에 공격자의 신원을 알 수 없는 경우에도 마찬가지입니다. 시스템이 암호화되고, 고객 데이터가 도난당하고, 다운타임이 쌓여가는 상황에 직면한 기업 입장에서는 그냥 돈을 내고 넘어가라는 신호처럼 들릴 수 있습니다.

하지만 그렇지 않습니다. 전면적인 형사 금지 조항이 없다고 해서 랜섬웨어 지급에 위험이 따르지 않는 것은 아닙니다. 진짜 위험은 완전히 다른 방향에서 옵니다. 바로 재무부 산하 해외자산통제국(OFAC)이 집행하는 제재법입니다.

OFAC 제재가 개입되는 지점

OFAC는 사이버 범죄, 국가 지원 해킹 및 기타 불법 활동에 연루된 개인, 단체, 관할권의 차단 목록을 관리합니다. 랜섬 지급금이 제재 대상자나 포괄적 제재 대상 국가에 전달될 경우, 피해 조직과 때로는 지급을 중개한 기관은 의도와 무관하게 민사상 제재를 받을 수 있습니다. 다시 말해, 기업이 제재 대상자에게 돈을 보내고 있다는 사실을 인지하지 못했더라도 문제가 될 수 있습니다. 단지 송금했다는 사실 자체만으로도 규정을 위반하는 것입니다.

이는 무과실 책임 체계이며, 바로 이 때문에 침해 사고 대응이 기술적 문제만큼이나 법적 문제가 된 것입니다. 랜섬웨어 지급이 어떻게 OFAC 제재 위험을 초래하는지에 대한 이전 보도에서 이 역학 관계를 더 자세히 다루었습니다. 이제 사고 대응팀은 지급을 승인하기 전에 외부 법률 고문과 제재 심사 전문가를 정기적으로 포함시키는데, 잘못된 전신 송금 한 번이 데이터 유출 사고를 규제 집행 조치로 바꿔놓을 수 있기 때문입니다.

정부는 또한 공격자 자체뿐만 아니라 랜섬웨어를 가능하게 하는 인프라에도 기꺼이 제재를 가할 의사가 있음을 보여주었습니다. 재무부의 첫 VPN 제재 조치에 대한 보도에서 다룬, 랜섬웨어 운영과 연계된 VPN 서비스에 대한 재무부의 제재 결정은 집행의 범위가 몸값 요구서를 작성하는 개인을 훨씬 넘어 확장된다는 신호입니다. 자금 추적을 익명화하는 서비스를 포함하여 지급 또는 자금 세탁 과정에 연루된 누구라도 표적이 될 수 있습니다.

피해자들이 종종 간과하는 개인정보 보호 측면

랜섬웨어 제재에 대한 대부분의 보도는 지급 기업의 재정적, 법적 위험에 초점을 맞추지만, 더 주목해야 할 개인정보 보호 차원의 문제가 있습니다. 조직이 랜섬을 지급하는 이유는 종종 도난당한 개인 데이터(고객 기록, 건강 정보, 직원 파일)가 공개되거나 판매되는 것을 막기 위해서입니다. 하지만 지급이 데이터 삭제를 보장하지 않으며, 나중에 다시 나타나지 않는다는 보장도 없습니다. 이미 민감한 기록을 빼돌린 공격자는 지급이 완료된 후에도 여전히 지렛대를 쥐고 있으며, 삭제 약속을 강제할 수 있는 메커니즘은 존재하지 않습니다.

이러한 현실은 공개적으로 드러나고 있습니다. 최근 랜섬웨어 지급이 감소하고 23andMe가 1,800만 달러 합의금을 지급하는 과정에 대한 저희 기사는 침해 사고의 여파가 랜섬 결정 이후에도 어떻게 오래 지속될 수 있는지를 보여줍니다. 유출된 유전자 및 개인 데이터의 결과는 회사가 지급을 결정했는지와 무관하게 피해를 입은 개인에게 전가됩니다. 소비자 입장에서 이사회와 로펌 사무실에서 벌어지는 제재 논쟁은 실제로는 자신의 데이터가 비공개로 유지될지에 대한 대리 논쟁입니다.

법 집행 결과는 또 다른 맥락을 제공합니다. Ransom Cartel 작전의 배후에 있는 해커에게 선고된 16년형은 벨라루스 해커의 랜섬 카르텔 사건에 대한 저희 보도에서 자세히 다루었듯이, 기소가 실제로 이루어지지만, 일반적으로 피해자와 그 고객이 이미 피해를 감수한 지 수년 후에 나온다는 점을 보여줍니다.

이것이 의미하는 바

사업체를 운영하고 있다면, 전면적으로 금지하는 형법 조항이 없기 때문에 랜섬웨어 지급이 안전하다는 결론을 내려서는 안 됩니다. 제재 위험은 실재하며, 누구에게 지급하는지 몰랐던 경우에도 적용됩니다. 지급하기 전에 조직은 제재 심사, 법적 검토를 수행해야 하며, 선의의 의도와 관계없이 OFAC 처벌이 적용될 수 있다는 냉철한 이해가 필요합니다.

이러한 사고에 자신의 데이터가 연루되었을 가능성이 있는 소비자라면, 교훈은 다르지만 관련이 있습니다. 기업이 랜섬을 지급하는 것과 개인 데이터가 보호되는 것은 별개라는 점입니다. 지급 결정은 법적 및 재정적 위험 계산에 따라 결정되며, 반드시 회원님의 개인정보를 가장 잘 보호하는 방향으로 이루어지는 것은 아닙니다.

핵심 요약

  • 랜섬웨어 지급을 전면적으로 금지하는 연방법은 없지만, OFAC 제재는 여전히 민사상 책임을 발생시킬 수 있습니다.
  • 제재법상 책임은 차단된 개인이나 관할권에 지급된 사실을 몰랐더라도 발생할 수 있습니다.
  • 랜섬 지급은 도난된 데이터가 삭제되거나 범죄 시장에서 유통되지 않도록 보장하지 않습니다.
  • 조직은 랜섬웨어 지급 결정을 내리기 전에 법률 고문과 제재 심사를 참여시켜야 합니다.
  • 침해 사고의 영향을 받은 소비자는 지급이 위험을 해결했다고 가정하기보다는 독립적으로 개인정보 노출 여부를 모니터링해야 합니다.