Geen federale wet verbiedt losgeldbetalingen, maar dat is niet het hele verhaal

Een recente juridische uitleg van Spodek Law Group wijst op iets dat veel organisaties die door ransomware worden getroffen verrast: er is geen federale wet die het betalen van losgeld categorisch verbiedt. Dat blijft waar, zelfs wanneer de identiteit van de aanvaller op het moment van betaling onbekend is. Voor bedrijven die te maken hebben met versleutelde systemen, gestolen klantgegevens en oplopende downtime klinkt dit misschien als een groen licht om gewoon te betalen en verder te gaan.

Dat is het niet. Het ontbreken van een algemeen strafrechtelijk verbod betekent niet dat losgeldbetalingen risicoloos zijn. Het echte gevaar komt uit een heel andere hoek: het sanctierecht dat wordt gehandhaafd door het Office of Foreign Assets Control (OFAC) van het ministerie van Financiën.

Waar OFAC-sancties in beeld komen

OFAC houdt lijsten bij van geblokkeerde personen, entiteiten en rechtsgebieden die verband houden met cybercriminaliteit, door staten gesponsorde hacking en andere illegale activiteiten. Als een losgeldbetaling in handen valt van een gesanctioneerde persoon of een alomvattend gesanctioneerd land, kan de getroffen organisatie, en soms de tussenpersonen die de betaling faciliteerden, civielrechtelijke sancties opgelegd krijgen, ongeacht de intentie. Met andere woorden: een bedrijf hoeft niet willens en wetens geld over te maken naar een gesanctioneerde actor om in strijd met de regels te handelen; alleen het overmaken is al voldoende.

Dit is een kader van risicoaansprakelijkheid, en precies daarom is de reactie op een inbreuk evenzeer een juridische als een technische oefening geworden. Onze eerdere berichtgeving over hoe losgeldbetalingen het risico op OFAC-sancties met zich meebrengen gaat dieper in op deze dynamiek: incidentresponsteams schakelen nu routinematig externe advocaten en sanctie-screeningsspecialisten in voordat ze een betaling goedkeuren, juist omdat een verkeerde overschrijving van een datalek een regelgevende handhavingsactie kan maken.

De overheid heeft ook laten zien bereid te zijn infrastructuur te sanctioneren die ransomware mogelijk maakt, niet alleen de aanvallers zelf. Het besluit van het ministerie van Financiën om een VPN-dienst te sanctioneren die verbonden is met ransomware-operaties, beschreven in ons bericht over de eerste VPN-sanctionering door Financiën, geeft aan dat het handhavingsnet zich ver uitstrekt voorbij de personen die losgeldbriefjes typen. Iedereen in de betalings- of witwasketen, inclusief diensten die het geldspoor anonimiseren, kan doelwit worden.

Het privacy-aspect dat slachtoffers vaak over het hoofd zien

Terwijl de meeste berichtgeving over ransomware-sancties zich richt op de financiële en juridische blootstelling voor het betalende bedrijf, is er een privacy-dimensie die meer aandacht verdient. Wanneer een organisatie losgeld betaalt, doet ze dat vaak om te voorkomen dat gestolen persoonsgegevens (klantdossiers, gezondheidsinformatie, personeelsbestanden) worden gepubliceerd of verkocht. Maar betaling garandeert niet dat die gegevens worden verwijderd of dat ze later niet opnieuw opduiken. Aanvallers die al gevoelige gegevens hebben buitgemaakt, behouden hun drukmiddel, ook nadat een betaling is voldaan, en er is geen afdwingbaar mechanisme dat hen dwingt een belofte van verwijdering na te komen.

Die realiteit speelt zich in het openbaar af. Ons recente artikel over hoe losgeldbetalingen dalen terwijl 23andMe schikt voor $ 18 miljoen laat zien hoe de nasleep van een inbreuk nog lang kan voortduren na een losgeldbeslissing, waarbij de getroffen personen de gevolgen dragen van blootgestelde genetische en persoonlijke gegevens, ongeacht wat het bedrijf besloot te betalen. Voor consumenten is het sanctiedebat dat in bestuurskamers en advocatenkantoren plaatsvindt in wezen een plaatsvervangende strijd over de vraag of hun gegevens privé blijven.

Uitkomsten van wetshandhaving voegen nog een contextlaag toe. De 16-jarige gevangenisstraf die werd opgelegd aan een hacker achter de Ransom Cartel-operatie, beschreven in onze berichtgeving over de zaak van de Wit-Russische hacker van het Ransom Cartel, toont aan dat vervolging wel degelijk plaatsvindt, maar doorgaans pas jaren nadat slachtoffers en hun klanten de schade al hebben geleden.

Wat dit voor u betekent

Als u een bedrijf runt, is de conclusie niet dat losgeldbetalingen veilig zijn, alleen omdat geen enkele strafwet ze ronduit verbiedt. Blootstelling aan sancties is reëel en geldt ook als u niet wist aan wie u betaalde. Voordat een betaling wordt gedaan, moeten organisaties sanctiescreening, juridische toetsing en een helder begrip hebben dat OFAC-sancties kunnen worden opgelegd los van goede trouw.

Bent u een consument wiens gegevens mogelijk betrokken zijn bij zo’n incident, dan is de les anders maar verwant: betaling van losgeld door een bedrijf is niet hetzelfde als bescherming van uw gegevens. Beslissingen over betaling worden gevormd door juridische en financiële risicoafwegingen, niet noodzakelijkerwijs door wat uw privacy het beste beschermt.

Belangrijkste conclusies

  • Geen enkele federale wet verbiedt losgeldbetalingen categorisch, maar OFAC-sancties kunnen alsnog civielrechtelijke aansprakelijkheid creëren.
  • Aansprakelijkheid op grond van sanctierecht kan ontstaan, zelfs zonder wetenschap dat een betaling bij een geblokkeerde persoon of jurisdictie terechtkwam.
  • Het betalen van losgeld garandeert niet dat gestolen gegevens worden verwijderd of van criminele marktplaatsen worden geweerd.
  • Organisaties moeten juridisch advies en sanctiescreening inroepen voordat ze overgaan tot een losgeldbetaling.
  • Consumenten die door een inbreuk zijn getroffen, moeten zelfstandig op blootstelling letten in plaats van aan te nemen dat een betaling het risico heeft opgelost.